自動車のサプライチェーンにおけるサイバーセキュリティの保証レベル

自動車のサイバーセキュリティ規格ISOSAE 21434は、コンポーネントやインターフェースを含む、道路車両の電気および電子システムのサイバーセキュリティリスク管理の要件を指定しています。 コンセプト、開発、生産、運用、保守、および廃棄のためのエンジニアリングをカバーしています。前のブログ投稿では、ISO SAE 21434の全体的な構造について説明し、間もなく完成する自動車業界の規格の不可欠なコンポーネントである3つの作業成果物について簡単に説明しました。

どのレベルが必要か決定する

サイバーセキュリティの保証レベルは、目標を設定し、セキュリティおよびエンジニアリンググループ外とのコミュニケーションを支援するために使用できます。ただし、それらの主な用途は、一連の特定の攻撃とそれに関連するベクトルに対する影響、特に車両に対する攻撃のリスクを、無視できるものから深刻なものまで評価することです。

車両への物理的なアクセスまたは近接による局所的な接続が、攻撃に必要になる場合があります。最も深刻な攻撃は、広域ネットワークまたは長距離通信方式を介してリモートで実行される可能性があります。評価者は、アタック・ベクター、影響、伝播、その他の要因とともに、車両の電気システムの各コンポーネントの保証レベルに関連付けられた信頼水準を確立できます。

コンポーネントのすべてのサイバーセキュリティ目標に単一の保証レベルを割り当てることも、各サイバーセキュリティ目標に複数の保証レベルを割り当てることもできます。保証と目標の単一のマッピングはありません。ただし、自動車業界における各組織の役割に固有の適切なサイバーセキュリティ目標があります。目標は通常、「予防」や「保護」などの言葉で作成され、保証のレベルはこれを「多層防御」アプローチとして構成します。技術的なソリューション、標準、および要件をこれらの目標に含めるべきではありません。代わりに、それらの手法を伝える必要があります。

組織には、内部および外部で使用するためのセキュリティ成熟度のロードマップを伝達するための単一のサイバーセキュリティ目標または一連の目標が設定されている場合があります。サイバーセキュリティ保証のレベルを、サイバーセキュリティの成熟度を導入する機会を提供する電動パワートレインのロードマップに合わせるよう検討しましょう。コンポーネントがサイバーセキュリティの機能を獲得することで、顧客と規制当局の両方がセキュリティ目標の統合をほどよく期待することになります。