Подходы к регулированию

С тех пор как в июле 2022 года Правила ЕЭК ООН № 155 (UN R155) стали обязательными для автопроизводителей (OEM) в 64 странах (в том числе в России и СНГ), важность внедрения требований различных стандартов ISO становится все более актуальной. Ключевыми среди этих стандартов являются ISO 26262, ISO/SAE 21434, Trusted Information Security Assessment Exchange (TISAX) и Automotive Software Process Improvement and Capability Determination (ASPICE). При внедрении рекомендаций стандартов ISO 26262 и ISO/SAE 21434 производители сталкиваются с рядом сложностей.

ISO 26262 в первую очередь фокусируется на функциональной безопасности, области, которую автопроизводители часто выделяют в качестве приоритетной при сертификации. В отличие от этого, ISO 21434 смещает акцент на информационную безопасность, критический аспект, который многие автопроизводители склонны упускать из виду. Стандарт ISO 21434 подчеркивает важность использования надежных методов обеспечения информационной и кибербезопасности в автопроме. Кроме того, к июлю 2024 года правила дорожного движения станут обязательными условиями безопасности для вновь выпускаемых транспортных средств, как того требуют Правила 155 (во всех странах WP.29). В ряде стран также предусмотрен механизм контроля и сертификации этих требований. В частности в России ведётся подготовка серии межгосстандартов и пакета изменений в ТР ТС 018/2011.

Это следующий серьезный вызов для отрасли. Автопроизводителям необходимо начать обдумывать, смогут ли они внедрить новые процессы или улучшить существующие в ближайшее время, принимая во внимание иностранный опыт правоприменения.

Наша компания уже несколько лет занимается вопросами автомобильной кибербезопасности как на техническом уровне, так и на уровне процессов и внедрения требований стандартов, предоставляя рекомендации и помощь различным автопроизводителям и их. В этом разделе мы расскажем о том, как ТБТ использует свой опыт, чтобы помочь нашим партнёрам ориентироваться в меняющемся нормативно-правовом поле и соответствовать ему.

В 2023 году многие автопроизводители и их поставщики продолжили внедрение требований Правил ЕЭК ООН 155 для системы управления кибербезопасностью (CSMS) и получения одобрения типа транспортного средства. Помимо этого, многие ОЕМ занимались также реализацией требований Правил ЕЭК ООН 156 для системы управления обновлениями программного обеспечения (SUMS).
В связи с приближающимся сроком (июль 2024 г.), с которого все новые ТС должны будут иметь одобрение типа транспортного средства в соответствии с Правилами 155, некоторые автопроизводители снимают с продаж ряд моделей, которые были разработаны без внедрения требований регулирования.

В частности, самый продаваемый автомобиль Porsche – Macan с двигателем внутреннего сгорания, будет снят с продажи в 2024 году по всей Европе. Решение немецкой фирмы исключить среднеразмерный внедорожник из своей европейской линейки является результатом действия правил ЕЭК ООН 155.

Вместе с ISO 21434 и рядом других стандартов, эти правила являются частью единого подхода к защите от киберугроз. В связи с изменениями в законодательстве, развитием отраслевых стандартов и исследованиями на основе полученных знаний такие организации как: Национальное управление безопасности дорожного движения США (NHTSA), Агентство Европейского союза по кибербезопасности (ENISA) и членская торговая ассоциация Auto-ISAC – обновили свои руководящие принципы и документы с передовым опытом.

Важно отметить, что Правила 155 как и ISO/SAE 21434 избегают описания конкретных решений и точных процессов, вместо этого подчеркивая важность внедрения высоких стандартов анализа кибербезопасности. В руководстве описывается процесс и указываются цели анализа рисков и реагирования, подчеркивается необходимость учета угроз и уязвимостей кибербезопасности в течение всего срока службы на этапах разработки, производства и постпроизводства.

Национальное регулирование напротив, носит более точечный характер. Меняющиеся нормативные акты по всему миру отражают согласованные усилия правительств и регулирующих органов по адаптации к технологическим достижениям, повышению безопасности и решению экологических проблем, демонстрируя глобальную приверженность формированию безопасного будущего автомобильной промышленности. В прошлогоднем отчёте мы рассматривали опыт регулирования в Европе, США, Японии и Китае. В этом году к нашему анализу добавляется Индия, где также появляется регулирование подходов к этой сфере.