Járműgyártók (OEM)
A cél a járművek és a háttérszolgáltatások kiberbiztonságának igazolása a típusjóváhagyáshoz (R155), valamint a beszállítói lánc kockázatainak ellenőrzése.
/ AUTÓIPAR
Autóipari biztonsági vizsgálat
A modern jármű gördülő számítógép-hálózat. Az autóipari biztonsági vizsgálat a járműkomponensektől a háttérrendszerekig és a gyártóüzemig ellenőrzi, hogy a kiberbiztonság nem veszélyezteti-e a közlekedésbiztonságot és az ügyfelek adatait.
[ 01 ] / MI EZ
Mi az autóipari biztonsági vizsgálat, és mi a célja az iparágban?
Röviden
Az autóipari biztonsági vizsgálat járművek, járműkomponensek, a hozzájuk kapcsolódó háttérrendszerek és a gyártási környezet kiberbiztonsági tesztelése. Célja annak igazolása, hogy a kiberbiztonsági kockázatok kezelve vannak, ami a közlekedésbiztonság, az adatvédelem és az uniós jóváhagyási (UNECE R155) és ügyféli (TISAX) követelmények teljesítése szempontjából egyaránt alapvető.
Egy mai jármű több tucat vezérlőegységet (ECU), belső hálózatot (CAN, Ethernet), kapcsolódó szolgáltatásokat (telematika, mobilalkalmazás, felhő) és távoli frissítési képességet (OTA) tartalmaz. Minden kapcsolat támadási felület lehet, és a következmény nem csak adatvesztés: egy sikeres támadás befolyásolhatja a jármű működését, így a közlekedésbiztonságot. Az iparágban a biztonsági vizsgálat ezért elsősorban a biztonságkritikus funkciók védelmét, a szabályozási megfelelést és a beszállítói lánc bizalmát szolgálja.
A szabályozás szigorú: az ENSZ EGB R155 előírása (kiberbiztonsági irányítási rendszer, CSMS) és az R156 (szoftverfrissítési irányítási rendszer) a típusjóváhagyás feltétele az EU-ban. Az ISO/SAE 21434 szabvány a járművek kiberbiztonsági mérnöki folyamatát írja le, beleértve a fenyegetés- és kockázatelemzést (TARA). A beszállítóknak a megrendelők gyakran TISAX-minősítést várnak el. A biztonsági vizsgálat a TARA feltételezéseit gyakorlati tesztekkel igazolja vagy cáfolja, és bizonyítékot ad a megfelelőséghez.
A vizsgálat nem csak a járműre vonatkozik. A háttérrendszerek (flottakezelés, OTA-szerver, mobilalkalmazás API-k), a töltőinfrastruktúra és a gyártóüzem (OT) ugyanúgy támadási célpont. A NIS2 pedig a járműgyártást is a fontos szektorok közé sorolja. A módszertan a penetrációs tesztelésre épül, az autóipari környezethez igazítva. Nem jogi tanácsadás: a típusjóváhagyás feltételeit a hatóság és a tanúsító szervezet határozza meg.
Szabályozás és szabványok
- UNECE R155 (CSMS)
- UNECE R156 (SUMS)
- ISO/SAE 21434
- TISAX / VDA ISA
- ISO 26262 kapcsolódás
- NIS2
- ISO/IEC 27001
[ 02 ] / KINEK AJÁNLJUK
Kinek éri meg az autóipari biztonsági vizsgálat, és mi a célja náluk?
Az iparágban a vizsgálat célja szereplőnként más: a típusjóváhagyás bizonyítékától a beszállítói minősítésen át az üzemi folytonosságig.
Beszállítók (Tier 1 és Tier 2)
A cél a komponensek biztonságának bizonyítása a megrendelők felé, a TARA validálása, és a megrendelői biztonsági követelmények teljesítése (például TISAX, szerződéses elvárások).
Szoftver- és elektronikai fejlesztők
A cél a fejlesztés közbeni hibák korai feltárása a beágyazott szoftverben, a bootloaderben és a kommunikációs protokollokban, még a sorozatgyártás előtt.
Töltőinfrastruktúra-üzemeltetők és gyártók
A cél a töltők, a töltőprotokollok (például OCPP, ISO 15118) és a háttérrendszerek védelme a visszaélések és a hálózati sérülékenységek ellen.
Flotta- és mobilitási szolgáltatók
A cél a járművekhez kapcsolódó távoli szolgáltatások, mobilalkalmazások és flottakezelő rendszerek biztonságának ellenőrzése.
