GAP-elemzés és kiberbiztonsági irányítási rendszer (CSMS) telepítése

Az Optival általunk kínált GAP-elemzési szolgáltatása összehasonlítja az Ön szervezetének jelenlegi kiberbiztonsági gyakorlatát az ISO/SAE 21434 és az UNECE R155 követelményekkel, és szisztematikusan feltárja a hiányzó vagy fejlesztendő területeket.

Ennek az elemzésnek köszönhetően:

• Megállapítják, hogy az Ön jelenlegi szervezeti felépítése mennyiben felel meg a rendeleteknek,
• A folyamat, a dokumentáció és a technikai megvalósítás gyenge pontjainak tisztázása,
• Stratégiai ütemterv készül a megcélzott harmonizációs szint eléréséhez.

A GAP-elemzést követően a megállapítások alapján egy, kifejezetten az Ön szervezetére szabott CSMS-infrastruktúrát hozunk létre. Ebben a folyamatban

• Létrejönnek a vezetési irányelvek és a felelősségi mátrix,
• A TARA (fenyegetéselemzés és kockázatértékelés) folyamat integrálva van,
• A kiberbiztonsági munkatermékek nyomon követhetősége biztosított,
• A folyamatok dokumentálása az ISO/SAE 21434 szabványnak megfelelő módon történik,
• Belső ellenőrzési, korrekciós intézkedési és folyamatos fejlesztési mechanizmusokat hoznak létre.

Miért fontos?

A CSMS nem csupán dokumentumok összessége, hanem egy olyan biztonsági kultúra, amely biztosítja, hogya szervezet a jármű teljes életciklusa során szisztematikusan felkészüljön a kiberfenyegetésekre. E rendszer sikeres létrehozása előfeltétele az R155 típusjóváhagyás megszerzésének, és komoly versenyelőnyt jelent az OEM-ekkel való együttműködés során.

A fenyegetéselemzés (TARA) alkalmazása és a kiberbiztonsági koncepció létrehozása

A modern járművek elektronikus vezérlőegységei (ECU-k), vezeték nélküli kommunikációs protokolljai és szoftverrendszerei egyre kifinomultabb fenyegetéseknek vannak kitéve. Ezért a kiberfenyegetéseknek a járműfejlesztési folyamat korai szakaszában történő felismerése és a kockázatok ellenőrzés alá vonása mind a biztonság, mind a jogszabályi megfelelés alapja.

Az Optival az ISO/SAE 21434 szabványnak megfelelően végzett TARA-alkalmazásokkal meghatározza, hogy a rendszer elemei mennyire sérülékenyek a potenciális fenyegetésekkel szemben. Ebben a folyamatban

• A rendszer eszközeit és értékes erőforrásait (eszközeit) azonosítják,
• A lehetséges támadási útvonalakat modellezik,
• A kockázati pontszámot kárforgatókönyvek és valószínűségi elemzések segítségével számítják ki,
• A kapott eredményeknek megfelelően a kiberbiztonsági célokat létrehozzák és rangsorolják.

A TARA kimenetei a kiberbiztonsági tervezés sarokkövét képező munkatermékek létrehozására szolgálnak, és az UNECE R155 R155 5. mellékletének megfelelő felépítésűek.

Az azonosított biztonsági kockázatok mérséklésére kidolgozott megoldásokat kiberbiztonsági koncepcióként integrálják a rendszer architektúrájába. Ebben az összefüggésben:

• A biztonsági célkitűzésekre vonatkozó technikai ellenőrzések és ellenintézkedések meghatározása,
• Olyan területeken dolgoznak ki megoldásokat, mint a kommunikációs biztonság, az adatintegritás, a hozzáférés-ellenőrzés és a szoftverfrissítési mechanizmusok,
• A biztonsági követelmények nyomon követhetősége a tervezési folyamat során biztosított.

Ez a folyamat képezi a fenntartható kiberbiztonság alapját a termék teljes életciklusa során.

A tesztelési és validálási stratégia meghatározása és végrehajtása

A kiberbiztonsági intézkedések sikerét nemcsak az elméleti szinten meghatározott politikák bizonyítják, hanem az intézkedések hatékonyságának helyszíni tesztelése is. Az Optival mérhetővé teszi a járművek kiberbiztonságát azáltal, hogy az ISO/SAE 21434 és az UNECE R155 követelményeinek megfelelően biztosítja mind a tesztelési stratégia kidolgozását, mind pedig e stratégia szakszerű végrehajtását.

A stratégia meghatározása

A tesztelési folyamat első lépése a biztonsági követelményekkel és a rendszerarchitektúrával összhangban lévő ellenőrzési tervek elkészítése. Ebben az összefüggésben

• Az egyes biztonsági célpontokhoz megfelelő vizsgálati módszerek illeszkednek,
• A kritikus rendszerelemek támadási felületeit azonosítják (CAN, TCU, OTA, Bluetooth, Wi-Fi stb.),
• A tesztelés hatókörét, módszertanát és sikerkritériumokat meghatározzák,
• Szükség esetén a tesztismétléseket automatizálási infrastruktúrákkal optimalizálják.

