Cyber Security Management - Neue Dimensionen automobiler Sicherheit - Deloitte
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Cyber Security Management –
Neue Dimensionen automobiler Sicherheit
Cyber Security Management –
Neue Dimensionen automobiler
Sicherheit
UNECE R155/Cyber Security Security Management System einzuführen
Management System (UNECE R155). Wesentlicher Erfolgsfaktor
Vernetzte Fahrzeuge und autonomes für die Umsetzung ist ein Umdenken über
Fahren: Für solche automobilen Schlüssel- die Grenzen der Domänenstrukturen
innovationen gelten seit kurzem neue hinaus – in Richtung eines ganzheitlichen
Regulierungen der UNECE. Zu den wich- Ansatzes, der auch die Lieferkette mit ein-
tigsten Vorgaben gehört die Anforderung, bezieht.
ein normgerecht aufgebautes Cyber
Cyber Security Management – Neue Dimensionen automobiler Sicherheit Vernetzte, digitale Funktionen eröffnen Typzulassungen, später für die gesamte Bedrohungslage durch neu aufkommende Autobauern neue Pfade zu Innovation Modellpalette. UNECE R155 beinhaltet im Schwachstellen regelmäßig neu bewertet und Wachstum, die in der aktuellen Kern die Vorschrift, ein zertifiziertes Cyber werden. Das CSMS muss auch die Ein- Umbruchssituation der Branche von Security Management System (CSMS) haltung von Cyber Security-Anforderungen existentieller Bedeutung sind. Zugleich einzuführen. Hersteller müssen sich dabei entlang der kompletten Lieferkette sicher- schaffen sie aber durch Datenschnittstellen darauf einstellen, dass sich mit dem CSMS stellen. Keine triviale Anforderung, denn und wachsenden Softwareanteil auch ein ihre Verantwortung in neue Dimensionen 70 bis 90 Prozent des Software-Bestands neues Einfallstor für Cyber-Bedrohungen, ausweitet, die bislang noch nicht aus- eines typischen Fahrzeugs stammen aktu- die in einem Fahrzeug durch Ausnutzen reichend im Blick sind. Denn durch die ell von Zulieferern. Auch wenn sich dieser von Schwachstellen einen negativen Ein- besondere Natur von Software-basierter Anteil in Zukunft vermutlich zugunsten der fluss auf die physikalische „Safety“ mit Funktionalität ergibt sich eine kontinuier- OEMs verschieben wird, verdeutlicht der sich bringen können. Darauf haben die liche Verpflichtung zur Security- Aspekt, wie komplex und mehrdimensional internationalen Regulatoren reagiert und Nachbesserung und Gefahren-Abwehr die Thematik ist. Eine ganzheitliche Sicht- neue Vorschriften verabschiedet, um die über den ganzen Lebenszyklus des Fahr- weise auf das CSMS ist daher unerlässlich Auswirkungen von Cyber-Bedrohungen auf zeugs: Die Entwicklung endet nicht mit – von der Entwicklung über die Produktion ein gesellschaftlich akzeptierbares Niveau dem „Start of Production“ (SOP). Die Fahr- inklusive Lieferkette bis zur Fahrzeugflotte abzusenken. Diese Regulationen werden zeugflotten im Feld müssen beobachtet im Feld. in absehbarer Zeit verpflichtend für neue und hinsichtlich einer sich ändernden 2
Cyber Security Management – Neue Dimensionen automobiler Sicherheit
Regulatorischer Anpassungsdruck Die neue Regulation ist ein Ergebnis der
Nicht alle OEMs sind auf diese regulatori- Arbeit des Weltforums für die Harmonisie-
sche Neuerung ausreichend vorbereitet. rung von Fahrzeugvorschriften des Inland
Zu Beginn der mehrjährigen Zyklen vieler Transport Committee (ITC) der Wirtschafts-
aktueller Entwicklungsprojekte waren kommission der Vereinten Nationen für
