Norme de cybersécurité obligatoire pour les véhicules connectés en vigueur en Chine

Un véhicule connecté n'est plus un produit mécanique mais un système fonctionnant sur un réseau. Les fonctions de mise à jour à distance, de télématique et d'aide à la conduite rendent la sécurité du véhicule indissociable du logiciel.

C'est pourquoi les grands marchés font de la cybersécurité automobile une partie de l'évaluation de conformité. Cette approche, mise en œuvre en Chine via une norme nationale obligatoire, ajoute la dimension cybersécurité à la chaîne d'homologation du véhicule.

Le point commun de ces normes est qu'elles exigent non pas des fonctions isolées mais un système de management : évaluation des risques, développement sécurisé, surveillance des vulnérabilités et réponse aux incidents. Le document devient donc la preuve d'un processus, pas d'un essai.

La chaîne d'approvisionnement entre aussi dans le champ d'application. Le fabricant d'une unité de contrôle ou d'un module télématique dans le véhicule doit transmettre sa propre preuve de sécurité à l'OEM.

La référence internationale en cybersécurité automobile est constituée des règlements UNECE R155 (système de management de la cybersécurité) et R156 (système de management des mises à jour logicielles) ; ils sont largement utilisés dans le secteur avec la norme de processus ISO/SAE 21434.

Un système de management construit selon ces cadres ne repart pas de zéro pour satisfaire aux exigences en Chine : la majeure partie des mêmes preuves de processus peut être réutilisée. Cependant, une analyse d'écart distincte est nécessaire pour les exigences propres de la norme locale.

Cet article porte sur le fonctionnement des cadres ; pour le numéro de la norme, sa date d'entrée en vigueur et son champ d'application, il convient de se référer à l'avis officiel et à la notification de l'organisme de certification avec lequel vous travaillez.

La cybersécurité d'un véhicule connecté présente une structure de risque différente de la sécurité produit classique. Une défaillance hydraulique de frein affecte un seul véhicule ; une vulnérabilité logicielle exploitable à distance peut en revanche affecter simultanément toute une flotte du même modèle. Cette différence d'échelle modifie aussi l'approche du régulateur.

C'est pourquoi l'approche adoptée dans le monde est passée du test individuel du produit à l'audit du SYSTÈME DU FABRICANT : une analyse des menaces et une évaluation des risques sont-elles réalisées, les exigences de sécurité descendent-elles dans la conception, les divulgations de vulnérabilités sont-elles suivies, la mise à jour logicielle est-elle distribuée de façon sécurisée.

Le deuxième axe est la gestion des mises à jour logicielles. La mise à jour à distance est aussi bien le moyen le plus rapide de combler une faille de sécurité que le canal le plus dangereux en cas d'abus : l'intégrité et la vérification de l'origine de la chaîne de mise à jour sont donc réglementées comme une exigence distincte.

Le constructeur est le destinataire de l'homologation, mais la majorité des vulnérabilités proviennent des unités électroniques de la chaîne d'approvisionnement et des composants logiciels tiers. C'est pourquoi l'obligation est transmise vers le bas par contrat.

Les éléments typiquement exigés du fournisseur sont : un inventaire des composants logiciels et versions utilisés, une analyse des menaces au niveau de l'unité, une preuve de vérification des exigences de sécurité, et un engagement de divulgation des vulnérabilités tout au long de la durée de vie du produit.

L'inventaire des composants est l'élément le plus souvent négligé et le plus critique : sans inventaire, on ne peut répondre à la question de savoir quelle vulnérabilité se trouve dans quelle unité, et la gestion des vulnérabilités ne peut donc pas fonctionner.

La logique des exigences de cybersécurité se ressemble d'un marché à l'autre, mais la mise en œuvre diverge : quels documents présenter dans quelle langue, qui effectuera l'audit, ainsi que des règles supplémentaires sur la localisation des données et les données cartographiques/de localisation proviennent des réglementations nationales.

C'est pourquoi un système de management établi sur un marché peut ne pas être directement accepté sur un autre ; le système lui-même n'est pas reconstruit, mais le dossier de preuves est recompilé sous la forme requise par le marché cible.

Les éléments les plus chronophages de la planification sont le rendez-vous d'audit et la traduction de la documentation dans la langue locale ; une fois le travail technique terminé, le processus attend sur ces deux points.