Gyártóüzemek és üzemeltetők
A cél a termelés folytonosságának védelme és a gyártósori ipari rendszerek (OT) kiberbiztonsági kockázatainak feltárása.
[ 03 ] / MIT TARTALMAZ
Az autóipari biztonsági vizsgálat elemei
A hatókört a termékhez, a fejlesztési fázishoz és a szabályozási igényhez igazítjuk. Az alábbi területek jellemzően a szolgáltatás részei lehetnek.
01
Fenyegetés- és kockázatelemzés (TARA) felülvizsgálata
Az ISO/SAE 21434 szerinti TARA áttekintése és gyakorlati validálása: valóban kihasználhatók-e az azonosított támadási útvonalak.
02
ECU és beágyazott rendszerek tesztelése
Firmware-elemzés, hibakereső interfészek, rendszerindítási lánc, titkosítási kulcsok és adatvédelem vizsgálata a vezérlőegységeken.
03
Járműhálózatok (CAN, Ethernet) és diagnosztika
A belső hálózatok szegmentálása, az üzenethitelesítés, a diagnosztikai hozzáférések (UDS) és a gateway védelme.
04
Infotainment, telematika és vezeték nélküli interfészek
Bluetooth, Wi-Fi, mobilhálózat, USB és alkalmazásszintű támadási felületek vizsgálata.
05
OTA és szoftverfrissítési folyamat
A frissítések hitelességének, integritásának és visszaállíthatóságának ellenőrzése az R156 szerinti folyamat szempontjából.
06
Háttérrendszerek, API-k és mobilalkalmazások
Flottakezelő, OTA- és felhőszolgáltatások, a járműhöz kapcsolódó mobilalkalmazások és API-k penetrációs tesztelése. Lásd még: felhőbiztonság.
07
Töltőinfrastruktúra
Töltőállomások, töltőprotokollok és azok háttérrendszereinek biztonsági vizsgálata.
08
Gyártóüzem és ellátási lánc
A gyártósor ipari rendszerei (OT), a beszállítói kapcsolatok és a távoli hozzáférések vizsgálata, valamint TISAX-felkészítés.
[ 04 ] / HOGYAN ZAJLIK
Az autóipari biztonsági vizsgálat folyamata
A folyamat a fejlesztési életciklushoz igazodik, és a közlekedésbiztonságot soha nem veszélyezteti.
Hatókör és kockázati kép
Megismerjük a terméket, az architektúrát és a szabályozási környezetet, és egyeztetjük a vizsgálandó komponenseket, interfészeket és rendszereket.
Fenyegetésmodell és terv
A TARA és a támadási felület alapján tesztforgatókönyveket készítünk, és kijelöljük a vizsgálati környezetet (komponens, labor, próbapad).
Tesztelés
Komponens-, hálózati, alkalmazás- és háttérrendszer-szinten teszteljük a rendszert. Közlekedésbiztonsági szempontból érzékeny tesztet csak kontrollált környezetben végzünk.
Értékelés és bizonyíték
A találatokat a biztonságra, az adatvédelemre és a megfelelőségre gyakorolt hatás szerint értékeljük, és a szabványokhoz kapcsolható bizonyítékot készítünk.
Jelentés és javítási terv
Átadjuk a technikai jelentést, a vezetői összefoglalót és a javítási javaslatokat, a fejlesztési folyamatba illeszkedve.
Újrateszt
A javítások után ellenőrizzük a megszüntetett hibákat, és szükség esetén támogatjuk az auditorok felé történő bemutatást.
[ 05 ] / MIT OLD MEG
Mit old meg az autóipari biztonsági vizsgálat, és miért éri meg?
Az autóiparban egy kiberbiztonsági hiba nem csak adatvédelmi vagy üzleti kérdés: közlekedésbiztonsági kockázat is lehet, és egy visszahívás vagy a típusjóváhagyás elmaradása óriási költséggel jár. A vizsgálat a hibákat a fejlesztési szakaszban, még a sorozatgyártás előtt, kis költséggel feltárja.
Emellett bizonyítékot ad a szabályozás és a megrendelők felé: az R155-ös típusjóváhagyáshoz, az ISO/SAE 21434 szerinti folyamat igazolásához és a TISAX-hoz is szükséges a gyakorlatban végzett, dokumentált tesztelés.