die neuen Anforderungen schlicht noch Europa (UNECE), bzw. der Untergruppe
unbekannt. Daher besteht jetzt akuter GVRA für automatisierte Fahrzeuge, kurz
Handlungsbedarf, um regulatorische der Arbeitsgruppe WP.29. Im Juni 2020
Compliance zu gewährleisten. Natürlich wurde R155 verabschiedet, im Januar
haben OEMs darüber hinaus auch ein 2021 trat sie in Kraft. Ab Juli 2022 sind
vitales Eigeninteresse an einem robusten die Vorgaben verpflichtend für alle neuen
Cyber Security Management System – um Fahrzeugtypen, ab Juli 2024 dann für sämt-
Haftungsrisiken zu verringern, Reputations- liche Neufahrzeuge in der EU. Ebenfalls
schäden zu vermeiden und das Ausrollen verabschiedet wurde die Regulierung R156,
neuer Daten-getriebener Geschäfts- die den Aufbau und Betrieb eines zerti-
modelle nicht zu gefährden. Die große fizierten Software Update Management
Brisanz des Themas ist den Unternehmen Systems (SUMS) vorschreibt. Weitere Neu-
spätestens seit dem spektakulären exter- regelungen stehen u.a. für das autonome
nen Hack eines US-Fahrzeugs über das Fahren bevor (Automated Lane Keeping
Infotainment-System mit Zugriff u.a. auf System – ALKS sowie SOTIF-Themenkom-
Lenkfunktionen bewusst, der im Jahr 2015 plex: „Security of the Intended Function“,
die Branche aufgerüttelt hat. Es handelte Sicherheit der Sollfunktion; neues Gesetz
sich zwar „nur“ um eine Demonstration zum autonomen Fahren). Diese Aspekte
durch Experten. Unabhängig davon waren werden in weiteren Ausgaben dieser Point
die Folgen drastisch: Rückruf von 1,4 Mio. of View-Reihe behandelt, während im Fol-
Fahrzeugen, Strafzahlung von 105 Mio. Dollar. genden R155 mit den Vorgaben zum CSMS
Ein weiterer Aspekt erhöht den Hand- im Mittelpunkt steht.
lungsbedarf für OEMs noch zusätzlich: der
Es besteht akuter
steigende Wettbewerbsdruck durch neue
Marktteilnehmer. Die Architekturen ihrer
Fahrzeuge sind oft von vornherein digital
konzipiert. Es besteht keine Abhängigkeit
von Legacy-Systemen, eine Umsetzung von
Handlungsbedarf, um
regulatorische Compliance zu
neuen Cyber-Standards ist für diese OEMs
durch fortgeschrittene Software, Update-
Fähigkeiten und technologische Agilität
wesentlich einfacher. Demgegenüber
haben die meisten traditionellen Hersteller
gewährleisten.
Nachholbedarf.
3
Cyber Security Management – Neue Dimensionen automobiler Sicherheit
Neue Normen mit globaler Relevanz betroffen sind, sofern sie für einen UNECE- China gehört nicht zum UNECE-Bereich.
Auch wenn längst nicht alle Nationen zum Markt bestimmt sind. Die USA stehen hier Hier müssen sich OEMs dennoch auf
UNECE-Geltungsbereich gehören, spricht zwar als Nicht-Mitglied unmittelbar außen vergleichbare Anforderungen einstellen.
vieles dafür, dass sich die Regeln zum vor. Doch da die für die Zertifizierung Es kommen aber zusätzlich noch weiter-
globalen De-facto-Standard entwickeln des CSMS wichtige Norm ISO/SAE 21434 gehende Bestimmungen des China Cyber
werden. Direkt zugehörig sind 56 Mitglieds- gemeinsam mit der US-Organisation Security Law dazu, die den Datenschutz,
staaten aus aller Welt. Entscheidend ist Society of Automotive Engineers (SAE) die Informationssicherheit und staatliche
der Ort des Verkaufs bzw. das Exportziel, entwickelt wurde, sind die Regeln auch für Befugnisse betreffen.
so dass auch Fahrzeuge aus Drittländern Fahrzeuge für den US-Markt relevant. Auch
Abb. 1 – UNECE Cyber Regulation in a nutshell
Overview on UNECECyber Security Regulation
Who? What? Where? When?
