Çin'de bağlantılı araçlar için zorunlu siber güvenlik standardı yürürlükte

Bağlantılı araç, artık bir mekanik ürün değil ağ üzerinde çalışan bir sistem. Uzaktan güncelleme, telematik ve sürücü destek işlevleri, aracın güvenliğini yazılım tarafından ayrılamaz hâle getiriyor.

Bu nedenle büyük pazarlar araç siber güvenliğini uygunluk değerlendirmesinin bir parçası hâline getiriyor. Çin'de zorunlu bir ulusal standart üzerinden yürüyen bu yaklaşım, aracın tip onayı zincirine siber güvenlik boyutunu ekliyor.

Bu tür standartların ortak yönü, tek tek işlevleri değil bir yönetim düzenini istemesi: risk değerlendirmesi, güvenli geliştirme, zafiyet izleme ve olay müdahalesi. Yani belge, bir testin değil bir sürecin kanıtı oluyor.

Tedarik zinciri de kapsama giriyor. Aracın içindeki bir kontrol ünitesinin ya da telematik modülünün üreticisi, kendi güvenlik kanıtını OEM'e aktarmak durumunda kalıyor.

Araç siber güvenliğinde uluslararası referans UNECE R155 (siber güvenlik yönetim sistemi) ve R156 (yazılım güncelleme yönetim sistemi) düzenlemeleridir; sektörde yaygın olarak ISO/SAE 21434 süreç standardıyla birlikte kullanılırlar.

Bu çerçevelere göre kurulmuş bir yönetim sistemi, Çin'deki gerekliliklerin karşılanmasında sıfır noktası olmuyor: aynı süreç kanıtlarının büyük bölümü yeniden kullanılabiliyor. Ancak yerel standardın kendi gereklilikleri için ayrı bir fark analizi gerekiyor.

Bu yazı çerçevelerin işleyişine ilişkindir; standardın numarası, yürürlük tarihi ve kapsamı için resmî duyuru ve çalıştığınız belgelendirme kuruluşunun bildirimi esas alınmalıdır.

Bağlantılı araçta siber güvenlik, klasik ürün güvenliğinden farklı bir risk yapısı taşır. Bir fren hidroliğinin arızası tek bir aracı etkiler; uzaktan sömürülebilen bir yazılım açığı ise aynı model bütün filoyu aynı anda etkileyebilir. Ölçek farkı, düzenleyicinin yaklaşımını da değiştirir.

Bu yüzden dünyada benimsenen yaklaşım ürünü tek tek denemek yerine ÜRETİCİNİN SİSTEMİNİ denetlemeye kaydı: tehdit analizi ve risk değerlendirmesi yapılıyor mu, güvenlik gereklilikleri tasarıma iniyor mu, açık bildirimleri izleniyor mu, yazılım güncellemesi güvenli biçimde dağıtılıyor mu.

İkinci eksen yazılım güncelleme yönetimidir. Uzaktan güncelleme, bir güvenlik açığını kapatmanın en hızlı yolu olduğu kadar, kötüye kullanıldığında en tehlikeli kanaldır: güncelleme zincirinin bütünlük ve kaynak doğrulaması bu yüzden ayrı bir gereklilik olarak düzenlenir.

Araç üreticisi tip onayının muhatabıdır, ancak açıkların büyük bölümü tedarik zincirindeki elektronik ünitelerden ve üçüncü taraf yazılım bileşenlerinden gelir. Bu yüzden yükümlülük sözleşmeyle aşağıya taşınır.

Tedarikçiden istenen tipik kalemler şunlardır: kullanılan yazılım bileşenlerinin ve sürümlerinin envanteri, ünite düzeyinde tehdit analizi, güvenlik gereksinimlerinin doğrulama kanıtı ve ürün ömrü boyunca açık bildirimi taahhüdü.

Bileşen envanteri en çok gözden kaçan kalemdir ve en kritik olanıdır: hangi açık hangi ünitede bulunuyor sorusuna envanter olmadan yanıt verilemez, dolayısıyla açık yönetimi işletilemez.

Siber güvenlik gerekliliklerinin mantığı pazarlar arasında benzeşir ama uygulama ayrışır: hangi belgelerin hangi dilde sunulacağı, denetimin kim tarafından yapılacağı, veri yerelleştirme ve harita/konum verisine ilişkin ek kurallar ulusal düzenlemelerden gelir.

Bu yüzden bir pazarda kurulmuş bir yönetim sistemi, başka bir pazarda doğrudan kabul edilmeyebilir; sistemin kendisi yeniden kurulmaz ama kanıt dosyası hedef pazarın istediği biçimde yeniden derlenir.

Planlamada en çok zaman alan kalem denetim randevusu ve dokümantasyonun yerel dile çevrilmesidir; teknik çalışma bittiğinde süreç bu iki kalemde bekler.