Czym jest ISO/SAE 21434?
ISO/SAE 21434:2021 to opracowana wspólnie przez ISO i SAE International norma inżynierii cyberbezpieczeństwa pojazdów drogowych. Definiuje wymagania procesowe dla zarządzania ryzykiem cyberbezpieczeństwa systemów elektryczno-elektronicznych (E/E) pojazdu, od poziomu organizacji (polityka, kultura, audyt), przez projekty rozwojowe, po działania ciągłe: monitoring podatności, reagowanie na incydenty i aktualizacje oprogramowania, aż do końca wsparcia.
Sercem normy jest TARA (Threat Analysis and Risk Assessment, klauzula 15), czyli modularna metodyka analizy zagrożeń: identyfikacja aktywów, scenariusze zagrożeń, oceny skutków w kategoriach safety-financial-operational-privacy, ścieżki ataku, wykonalność ataku i decyzje o traktowaniu ryzyka. Wyniki TARA przekładają się na cybersecurity goals i cybersecurity concept, a całość argumentacji spina cybersecurity case, czyli ustrukturyzowany dowód, że ryzyka produktu nie są nierozsądne.
Kogo dotyczy?
Norma dotyczy całego łańcucha motoryzacyjnego: producentów pojazdów (OEM), dostawców Tier 1 i Tier 2 komponentów E/E (sterowniki, jednostki telematyczne, wiązki z elektroniką, czujniki), dostawców oprogramowania pojazdowego oraz centrów inżynieryjnych R&D. Formalnym motorem wdrożeń jest regulamin UN R155: od lipca 2024 każdy nowy pojazd rejestrowany w UE wymaga homologacji typu z certyfikowanym CSMS (Cybersecurity Management System) producenta, a OEM kaskadowo przenoszą wymagania na dostawców w nominacjach i umowach.
W praktyce dostawca komponentu E/E dostaje w kontrakcie: wymóg zgodności procesów z ISO/SAE 21434, umowę CIAD (Cybersecurity Interface Agreement for Development) rozdzielającą odpowiedzialności oraz obowiązek dostarczania dowodów (TARA, cybersecurity case, raporty weryfikacji) do oceny CSMS klienta. Dla polskich firm motoryzacyjnych (centrów softwarowych i producentów elektroniki) te wymagania są dziś standardowym elementem nominacji od koncernów.
Struktura normy
Wymagania normy są zorganizowane w klauzulach 5-15, każda z celami, wymaganiami ([RQ]), rekomendacjami ([RC]) i work products ([WP]):
- Klauzula 5 (zarządzanie organizacyjne): polityka, kultura, wymiana informacji, systemy zarządzania, narzędzia, bezpieczeństwo informacji, audyt
- Klauzula 6 (zarządzanie projektowe): cybersecurity plan, tailoring, reuse, komponenty out-of-context i off-the-shelf, cybersecurity case, ocena cyberbezpieczeństwa, release
- Klauzula 7 (działania rozproszone): zdolność dostawców, zapytania ofertowe, umowy CIAD
- Klauzula 8 (działania ciągłe): monitoring, triage zdarzeń, analiza i zarządzanie podatnościami
- Klauzule 9-11: koncepcja (item definition, TARA, cele, koncepcja), rozwój produktu, walidacja na poziomie pojazdu
- Klauzule 12-14: produkcja, eksploatacja i utrzymanie (incydenty, aktualizacje OTA), koniec wsparcia i wycofanie
- Klauzula 15 (metody TARA): aktywa, scenariusze zagrożeń, skutki S-F-O-P, ścieżki ataku, wykonalność, wartość ryzyka, traktowanie
ISO/SAE 21434 a TISAX i UN R155/R156
ISO/SAE 21434 i TISAX są komplementarne, nie zamienne: TISAX (VDA-ISA) ocenia bezpieczeństwo informacji ORGANIZACJI dostawcy (ochronę danych OEM, prototypów i biur), a ISO/SAE 21434 dotyczy cyberbezpieczeństwa PRODUKTU: pojazdu i jego komponentów E/E w całym cyklu życia. Dostawca automotive zwykle potrzebuje obu: etykiety TISAX jako warunku kontraktowego wymiany informacji oraz procesów ISO/SAE 21434 dla inżynierii komponentów.
Regulamin UN R155 wymaga od producenta certyfikowanego CSMS, a ISO/SAE 21434 jest uznaną ścieżką jego wdrożenia. Dla aktualizacji oprogramowania (w tym OTA) równolegle obowiązuje UN R156 wymagający SUMS (Software Update Management System), doprecyzowany normą ISO 24089. Oceny zgodności i certyfikacje procesów oferują jednostki takie jak TÜV NORD, TÜV Rheinland, TÜV SÜD, DEKRA i SGS.