• UNECE recommendati- • 56 member States in 2018
UNECE
(Economic Commission on on Cyber Security is a Europe, North America
for Europe) legally binding regulation and Asia
to all contracting parties
• USA and China are 2020
ITC • Implementation of a officially out of scope* Publication of UNECE
(Inland Transport Commitee) Cyber Security Manage- Cyber Regulation
• Decisive is the country
ment System (CSMS)
of sale/export 2022
World Forum for across vehicle lifecycle Compliance required
Harmonization of Vehicle that, if certified, is a prere- • Ratification ongoing for all vehicle types
Regulations WP.29 quisite to obtain vehicle
(UNECE Cyber Security) type approval 2024
Compliance required
GRVA • In addition, the establish-
for all vehicles
(Group for automated ment for a Software
vehicles) Update Management 2026
System (SUMS) is
mandatory
Conclusion
• All OEMs need to implement and run a CSMS across the vehicle lifecycle. CSMS is certified by an independent auditor
• CSMS processes must be applied during vehicle development as well as legacy vehicle
• OEMs who do not comply with the provisions of the UNECE WP.29 regulation will not be able to obtain type approval
for new vehicle types starting from 2022 and for all vehicle types starting from 2024
* However compliance is needed to obtain vehicle types approval of vehicles sold in the member countries
Für die Zertifizierung ist die Einhaltung be- z.B. in der Cloud, sind Thema u.a. in der dem ausgewählte konkrete Bedrohungen
stimmter Normen Voraussetzung. Zentrale ISO 27xxx-Standardreihe. Wichtig sind beispielhaft beschrieben sind. Wie ihre
Bedeutung hat hier die erwähnte Norm solche Regeln auch für den Betrieb eines Abwehr im Detail technisch zu gestalten ist,
ISO/SAE 21434 („Road Vehicles – Cyber Se- Vehicle Security Operations Center (VSOC) wird dabei bewusst offengelassen.
curity Engineering“), die u.a. Standards für zur Überwachung der Cyber-Lage in der
die Analyse der Bedrohungslage sowie der Flotte. Die ISO 31xxx-Reihe bringt weitere
Risikobewertung setzt und die Entwicklung Vorgaben zur Risikomodellierung, zur
von Risikomodellen für Onboardsysteme Risikoaggregation und zum Reporting. Zu
fordert. Schnittstellen und Umfeldsysteme, nennen ist auch der Annex 5 von R155, in
4
Cyber Security Management – Neue Dimensionen automobiler Sicherheit
Handlungsfelder für einen
ganzheitlichen Ansatz
Cyber Security-Bedrohungen machen nicht
an den etablierten Grenzen der verschiede-
nen Domänen eines OEMs halt. Beim Auf-
bau eines CSMS kommt es daher wesent-
lich auf eine kooperative, ganzheitliche
Perspektive an, von der Entwicklung eines
Fahrzeugs bis zum Monitoring der Flotte.
Die Umsetzung erfordert Maßnahmen
auf mehreren organisatorischen Ebenen:
Governance, Zusammenarbeit, Fahrzeug-
projekte. Für eine adäquate Governance
ist es notwendig, geeignete Prozesse zur
Identifizierung von Risiken in Onboard- und
Offboardsystemen zu entwickeln und den
Zugriffsbereich des CSMS im Unternehmen
abzustecken. Das Programm sollte dann
zweitens in einer Zusammenarbeit der
einzelnen Domänen umgesetzt und dafür
zunächst in diese hineingetragen werden:
Entwicklung, Qualitätsmanagement,
Lieferantenmanagement, Homologation,
IT sowie Kundenanlaufstellen wie Sales,
Aftersales und Werkstätten. Diese ver-
