Siber güvenlik gereksinimleri: ne diyorlar | sıcak arabalar

Yakın zamanda Volkswagen Grubu'nun artık birkaç araba modeli üretmediğine dair haberler çıktı. Markanın sözcüleri bunun nedeni olarak yeni siber güvenlik yasalarını gösterdi. Bunlar, Temmuz 2022'den itibaren yeni onaylanan araçlar için geçerlidir. Temmuz 2024'ten itibaren kapsam, yeni kayıtlı tüm araçları kapsayacak ve Volkswagen Grubu'nun bazı eski onaylarını etkileyecektir. Volkswagen'in ticari araç bölümü artık T6.1'i AB'de satmayacak. VW'de küçük Up artık mevcut değil; Porsche'de Cayman, Boxster ve mevcut içten yanmalı motor Macan mevcut değil. Etkilenen tüm serilerin ortak noktası, yakında bir halefin gelecek olmasıdır.

Duyuru

Tez şu: Bu modeller için gerekli siber güvenlik sertifikası artık buna değmiyor. Diğer markalar, üretimi durdurmanın bir nedeni olarak siber güvenliğe bu kadar açık bir atıfta bulunmadı, ancak otomotiv basını bazı durumlarda diğer şirketlerin diğer modelleri için de bundan şüpheleniyordu. Ancak Renault Zoe gibi araçlar siber güvenlik nedeniyle üretici tarafından onaylanmıyor. Aksine Renault 2022'den itibaren süreci ne kadar iyi kontrol altına aldığını ve bunun ne kadar önemli olduğunu vurguluyor. Ancak mevzuata detaylı olarak bakalım.

WP.29, R155 ve R156 yazıyor

Birleşmiş Milletler (BM) kurumları bünyesinde “Taşıt Düzenlemelerinin Uyumlaştırılmasına İlişkin Dünya Forumu”, Çalışma Grubu 29 (WP.29) bulunmaktadır. Bu çalışma grubu küresel araç yasalarını uyumlu hale getirmeyi amaçlıyor. Bunu yapmak için, piyasaların daha sonra kabul edeceği veya etmeyeceği yönergeleri belirler. AB, Japonya ve Güney Kore, siber güvenlik ve yükseltme önerilerini desteklemeyi taahhüt etti. Tartışılan siber güvenlik gereklilikleri UNECE düzenlemeleri R155 ve R156'dır. R155 siber güvenlikle ilgilidir ve bir “siber güvenlik yönetim sistemine” (CSMS) odaklanır. R156, araçlar için güvenli yazılım güncellemeleriyle ilgilidir ve bir “Yazılım Güncelleme Yönetim Sistemi” (SUMS) etrafında döner. Binek otomobiller (M sınıfı), ticari araçlar (N) ve römorklar (O), yeterli BT sistemleriyle donatılmaları halinde etkilenir. Bunu Temmuz 2029'da iki tekerlekli araçlar (L) takip edecek. Yetkili bir devlet kurumu (Almanya'da Federal Motorlu Taşımacılık Otoritesi, KBA), bir teknik denetim servisi (Almanya'da TÜV) atar ve bu servis, araçları inceledikten sonra sertifikaları yürütür. belgeler. Kontroller 3 yılda bir yapılmaktadır. Bir üretici ayrıca AB içindeki diğer test kuruluşları tarafından CSMS ve SUMS sertifikasına sahip olabilir. Örneğin Tesla'nın Hollanda'da, Audi'nin ise Lüksemburg'da sertifikaları var.

Çok kısaca özetlemek gerekirse yönetmelik şunu söylüyor: CSMS ve SUMS'un bulunması gerekiyor. Tam olarak nasıl görünmeleri gerektiğine dair yalnızca kabaca yarım yamalak yönergeler vardır. R155'e ilişkin açıklayıcı belge, ISO/SAE 21434 gibi standartların bu amaç için “kullanılabileceğini” kısaca belirtir. Ama en azından resmi olarak gerekli değil. Ancak üreticiler zaten gayri resmi olarak standartları takip ediyor çünkü a) somut spesifikasyonlar sağlıyorlar ve b) genellikle zaten dahili olarak sertifikalandırılıyorlar ve bu nedenle süreci basitleştiriyorlar. Ek olarak standartlar, test yükünü devlet kurumlarından ilgili test kurumlarına kaydırıyor. KBA, Almanya'daki sertifikasyona ilişkin diğer özel gereklilikleri kendi web sitesinde sunmaktadır. R156'da nispeten somut bir unsur bulunur. Her yazılım sürümünün benzersiz bir kimlik (RxSWIN) almasını gerektirir; burada SWIN, “Yazılım Kimlik Numarası” anlamına gelir ve Rx, ilgili kontrol ünitesinin UNECE standardını ifade eder. Siber güvenliğe atanan bir denetleyici (örneğin bir ağ geçidi) daha sonra kimliği olarak bir R155xxxx alabilir. Bu kimliğin elektronik bir arayüz üzerinden, “en azından” OBDII üzerinden okunabilmesi gerekiyor. Yazılım sürümleri, teknik servis tarafından doğrulanabilen bir kayıt defterinde ID ile birlikte belgelenmelidir. Düzenleyici sistemleri etkileyen yazılım güncellemeleri de teknik test hizmetine tabi tutulmalıdır.