- közlekedésbiztonságot veszélyeztető sérülékenységek korai felfedezése
- bizonyíték a típusjóváhagyáshoz és az ügyfélauditokhoz
- a TARA feltételezéseinek gyakorlati validálása
- a beszállítói lánc bizalmának erősítése
- visszahívási és üzletmenet-folytonossági kockázat csökkentése
Amit kézhez kap
- vezetői összefoglaló a kockázatról
- TARA-validációs jelentés
- igazolt sérülékenységek bizonyítékokkal
- kockázati besorolás közlekedésbiztonsági és üzleti hatás szerint
- javítási javaslatok a fejlesztőcsapatnak
- szabványokhoz (R155, ISO/SAE 21434, TISAX) kapcsolható bizonyítékcsomag
[ 06 ] / MIÉRT A QYNTAR
Miért a Qyntar végezze az autóipari biztonsági vizsgálatot?
Mert az autóipari tesztelés beágyazott rendszerekhez, hálózatokhoz, háttérszolgáltatásokhoz és a szabályozáshoz egyaránt értő csapatot igényel.
Hardveres és szoftveres tapasztalat
A beágyazott rendszerek, a járműhálózatok és a háttérszolgáltatások tesztelésében is jártas szakemberekkel dolgozunk.
Szabványokra épülő bizonyítékok
A jelentést úgy állítjuk össze, hogy az az ISO/SAE 21434, az R155 és a TISAX bizonyítékigényéhez kapcsolható legyen.
Biztonságra figyelő módszer
A közlekedésbiztonsági szempontból érzékeny teszteket kontrollált környezetben végezzük, és a fejlesztőcsapattal egyeztetjük.
A teljes lánc egy partnerrel
A jármű, a háttérrendszer, a gyártóüzem és a megfelelőségi támogatás vizsgálata egy helyen. Lásd: megfelelőségi támogatás.
[ 07 ] / GYAKORI KÉRDÉSEK
Gyakran ismételt kérdések – autóipari biztonsági vizsgálat
Mi az autóipari biztonsági vizsgálat célja?
Annak igazolása, hogy a járművek, a komponensek és a kapcsolódó rendszerek kiberbiztonsági kockázatai kezeltek, különös tekintettel a közlekedésbiztonságra, valamint a típusjóváhagyás és a megrendelői követelmények teljesítésére.
Mi az UNECE R155 és R156?
Az ENSZ Európai Gazdasági Bizottságának előírásai. Az R155 a járművek kiberbiztonsági irányítási rendszerét (CSMS), az R156 a szoftverfrissítési irányítási rendszert (SUMS) szabályozza. Az EU-ban a típusjóváhagyás feltételei.
Mi az ISO/SAE 21434?
A közúti járművek kiberbiztonsági mérnöki folyamatának nemzetközi szabványa. Leírja a kockázatelemzést (TARA), a fejlesztési és a termelési szakasz követelményeit, valamint a termék teljes életciklusára vonatkozó kiberbiztonsági tevékenységeket.
Mi a TISAX, és hogyan kapcsolódik a vizsgálathoz?
Az autóipari információbiztonsági értékelési és adatcsere-modell, amelyet a beszállítóktól sok megrendelő elvár. A TISAX szervezeti szintű értékelés, a technikai vizsgálat kiegészíti, és bizonyítékot ad a kontrollok működéséről. A minősítést akkreditált szervezet adja, nem a Qyntar.
Veszélyeztetheti a teszt a jármű vagy a komponens működését?
A teszteket kontrollált környezetben (komponens, labor, próbapad) végezzük, és biztonságkritikus funkciókat csak előzetes egyeztetés és szigorú szabályok mellett érintünk. Éles közúti járművön tesztet nem végzünk.
Tesztelnek töltőállomásokat és háttérrendszereket is?
Igen. A töltők, a töltőprotokollok, a flottakezelő és az OTA-rendszerek, valamint a mobilalkalmazások és API-k a vizsgálat részei lehetnek.
Mikor érdemes a vizsgálatot elvégezni?
Már a fejlesztés során, a sorozatgyártás előtt, jelentős változtatás után, a típusjóváhagyás előtt, és rendszeresen a termék életciklusa alatt. Minél korábban találunk meg egy hibát, annál olcsóbb javítani.
[ 08 ] / KAPCSOLÓDÓ SZOLGÁLTATÁSOK
Ezek is érdekelhetik
[ + ] / KAPCSOLAT
Kapcsolat
E-mail
Mondja el, milyen biztonsági kihívással áll szemben.
Egy konkrét technikai kérdéstől a komplex biztonsági projektekig segítünk tisztázni a lehetőségeket, a prioritásokat és a továbblépés irányát.
Mutasd az e-mail címet
info
qyntar
com