schiedenen Bereiche der Wertschöpfung
zusammenzuführen ist eine große Her-
ausforderung, da sie bislang eher autark
arbeiten. Doch für die Erkennung, Lösung
und Verhinderung von Cyber-Vorkommnis- Auf der dritten Ebene müssen die neuen sen werden kann. Das CSMS hat zudem
sen ist Kooperation unerlässlich. Im Blick- Prozesse und Kontrollen schließlich auch Implikationen für die Fahrzeugarchitektur,
winkel des Enterprise Risk Management konkret in die Fahrzeugprojekte einfließen. bis hin zu Steuergerätearchitekturen und
besteht durch R155 darüber hinaus auch Wie das in der Entwicklung geschehen Funktionsdesign. Die Entwicklung sollte
explizit eine Verantwortung des Vorstands, soll, ist durch klare Strukturen zu regeln. immer dem „Security by design“-Prin-
der an dem CSMS-Programm beteiligt Bei Neuentwicklungen, die derzeit in den zip folgen, das Security-Pflichtenheft ist
werden muss. Damit stellt sich die weitere Markt gebracht werden, ergeben sich akute frühzeitig gegen das Safety-Pflichtenheft
Herausforderung, aus den genannten ope- Herausforderungen durch den langen abzugleichen. Weitere Herausforderungen
rativen Prozess- und Produktrisiken eine Zeitvorlauf. Die Fahrzeuge befanden sich resultieren aus dem großen Anteil von
Risikoaggregation und -bewertung für den schon lange in Entwicklung, als sich die Software und den komplexeren Supply
Vorstand abzuleiten. Als organisatorische Regeln zum CSMS in den letzten 1-2 Jahren Chains: Lieferanten haben die neuen
Maßnahme verleihen viele Unternehmen herauskristallisierten. Das führt zwangs- Vorgaben ebenfalls zu erfüllen. Bei neuen
dem CISO Zuständigkeit für dieses Thema, läufig zu Lücken, die nun umgehend gefüllt und schon laufenden Projekten müssen
andere schaffen neue Rollen wie den Chief werden müssen. Wichtig ist grundsätzlich, die Software-Qualität stringent kontrolliert
Product Security Officer (CPSO). In diesem einerseits ein zertifiziertes CSMS aufzu- und CSMS-Vorgaben bis zur Code-Ebene
Zusammenhang sind auch die Themen bauen und einzusetzen, andererseits aber hinab umgesetzt werden – ein Bereich, in
Software-Fähigkeiten und Talent-Manage- auch den Nachweis zu erbringen, dass die dem das schon erwähnte SUMS relevant
ment zu beachten. Denn die entsprechen- Kontrollsysteme in den einzelnen Fahr- wird, denn auch beim Implementieren von
den digitalen Skills liegen oft noch nicht zeugprojekten tatsächlich angewendet Updates und Bugfixes sind Cyber-Regeln zu
ausreichend im Unternehmen vor, und eine werden. Eine revisionssichere Dokumen- beachten. Im Bereich der Typzulassungen
entsprechende Rekrutierung gestaltet sich tation ist daher wesentlich. Deloitte hat in wird in diesem Zusammenhang ebenfalls
auf dem derzeitigen Arbeitsmarkt nicht diesem Zusammenhang gute Erfahrungen Neuland betreten: „Delta-Zulassungen“ auf-
einfach. mit selbst entwickelten Dienstleistungen bauend auf früheren Typen sind angesichts
gemacht, mit denen die Effektivität von der fundamentalen Neuerungen nicht
Maßnahmen in den Projekten nachgewie- möglich.
5Cyber Security Management – Neue Dimensionen automobiler Sicherheit
Ausblick: Der regulatorische Diskurs hier auch die Erfahrungen der Deloitte
Die neuen CSMS-Vorgaben von R155 und Certification Services GmbH mit ihrem
den anderen relevanten Regulationen sind breiten technischen Prüfwissen.