Her şey mümkün, hiçbir şey gerekli değil

Hem R155 hem de R156 olağanüstü derecede belirsizdir. Tamamen resmi bir bakış açısından bakıldığında, aracın BT güvenliğini garanti etmeye hizmet eden herhangi bir süreç CSMS olarak sertifikalandırılabilir. Bir CSMS, WP.29'u şu şekilde tanımlar:

“'Siber Güvenlik Yönetim Sistemi (CSMS)', araçlara yönelik siber tehditlerle ilişkili riskleri ele almak ve araçları siber saldırılardan korumak için organizasyonel süreçleri, sorumlulukları ve yönetişimi tanımlayan sistematik risk temelli bir yaklaşım anlamına gelir.”

Tercüme:

“'Siber Güvenlik Yönetim Sistemi (CSMS)', araçlara yönelik siber tehditlerle ilişkili riskleri ele almak ve araçları siber saldırılardan korumak için organizasyonel süreçleri, sorumlulukları ve kontrolleri tanımlayan sistematik, risk temelli bir yaklaşım anlamına gelir.”

SUM'un tanımını size bağışlayacağım, benzer.

“Belirsiz” ile ne demek istediğimi anlayabilmeniz için R155'in başka bir örneğini vereceğim:

“Bu Yönetmeliğin amaçları doğrultusunda kullanılan kriptografik modüller, fikir birliği standartlarına uygun olmalıdır.”

Kısaca Almanca: Kripto para en son teknolojiye uygun olmalıdır. Çok vay.

Elinizde çekiç varsa her şey çiviye benzer. Ben bir metin yazarıyım. Bana sadece bir metin sorunu gibi görünüyor. Herhangi bir profesyonel metin yazarı, son 15 yılın her araç üretim sürecini, spesifikasyonları resmi olarak karşılayacak şekilde tanımlayabilir. Uygulamada TÜV Süd, hazırlıkların ve testlerin aylar sürdüğünü, aşırı durumlarda iki yıla kadar sürdüğünü tespit etti. Volkswagen'in yazılım bölümü Cariad normalde altı aylık bir hazırlık sürecinden ve TÜV tarafından birkaç haftalık incelemeden bahsediyor. Cariad'ın Güvenlik Yönetişimi bölümünde çalışan Miriam Gruber, “Ancak bu, süreçlerin daha önce nasıl yapılandırıldığına bağlı” diye açıklıyor. “Örneğin, bir şirket zaten ISO 9001 sertifikasına sahipse CSMS'yi sertifikalandırmak çok daha kolay hale gelir. Önceki sertifikalar eksikse çok daha karmaşık hale gelir.”

Erken üretim neden bitiyor?

Araç üreticilerinin genel olarak yeni onay gereklilikleri konusunda çok az sorun yaşadığı görülüyor. Örneğin Mercedes-Benz, talep üzerine 2021 yılında CSMS sertifikasyonu gerçekleştirdiğini açıkladı ve ardından şu kısa notu ekledi: “Düzenlemenin Mercedes-Benz portföyü üzerinde hiçbir etkisi yoktur.” Süreçler önceden iyi yapılandırılmış olsaydı, R155 ve R156 için gereken ek çaba sınırlı olurdu. Böyle bir onayın olmadığı eski modellerde işler farklıdır. Ayrıca R155'e uymaları gerekiyor ancak başlangıçta cömert bir istisna alıyorlar:

“Üretici, tip onayı alınacak araç tipine ilişkin BT güvenlik yönetim sistemi için geçerli bir uygunluk belgesine sahip olmalıdır.