Az alkalmazás megvalósítása

A meghatározott stratégiától függően az Optival szakértői átfogó tesztalkalmazásokat végeznek terepen vagy laboratóriumi környezetben:

• Funkcionális tesztelés: Funkcionális tesztelés: Azt vizsgálják, hogy a meghatározott biztonsági követelmények funkcionálisan megfelelnek-e a rendszernek.
• Fuzz-tesztelés: A szoftver hibatűrését úgy mérik, hogy váratlan adatbevitelt alkalmaznak az interfészekre és protokollokra.
• Behatolási tesztek: A rendszer sebezhetőségét valós támadási technikák imitálásával fedezik fel.
• OTA és vezeték nélküli biztonsági tesztek: A szoftverfrissítéseket, a Bluetooth- és LTE-kapcsolatokat a titkosítás, a hitelesítés és a hozzáférés-szabályozás biztonsága szempontjából teszteljük.

A biztonsági teljesítmény bizonyítéka

A tesztek dokumentálása a leghatékonyabb módja annak, hogy elnyerje ügyfelei bizalmát, és bizonyítsa műszaki hozzáértését az R155 típusjóváhagyási folyamatokban. Az Optival tesztelési szakértelmével nemcsak a problémákat azonosítja, hanem a fenntartható kiberbiztonság érdekében javítási javaslatokat is ad.

Beszállítói menedzsment

Az autóiparban a járműgyártók kiberbiztonsági kötelezettségei nem korlátozódnak a saját rendszereikre. Az UNECE R155 előírja a teljes ellátási láncra kiterjedő biztonsági megközelítést, és elvárja, hogy a gyártók olyan struktúrákat hozzanak létre, amelyek képesek auditálni beszállítóik folyamatait. Ezen a ponton a beszállítói menedzsment a kiberbiztonsági megfelelés stratégiai felelősségévé válik.

Az általunk Optival néven kínált beszállítói menedzsment szolgáltatás az ISO/SAE 21434 és az UNECE R155 szabványoknak megfelelően támogatja az OEM-eket és az elsődleges beszállítókat abban, hogy harmonizálják műszaki és technológiai kapcsolataikat albeszállítóikkal. Ebben az összefüggésben

• Meghatározzák a beszállítókra vonatkozó megfelelési követelményeket, és meghatározzák a minimális biztonsági kritériumokat,
• A munkatermékek (biztonsági célok, TARA-kimenetek, V&V-felvételek) pontosságát és következetességét ellenőrzik,
• A beszállítói kockázati szintet elemzik és rangsorolják,
• Elkészülnek az ellenőrzési tervek és az értékelési kritériumok,
• CIA (kiberbiztonsági interfész-megállapodás) folyamatot hajtanak végre.

Beszállítói audit és képzési támogatás

Az Optival nemcsak a műszaki dokumentációt értékeli, hanem belső auditokat, képzéseket és tudatosságnövelő tevékenységeket is végez a beszállítók számára. Így:

• A beszállítók kiberbiztonsági kompetenciája növekszik,
• Integrált hozzájárulás az OEM biztonsági célkitűzéseihez,
• A típusjóváhagyási folyamatok során a váratlan összeférhetetlenségek megelőzhetők.

Előny és hatás

• A gyártó által okozott biztonsági sebezhetőségek minimalizálódnak,
• Az előírásoknak való megfelelés a teljes láncban biztosított,
• A szállítók műszaki kompetenciája és felelősségtudatossága növekszik.

Az Optival a beszállítói menedzsmentet nem csupán ellenőrzési mechanizmusként, hanem a hosszú távú biztonsági kultúra részeként kezeli.

Belső és külső ellenőrzési támogatás

• A jogszabályi megfelelés szintjét házon belüli előzetes értékelési auditok elvégzésével elemzik,
• A CSMS-folyamatokat az UNECE R155 és az ISO/SAE 21434 kritériumok szerint auditálják,
• A belső ellenőrzési eljárásokat a beszállítói láncra kiterjedő folyamatokban állapítják meg,
• A nem megfelelőségekre és hiányosságokra korrekciós és megelőző intézkedési terveket dolgoznak ki.

Tanúsítási folyamat tanácsadás

• Támogatja a CSMS megfelelőségi jelentések (auditjelentések) elkészítését az ISO/SAE 21434 szabványban meghatározottak szerint,
• Az ISO/SAE 21434 szabványon alapuló munkatermékek műszaki felülvizsgálata független értékelőknek történő benyújtás céljából történik,
• A harmadik fél tanúsító szervezetekkel együtt elvégzendő auditok során technikai útmutatást nyújtanak.

Típusjóváhagyási folyamat kezelése

Az Optival az UN ECE R155 szerinti kijelölt műszaki szolgálatként járműszintű típusjóváhagyási szolgáltatásokat nyújt. Ez magában foglalja a következőket

• CSMS audit (kiberbiztonsági audit) és CSMS CoC (megfelelőségi tanúsítvány) tanúsítási folyamatot hajtanak végre,

• A típusjóváhagyási folyamatok a jármű szintjén megfelelőség-ellenőrzés (kiberbiztonsági értékelés) alkalmazásával történnek,
• Kezelje a 3 évente elvégzendő CSMS-ellenőrzéseket,
• A tervmódosítások esetében értékelik a típusjóváhagyás hatását, és elvégzik a szükséges frissítési tanulmányokat.