zwar schon erlassen. Doch bei weitem
nicht alle zukünftig relevanten Aspekte Die regulatorischen Entwicklungen rund um
sind schon geklärt. In vielen Bereichen das CSMS, ihre operativen Auswirkungen
befindet sich die nationale Anwendung der und strategischen Implikationen – ein
UNECE-Regulationen noch im Fluss. Nicht unübersichtliches Feld, das in Bewegung
nur für OEMs, sondern auch für nationale ist und bleibt. Aber auch wenn noch
Regulatoren und Kontrolleure bringen die nicht sämtliche regulatorischen Details
Vorgaben Herausforderungen mit sich, abschließend festgezurrt sind: Für Hersteller
denn ihre konkrete Ausgestaltung der ist es nun höchste Zeit zu handeln. Sie
Vorgaben muss für OEMs verständlich und müssen im Lauf des Jahres 2021 ihr CSMS
praktisch umsetzbar sein. Deshalb laufen zertifizieren lassen, sonst sind gemäß R155
schon seit einiger Zeit Probe-Assessments die Typzulassungen gefährdet. Ebenso ist
durch Prüfungsorganisationen/technische laut R156 die Einführung eines Software
Dienste bei den Herstellern. Aus solchen Update Management Systems (SUMS)
Probeläufen gewonnene Erkenntnisse Pflicht. Diesem nicht weniger dringenden
fließen in Form von Anpassungen wieder Thema widmet sich der zweite Point of View
in die Regulationstexte ein. Auch bezüglich dieser Reihe.
der Hauptuntersuchung besteht noch
Klärungsbedarf – etwa hinsichtlich der
Frage, bis zu welchem Grad sie in Zukunft Der erste Schritt: welche Konsequenzen eine fehlende
digitalisiert ablaufen wird und ob die Deloitte Vehicle Cyber Security Compliance haben könnte und
Anforderungen aus R155 und R156 in die Readiness Assessment welche Lücken zu schließen sind.
Untersuchungen (z.B. aktuelle Software- Zur Vorbereitung auf die neue regu- Wie kann Cyber Security Readiness
Versionen und Bugfixes eingespielt?) latorische Wirklichkeit ist zunächst weltweit erreicht werden, und wie
einfließen sollten. Im Raum steht außerdem eine umfassende Bestandsauf- steht der Hersteller im Vergleich zu
die Option kontinuierlicher Erhebung von nahme geboten. Hierbei bietet sich Wettbewerbern da?
Prüfdaten, z.B. von Sensoren zur Messeung Unterstützung durch unabhängige
deren Qualität bzw. Degradation. Der Zugriff Dritte an, die einen neutralen, kriti- Das Cyber Security Readiness
auf Datenpunkte könnte in bestimmten schen Blick mitbringen. Die Experten Assessment erfasst im ersten
zeitlichen Rhythmen geschehen, oder von Deloitte haben dafür ein Rea- Schritt den Ist-Zustand mit Doku-
Event-getrieben auf der Basis bestimmter diness Assessment im Rahmen des mentenreviews, aus denen sich Dis-
Schwellenwerte. Durch solche Ansätze Deloitte Automotive Cyber Security kussionspunkte für anschließende
kann eine Leistungsverschlechterung Frameworks entwickelt, mit dem ein Interviews und Workshops ergeben.
von Sensoren durch Abnutzung oder einheitlicher Stand im Unternehmen Durch Deep Dives wird die Analyse
Verschmutzung im Betrieb überwacht hergestellt werden kann. Dieser detailliert, bestehende Lücken im
werden. Hier wird in naher Zukunft erneut Ansatz basiert auf den Erfahrungen Unternehmen können identifiziert
die SOTIF-Thematik relevant, im Moment aus Projekten mit einer Vielzahl von werden. Ein Abgleich mit Deloittes
ist die rechtliche Lage noch nicht klar. OEMs, aus denen u.a. ein umfang- Reifegrad-Modell bietet einen objek-
Deloitte verfolgt diese Entwicklungen reicher CSMS-Fragenkatalog erstellt tiven Maßstab für die Beurteilung.
intensiv, z.B. durch Beteiligung an wurde. Organisationen haben in die- Eine Roadmap und Handlungsemp-
internationalen regulatorischen Gremien ser Lage typische Schwierigkeiten: fehlungen füllen die Gap-Analyse
und durch einen Austausch mit relevanten Fehlendes Compliance-Monitoring, mit umsetzbaren Lösungen. Nach
deutschen Institutionen wie dem Kraftfahrt- mangelnde Transparenz, Verzö- einer Zwischenvalidierung der Er-
Bundesamt (KBA), den TÜV-Organisationen gerungen bei der Umsetzung und gebnisse wird abschließend ein um-
samt nachgelagerter Instanzen und fehlende Risiko-Identifikationspro- fangreicher Assessment Report mit
dem Bundesamt für Sicherheit in der zesse führen zu Problemen, die eine Management Summary und Maß-
Informationstechnik (BSI). Einschlägig sind Zertifizierung des CSMS und damit nahmenlisten erstellt. Das gesamte
die Zulassung gefährden können. Vorgehen wird dabei Audit-konform
Deshalb ist es nötig zu klären, wie dokumentiert. Ein „Friendly Audit“
das eigene Unternehmen im Hinblick durch Deloitte ist eine zusätzliche
auf die Regulationen aufgestellt ist, Option.
