Cybersécurité automobile et système de gestion de la cybersécurité (CSMS)
La cybersécurité automobile protège les systèmes électriques et électroniques, les logiciels, les données et les interfaces externes d'un véhicule contre les cybermenaces. Un système de gestion de la cybersécurité (CSMS) est le cadre global et fondé sur les risques par lequel le constructeur gère ces menaces pendant le développement, la production et la durée de vie prise en charge du véhicule.
Ce que couvre un CSMS
Un CSMS n'est pas un composant de sécurité unique installé dans la voiture. Il définit la gouvernance, les responsabilités, l'évaluation des risques, la coordination des fournisseurs, la vérification, la surveillance des incidents, la réponse aux vulnérabilités et les preuves que la sécurité est maintenue dans le temps. Le Règlement ONU no 155 définit un CSMS comme une approche systématique fondée sur les risques pour les processus, responsabilités et structures de gouvernance de l'organisation. UNECE: UN Regulation No. 155
Sécurité dans l'écosystème du véhicule
Les contrôles techniques peuvent inclure le démarrage sécurisé, les logiciels authentifiés et signés, la protection des clés, la segmentation des réseaux, l'accès diagnostic restreint, l'isolation des applications, les communications chiffrées, la journalisation, la détection d'anomalies et les mises à jour sûres. Les contrôles appropriés dépendent de l'architecture et du modèle de menace.
Le périmètre dépasse la voiture et englobe applications mobiles, backends cloud, outils d'entretien, interfaces de recharge ou de flotte, infrastructure de mise à jour et fournisseurs. Une faiblesse de récupération de compte ou d'une API backend peut compter même si le réseau embarqué est bien protégé.
Cycle de vie et propriété
La cybersécurité est continue, car les menaces, dépendances et services exposés évoluent. Les propriétaires doivent installer les mises à jour légitimes, protéger leurs comptes, retirer l'accès aux anciens utilisateurs et suivre les consignes du constructeur. Les acheteurs doivent demander combien de temps les mises à jour de sécurité sont promises et ce qui se passe lorsque la connectivité ou le support backend prend fin.
En savoir plus
Voir Vehicle cybersecurity pour les surfaces d'attaque, l'architecture défensive, les mises à jour, la réponse aux incidents, la confidentialité et les conseils pratiques.