Ancak 1 Temmuz 2024 öncesindeki onaylar için araç üreticisi, araç tipinin CSMS'ye uygun olarak geliştirilemeyeceğini kanıtlayabiliyorsa, geliştirme aşamasında siber güvenliğin yeterince dikkate alındığını kanıtlaması gerekiyor. Araç söz konusu.”

Meslekten olmayan terimlerle özetlemek gerekirse: Temmuz 2024'ten önce onaylar için bir araç türü için henüz bir CSMS'niz yoksa ve bunu geliştiremediğinizi (vasıflı işçi eksikliği!) gösterebiliyorsanız, o zaman Emniyet bilgi teknolojisinin “yeterince dikkate alındığı” kanıtlanmıştır.

Bu engel küçük gibi görünse de ciddi bir bürokratik çaba gerektiriyor. Çünkü “düzgün değerlendirilen” konuda bile gizli bazı belgeler var. Ayrıca R155, operasyon sırasında tüm siber olasılıkların dikkate alındığına dair kanıt gerektirir. Etkilenen modellerin eski elektronik konfigürasyonları için bu, önemli bir yol maliyeti riski anlamına gelecektir. Güvenlik sorunları olması durumunda, bu eski tiplerde kablosuz güncelleme olmadan düzeltilmesi gereken, tanımlanması ve kanıtlanması zor süreçlerin uygulanması gerekir. Sorumluluk açısından R155, hem tedarik zincirinin hem de bu türdeki son araç trafiğe çıkana kadar yürürlüğe giren bir sürecin dikkate alınmasını gerektirir; bu, vintage otomobil severlerin ülkesi Almanya'da şu anlama gelir: tüm yaşam boyunca üreticinin. Tüm bu maliyet faktörlerinin markaların etkilenen modellerin üretimine erken son vermesine neden olduğu görülüyor.

Şekiller ve tuhaflıklar

Kanunların temel gereklilikleri belirsizliğini korurken, bürokratik gereklilikler daha açık bir şekilde formüle edilmiştir. Pek çok şey “üç kopya halinde” formlarda yazılmalıdır. Ayrıca R155'in özellikle bazı özellikleri var. Üreticiler yılda en az bir kez siber raporlarını KBA'ya sunmalı ve sertifikasyon sırasında her şeyin hâlâ siber olduğunu doğrulamalıdır (R155, bölüm 7.4.1). Belgeler daha sonra BT sorunlarının nasıl çözüleceğine ilişkin tablo halinde öneriler içerir. Bir virüs içeri sızdı mı? “Sistemleri gömülü virüslerden/kötü amaçlı yazılımlardan korumak için önlemler dikkate alınmalıdır.” Veya genellikle basitçe: “Yazılım ve donanım geliştirme için en iyi siber güvenlik uygulamalarının takip edilmesi gerekecektir.”

Öncelikle, hafife alınan eski şeyler için birçok yeni bürokrasiyle karşılaşıyoruz. Kişisel görüşüm, yüksek bürokratik çabanın birkaç avantajla dengelendiği yönünde çünkü R155'in ihtiyaç duyduğu şey uzun süredir Alman otomobil üreticilerinin günlük üretiminin bir parçasıydı. Cariad'dan Miriam Gruber bunu daha farklı ve küresel bir açıdan görüyor: “Süreçleriniz konusunda zaten iyi bir konuma sahipseniz, yeni yönergeler sayesinde çabalar yönetilebilir. Pazarın geneline baktığımda, yeni kuralların oldukça uygun olduğunu düşünüyorum. faydalıdır çünkü tüm pazar için geçerlidirler veya… Otomotiv imalatına yeni başlayanlar için minimum standartlar belirleyin. Sertifikaların kendisi de çok faydalı olabilir. Örneğin, teknik servislerle işbirliği içinde çalışmanın avantajlarını görüyoruz: her ikisi de güvenliğin doğrulanabilir olmasını istiyoruz. teknik test hizmeti iyileştirme fırsatlarını belirliyor “Bu bizim için iyi. Teknik Hizmetler sektör çapında bilgi birikimine sahip ve süreçlerimizi daha geniş bir bağlamda değerlendirebiliyor.”

Karar vericiler için kısaca özetlemek gerekirse: önceden iyi olan bir sürecin belgelendirilmesi kolay olacaktır ve yeni spesifikasyonları, iç süreçleri iyileştirmek için bir fırsat olarak kullanmaya değer.

(cgl)