6Cyber Security Management – Neue Dimensionen automobiler Sicherheit Kontakte Ingo Dassow Andreas Herzig Anke Guderian Director | Risk Advisory Partner Director | Risk Advisory Automotive Cybersecurity Automotive Lead Risk Advisory Automotive Software Governance Tel: +49 (0)151 58801451 Tel: +49 (0)711 16554 7160 Tel: +49 (0)89 29036 6212 idassow@deloitte.de aherzig@deloitte.de aguderian@deloitte.de Deloitte bezieht sich auf Deloitte Touche Tohmatsu Limited („DTTL“), ihr weltweites Netzwerk von Mitgliedsunternehmen und ihre verbundenen Unternehmen (zusammen die „Deloitte- Organisation“). DTTL (auch „Deloitte Global“ genannt) und jedes ihrer Mitgliedsunternehmen sowie ihre verbundenen Unternehmen sind rechtlich selbstständige und unabhängige Unternehmen, die sich gegenüber Dritten nicht gegenseitig verpflichten oder binden können. DTTL, jedes DTTL- Mitgliedsunternehmen und verbundene Unternehmen haften nur für ihre eigenen Handlungen und Unterlassungen und nicht für die der anderen. DTTL erbringt selbst keine Leistungen gegenüber Mandanten. Weitere Informationen finden Sie unter www.deloitte.com/de/UeberUns. Deloitte ist ein weltweit führender Dienstleister in den Bereichen Audit und Assurance, Risk Advisory, Steuerberatung, Financial Advisory und Consulting und damit verbundenen Dienstleistungen; Rechtsberatung wird in Deutschland von Deloitte Legal erbracht. Unser weltweites Netzwerk von Mitgliedsgesellschaften und verbundenen Unternehmen in mehr als 150 Ländern (zusammen die „Deloitte-Organisation“) erbringt Leistungen für vier von fünf Fortune Global 500®-Unternehmen. Erfahren Sie mehr darüber, wie rund 330.000 Mitarbeiter von Deloitte das Leitbild „making an impact that matters“ täglich leben: www.deloitte.com/de Diese Veröffentlichung enthält ausschließlich allgemeine Informationen. Weder die Deloitte GmbH Wirtschaftsprüfungsgesellschaft noch Deloitte Touche Tohmatsu Limited („DTTL“), ihr weltweites Netzwerk von Mitgliedsunternehmen noch deren verbundene Unternehmen (zusammen die „Deloitte-Organisation“) erbringen mit dieser Veröffentlichung eine professionelle Dienstleistung. Diese Veröffentlichung ist nicht geeignet, um geschäftliche oder finanzielle Entscheidungen zu treffen oder Handlungen vorzunehmen. Hierzu sollten Sie sich von einem qualifizierten Berater in Bezug auf den Einzelfall beraten lassen. Es werden keine (ausdrücklichen oder stillschweigenden) Aussagen, Garantien oder Zusicherungen hinsichtlich der Richtigkeit oder Vollständigkeit der Informationen in dieser Veröffentlichung gemacht, und weder DTTL noch ihre Mitgliedsunternehmen, verbundene Unternehmen, Mitarbeiter oder Bevollmächtigten haften oder sind verantwortlich für Verluste oder Schäden jeglicher Art, die direkt oder indirekt im Zusammenhang mit Personen entstehen, die sich auf diese Veröffentlichung verlassen. DTTL und jede ihrer Mitgliedsunternehmen sowie ihre verbundenen Unternehmen sind rechtlich selbstständige und unabhängige Unternehmen. Stand 03/2021
Sie können auch lesen
