Negli ultimi anni l’evoluzione dei veicoli ha richiesto regole comuni per gestire la sicurezza informatica nel settore automobilistico. Per questo, nell’agosto 2021, è stato rilasciato uno standard interamente dedicato alla cyber security dei veicoli: la ISO/SAE 21434.
Tale ISO si può confrontare con gli altri standard già esistenti nel settore automotive, in particolare con lo standard di safety ISO 26262 e con il regolamento UNECE WP.29 R155. Inoltre, in questo articolo vengono identificati alcuni limiti e implementazioni dello standard ISO/SAE 21434.
Indice degli argomenti
Perché la ISO 21434 per il settore automotive
L’aumento costante di componenti elettronici e software nei veicoli richiede uno sviluppo continuo per garantire la sicurezza degli utenti. Infatti, nel corso dell’ultimo decennio, tante (e in continuo aumento) le dimostrazioni di attacchi informatici contro i veicoli.
Il primo e più celebre è quello alla Jeep Cherokee, eseguito nel 2014 e pubblicato nel 2015 da Miller e Valasek. Dal 2015 in poi, altri esempi si sono succeduti fino al più recente, nella primavera 2021, quando Weinmann e Schmotzle hanno disabilitato da remoto il firewall della Tesla Model 3 e sono riusciti a inviare un messaggio attraverso il gateway dell’auto per aprirne gli sportelli di accesso.
Per questo motivo e per la crescente complessità delle comunicazioni intra-veicolari, si sono resi necessari nuovi standard e regole comuni tra i diversi attori dell’infrastruttura stradale. Negli ultimi anni, sono stati sviluppati diversi standard per l’automotive come SAE J3061 o ISO 26262 per assicurare rispettivamente la sicurezza e la safety, ossia la salvaguardia delle persone.
Tuttavia, la crescente domanda di uno standard comune e condiviso di cyber security ha portato nel 2016 l’International Organization for Standardization (ISO) e la Society of Automotive Engineers (SAE) a iniziare a lavorare allo standard ISO/SAE 21434, rilasciato nell’agosto 2021.
Tale documento sta diventando il nuovo standard di cyber security per i sistemi elettrici ed elettronici (E/E) del veicolo e che si affiancherà al regolamento UNECE WP29 R155 dedicato anch’esso alla cyber security.
Correlazione con altri standard automotive
Il settore automotive è altamente standardizzato, infatti diversi standard come ISO 9001, IATF 16949 o ISO 26262 sono già ampiamente applicati. Ovviamente, la ISO/SAE 21434 deve relazionarsi e complementarsi con gli standard già esistenti, in particolare con le norme di qualità e protezione degli utenti. Per questo motivo, è indispensabile analizzare il rapporto tra ISO/SAE 21434 e le altre norme già esistenti.
È possibile notare la stretta correlazione tra ISO/SAE 21434 e ISO 26262, la norma dedicata alla safety degli utenti e dei veicoli, pubblicata per la prima volta nel 2011. Entrambi gli standard hanno diversi elementi comuni quali, ad esempio, regole per la condivisione delle informazioni raccolte dai veicoli e la necessità di una valutazione sulla qualità dei processi di protezione utilizzati.
Oltre alle somiglianze tra ISO/SAE 21434 e ISO 26262, si possono ravvisare anche alcune differenze significative, come la definizione della gestione degli strumenti utilizzati, presente in ISO/SAE 21434, ma non in ISO 26262.
Inoltre, la ISO/SAE 21434 appare più dettagliata della ISO 26262, perché copre tutti gli aspetti dalla progettazione fino alla decomissioning dei componenti. Per esempio, la relazione tra clienti e fornitori è coperta da ISO/SAE 21434, mentre ISO 26262 non affronta direttamente questo argomento.
ISO/SAE 21434 ha ereditato alcuni elementi da SAE J3061, come il processo continuo di gestione della cyber security e la richiesta di una cultura della sicurezza nell’ambiente di sviluppo dei componenti.
Un altro standard di sicurezza correlato è la ISO/IEC 18045:2008, che specifica la metodologia per la valutazione della sicurezza informatica. La ISO/SAE 21434 eredita da questo standard la definizione del rating di fattibilità dell’attacco e la definizione dell’approccio basato sul potenziale di attacco.
Inoltre, la ISO/SAE 21434 è anche correlata alla ISO/IEC/IEEE 15288:2015, che definisce un quadro per descrivere il ciclo di vita di un sistema e che fornisce una definizione specifica di alcuni termini attraverso un glossario, ereditato in parte dalla ISO/SAE 21434.
La cyber security nell’automotive: il ruolo dei Vehicle-SOC (V-SOC) per la mitigazione dei rischi
Limiti e implementazioni della ISO/SAE 21434
La ISO/SAE 21434 è uno standard che ha richiesto diversi anni per essere sviluppato, mostrando il dibattito aperto e le difficoltà che sono ancora presenti per definire uno standard comune per la cyber security dei sistemi E/E nell’automotive.
Il risultato sembra essere uno standard completo e strutturato che è ben inserito in un ambiente altamente standardizzato. La ISO/SAE 21434 fornisce un processo composto da diverse fasi e documenti che coprono tutto il ciclo di vita di un componente dall’accordo tra cliente e fornitore fino alla dismissione. Tuttavia, non è esente da alcuni possibili limiti che potrebbero essere approfonditi.
Per esempio, lo standard non fornisce tecnologie, metodi o soluzioni da implementare per ottenere componenti sicuri e la compliance con lo standard.
Da un lato, questa situazione vuole tenere lo standard ad un livello generico e lasciare il produttore libero di adottare le soluzioni migliori per ogni sistema. Dall’altro lato, questa mancanza di tecnologie e metodi definiti può creare situazioni in cui ogni azienda utilizza la propria soluzione proprietaria, creando possibili conflitti in un ambiente altamente connesso.
Per esempio, la mancanza di limiti definiti per le analisi del rischio può permettere di avere componenti analoghi di diversi produttori con livelli di cyber security differenti, senza però che il cliente ne abbia percezione, perché entrambi conformi a ISO/SAE 21434.
Per mitigare questo rischio, potrebbe essere necessario definire alcuni approcci specifici a seconda del dominio, per esempio telaio, powertrain o carrozzeria, dove si trova il sistema.
