Los vehículos modernos son redes complejas de componentes informáticos interconectados a través de interfaces cableadas e inalámbricas como CAN, LIN y Automotive Ethernet. Además, las nuevas generaciones de vehículos pueden conectarse externamente a servicios telemáticos, redes de recarga de vehículos eléctricos y plataformas de conducción inteligente, lo que los hace vulnerables a sofisticadas ciberamenazas.
Para hacer frente a estos riesgos, los fabricantes de vehículos deben cumplir las normas y estándares en evolución para gestionar la ciberseguridad en los vehículos de carretera. Como principales desarrolladores de componentes críticos para la ciberseguridad, los proveedores de primer nivel desempeñan un papel fundamental a la hora de garantizar la seguridad y resistencia del ecosistema automovilístico.
En la actualidad, las normas UNECE R155 y R156, junto con las nuevas normas locales chinas GB44495 y GB44496 y la Directiva RED en Europa, representan el estado actual de la normativa por la que navegan los OEM para definir los requisitos de ciberseguridad.
Para demostrar la resistencia de los componentes frente a los ataques más avanzados, los OEM y los fabricantes de primer nivel pueden recurrir a laboratorios de seguridad especializados para evaluar sus productos.
Evaluaciones de ciberseguridad para componentes de automoción
Los laboratorios IT de Applus+ cuentan con un sólido historial de logros en la evaluación de la seguridad de componentes integrados a nivel de hardware, software, comunicaciones y criptografía. Tenemos experiencia en toda la estructura OSI, desde el arranque del sistema hasta las comunicaciones entre sistemas. Esta visión global nos permite evaluar sistemas complejos con un alto nivel de garantía.
Servicios de Certificación de Conformidad para Normas Internacionales
Nuestro equipo de expertos en ciberseguridad y auditores experimentados ofrece servicios de Certificación de Conformidad para las siguientes normas internacionales aplicables:
- ISO/SAE 21434: Establece un marco a nivel de organización para gestionar los riesgos de ciberseguridad en los vehículos de carretera a lo largo de su ciclo de vida, desde la concepción y el diseño hasta la producción, el funcionamiento y el desmantelamiento.
- ISO 26262: Define las normas de seguridad funcional para los vehículos de carretera, centrándose en la identificación, evaluación y mitigación de los riesgos asociados a los sistemas electrónicos y eléctricos para evitar fallos peligrosos.
- ISO 24089: Proporciona directrices para las actualizaciones de software en vehículos de carretera, garantizando una gestión segura, fiable y eficiente de las actualizaciones inalámbricas y las medidas de ciberseguridad relacionadas.
El servicio incluye las siguientes actividades y entregables:
- Análisis de carencias: Nuestros expertos en ciberseguridad llevan a cabo un análisis preliminar de las deficiencias para identificar las desviaciones de los requisitos de la norma ISO/SAE 21434 y proporcionar recomendaciones prácticas para superar las deficiencias de cumplimiento de forma eficaz.
- Evaluación de auditoría: Nuestro servicio de certificación lleva a cabo una auditoría detallada de tu sistema de gestión de la ciberseguridad, garantizando que se ajusta a los requisitos de la norma ISO/SAE 21434.
- Informe de auditoría detallado: Recibe un informe de auditoría completo en el que se describen los hallazgos, los puntos fuertes y las áreas de mejora, ofreciendo un criterio de evaluación completo de terceros basado en ISO/PAS 5112.
- Certificado de conformidad: Una vez finalizada con éxito la auditoría, proporcionamos un certificado de conformidad, demostrando tu cumplimiento de las normas ISO/SAE 21434 a socios, clientes y al sector.
Evaluaciones de seguridad a medida de las necesidades del cliente
Las evaluaciones de seguridad abarcan actividades de pruebas de penetración para componentes eléctricos/electrónicos de automoción. Personalizamos el proceso de evaluación para alinearlo con precisión con el alcance y los requisitos deseados.
El objetivo de este tipo de evaluaciones incluye una amplia gama de componentes objetivo, tales como:
- Componentes electrónicos: Componentes básicos de los sistemas de automoción, incluido el sistema en chip (SoC) para el procesamiento, los módulos de seguridad de hardware (HSM) para el cifrado y la gestión segura de datos, y las placas de circuito impreso (PCB) que interconectan y soportan los componentes electrónicos.
- Dispositivos: Unidades integradas que realizan funciones específicas dentro del vehículo, como las unidades de control electrónico (ECU) para gestionar el motor o los sistemas de frenado, las unidades de control telemático (TCU) para la conectividad y la comunicación, y los cargadores de a bordo (OBC) para gestionar la carga de vehículos eléctricos.
- Sistemas y redes: Infraestructura que conecta componentes y dispositivos, incluidos protocolos de comunicación como CAN (Controller Area Network), Bluetooth y Ethernet 100-BaseT1, así como redes externas como los estándares 3GPP para conectividad celular.
Las principales actividades que realizamos en nuestras evaluaciones de seguridad son:
- Revisión del diseño, revisión del código fuente (SCR) y análisis de vulnerabilidades (VA).
- Pruebas de penetración completas para evaluar la resistencia y resiliencia del dispositivo frente a ataques.
- Evaluaciones personalizadas para requisitos de conformidad OEM/Tier personalizados.
Formaciones sobre ciberseguridad y buenas practicas (diseño y código)
Formación y cursos abiertos sobre ciberseguridad dirigidos a trabajadores como ingenieros de sistemas, responsables de ciberseguridad o arquitectos de software. Algunos ejemplos de nuestra formación:
- Principios avanzados de codificación segura y cómo aplicarlos en las operaciones diarias.
- Soluciones de automoción desde la perspectiva de un atacante y cómo se pueden atacar los dispositivos, ayudando a identificar formas de aplicar estos conocimientos a tu producto y hacerlo más robusto.
¿Por qué escoger a Applus+ Laboratories como partner de ciberseguridad?
- Un laboratorio especialista en evaluaciones de seguridad de alta garantía y con experiencia en diversos sectores: automoción, pagos, telecomunicaciones, industria, mobile…
- Técnicas de ataque avanzadas y equipos para evaluar componentes y dispositivos integrados en el vehículo, cubriendo ataques físicos, de software, ataques de red y wireless.
- Soporte en fase de desarrollo para la validación de la seguridad del producto a lo largo del ciclo de vida.
- Presencia en Europa (3 laboratorios en España), Norteamérica (1 laboratorio en Canada y otro en USA) y en Asia (Shanghái, China).
- Capacidad para cubrir diferentes estándares y regulaciones relacionadas con la ciberseguridad para el sector de la automoción.
Nota: Dado que Applus+ Laboratories está acreditado como laboratorio independiente por varios esquemas de certificación, los ingenieros de Applus+ nunca participan en el desarrollo de producto o la implementación de soluciones, garantizando así su imparcialidad.