Lo standard ISO 21434 indica i requisiti per il sistema di gestione della sicurezza informatica (CSMS), la cui conformità è prova della sicurezza informatica per l'Automotive

ISO/SAE 21434 – Road Vehicles Cybersecurity Engineering

Collegata al Regolamento n. 155 UNECE, la norma è opera della International Organization for Standardization (ISO) e della Society of Automobile Engineers (SAE); da qui la denominazione esatta ISO/SAE 21434 – Road Vehicles Cybersecurity Engineering.

Lo standard ISO 21434 si applica ai sistemi elettrici ed elettronici (E/E) dei veicoli stradali di produzione in serie, compresi il software e i relativi componenti e interfacce.

Nonostante questa norma non prescriva alcun requisito tecnico o tecnologia relativa alla sicurezza informatica, è la guida per la sicurezza complessiva dei sistemi di guida, perchè:

• specifica i requisiti per la gestione dei rischi di cybersecurity
• tratta il tema del ciclo di vita del prodotto, dalla fase di concept alla dismissione, compresi gli aspetti necessari all’OEM per raggiungere la conformità dal punto di vista organizzativo
• definisce un linguaggio comune per gestire il rischio di sicurezza informatica all’interno della supply chain

Applicazione dello standard ISO 21434

L’applicazione dello standard ISO 21434 vale propriamente per il veicolo, nel senso che il sistema esterno al veicolo dovrà essere considerato interfaccia, al di fuori quindi del campo della ISO 21434.

Inoltre, l’applicazione è limitata a elementi e componenti rilevanti per la sicurezza informatica, ed include il post-vendita e le parti di ricambio, come indicato nell’Allegato D: rilevanza per la sicurezza informatica.

Quindi, rientrano nei componenti presi in esame dalla ISO 21434:

• Gateway
• Sistemi di infotainment
• Sensori
• Videocamere
• Sistemi di sicurezza
• Sistemi di comunicazione in genere

Al contrario, si considerano parti dell’interfaccia, ricordiamo, ad oggi esterni al campo di applicazione dello standard:

• Dispositivi di archiviazione esterna
• Server di back-end
• Sistemi di connettività
• Applicazioni di diagnostica e manutenzione

A queste ultime parti possono essere applicati standard diversi, come ad esempio la IEC 62443, la ISO 27001, o la NIST.

Ciclo di vita della sicurezza informatica ISO 21434

Il ciclo di vita, ai fini del sistema di gestione ISO 21434, evidenzia la centralità degli aspetti legati all’organizzazione per garantire la cybersecurity dei prodotti finali.

Così come altri standard di sicurezza informatica si focalizzano sui ruoli e le responsabilità degli OEM, anche la ISO 21434 enfatizza largamente questo tema, dedicando ampie sezioni a:

• Governance della sicurezza informatica
• Fornitura delle risorse
• Cultura della sicurezza informatica
• Procedure di cybersecurity
• Condivisione delle informazioni

Il ragionamento e l’applicazione dietro al ciclo di vita della sicurezza ISO 21434 sono riassunti nello schema qui sotto.

Clicca qui per ingrandire l’immagine

Leggi gli articoli:

• TARA ISO 21434 per l’analisi dei rischi e delle minacce cyber

• Glossario della norma ISO/SAE 21434 per la Automotive Cybersecurity