Il veicolo moderno non è più definito soltanto dai suoi sistemi meccanici. Connettività, software, centraline elettroniche, servizi cloud, applicazioni mobili e aggiornamenti over-the-air determinano sempre più il modo in cui un veicolo funziona durante l’intera vita utile.
Questa trasformazione ha creato una nuova sfida per l’omologazione. Un veicolo può essere tecnicamente conforme quando lascia la linea di produzione, eppure la sua esposizione in termini di cybersecurity può cambiare con l’emergere di nuove vulnerabilità, l’evoluzione dei servizi connessi e l’aggiornamento del software.
I regolamenti UN n. 155 e n. 156 rispondono a questo cambiamento fondamentale. Insieme introducono quadri normativi per la cybersecurity dei veicoli, la gestione della cybersecurity e la governance degli aggiornamenti software — estendendo la conformità dal veicolo fisico ai processi organizzativi del costruttore e al ciclo di vita digitale continuo del veicolo.
L’omologazione non riguarda più solo l’hardware
L’omologazione tradizionale dei veicoli si è sviluppata attorno a sistemi fisici relativamente stabili: freni, sterzo, illuminazione, strutture, emissioni e protezione degli occupanti.
I veicoli moderni introducono un contesto ingegneristico molto diverso. Il software controlla sempre più funzioni critiche per la sicurezza, mentre i veicoli comunicano costantemente con sistemi esterni.
Le caratteristiche del veicolo rimangono in gran parte invariate dopo la produzione, con una valutazione normativa concentrata sull’approvazione del progetto e sulla conformità della produzione.
Software, connettività, servizi di backend e minacce cyber emergenti possono modificare l’ambiente operativo del veicolo durante l’intera vita in servizio.
La cybersecurity diventa parte dell’omologazione del veicolo
Il regolamento UN n. 155 stabilisce disposizioni uniformi relative all’omologazione dei veicoli per quanto riguarda la cybersecurity e il sistema di gestione della cybersecurity — CSMS.
Il regolamento crea due livelli di assurance strettamente collegati.
Il costruttore deve dimostrare di disporre di processi per individuare, valutare, trattare e monitorare i rischi di cybersecurity nelle fasi pertinenti del ciclo di vita del veicolo.
Il costruttore deve dimostrare che i rischi di cybersecurity pertinenti per il tipo di veicolo sono stati individuati e affrontati in modo adeguato.
La cybersecurity deve essere gestita come un processo lungo il ciclo di vita
Il sistema di gestione della cybersecurity cambia il modello di conformità, perché l’omologazione dipende in parte dalla capacità organizzativa e non solo dalle caratteristiche di un singolo veicolo.
I processi devono individuare minacce, vulnerabilità e potenziali percorsi di attacco pertinenti per la cybersecurity.
I rischi individuati devono essere valutati in base alle loro potenziali conseguenze e alla loro probabilità.
Vengono attuate misure progettuali, tecniche e organizzative adeguate per ridurre il rischio di cybersecurity.
Le misure di cybersecurity necessitano di evidenze a supporto che ne dimostrino l’efficacia prevista.
Nuove minacce e vulnerabilità devono continuare a essere considerate dopo l’entrata in servizio dei veicoli.
I costruttori necessitano di processi per intervenire quando vengono individuate questioni di cybersecurity pertinenti.
La gestione della cybersecurity non può concludersi con il rilascio dell’omologazione, perché lo stesso scenario delle minacce continua a cambiare.
La superficie di attacco del veicolo si estende ben oltre il veicolo
I veicoli connessi interagiscono con numerosi sistemi interni ed esterni. La valutazione della cybersecurity deve quindi considerare l’intero ecosistema e non solo i singoli componenti elettronici.
Le reti di comunicazione interne e le centraline elettroniche possono diventare potenziali percorsi di attacco.
Interfacce cellulari, Wi-Fi, Bluetooth e altre interfacce di comunicazione aumentano la connettività esterna.
L’accesso per assistenza e diagnosi può introdurre rischi di cybersecurity se non adeguatamente controllato.
I server del costruttore e i servizi connessi possono influire sulle funzioni e sui dati del veicolo.
Le applicazioni di controllo del veicolo e quelle per l’utente possono diventare parte del perimetro più ampio della cybersecurity.
Software, librerie, componenti e fornitori terzi possono introdurre vulnerabilità al di fuori dell’ambiente di sviluppo diretto dell’OEM.
Gli aggiornamenti software diventano parte del controllo normativo
Il regolamento UN n. 156 stabilisce disposizioni uniformi relative agli aggiornamenti software e al sistema di gestione degli aggiornamenti software — SUMS.
La sua importanza va ben oltre l’aggiornamento over-the-air. Il regolamento crea un quadro strutturato per il controllo delle modifiche software che possono incidere sulle caratteristiche omologate del veicolo.
Il costruttore stabilisce processi per individuare, valutare, controllare, documentare e distribuire gli aggiornamenti software dei veicoli.
Il veicolo e i relativi processi di aggiornamento devono soddisfare i requisiti applicabili in materia di identificazione del software, integrità ed esecuzione sicura degli aggiornamenti.
La sua finalità più ampia è garantire che gli aggiornamenti software siano controllati in modo sistematico e che le caratteristiche del veicolo rilevanti per l’omologazione restino tracciabili al variare del software.
Le modifiche software richiedono governance
Il sistema di gestione degli aggiornamenti software fornisce il quadro organizzativo attraverso il quale i costruttori controllano gli aggiornamenti software che interessano i veicoli.
Le versioni e le configurazioni software pertinenti devono rimanere identificabili e tracciabili.
I costruttori necessitano di processi per stabilire come un aggiornamento incida sulle caratteristiche omologate del veicolo.
Le modifiche devono essere valutate per stabilire se siano necessarie prove aggiuntive, un’estensione dell’omologazione o altri interventi normativi.
I pacchetti di aggiornamento software e i processi di distribuzione richiedono protezione contro manipolazioni non autorizzate.
Il veicolo deve gestire in modo appropriato il processo di installazione e le condizioni pertinenti per l’esecuzione dell’aggiornamento.
Le modifiche software e il loro rapporto con la configurazione omologata del veicolo richiedono registrazioni controllate.
RxSWIN collega il software all’omologazione
Uno dei concetti importanti introdotti dal quadro UN R156 è il numero di identificazione del software ai fini regolamentari — RxSWIN.
Ove applicabile, RxSWIN fornisce un meccanismo normativo per collegare il software pertinente a un determinato regolamento UN con la configurazione omologata del veicolo.
L’omologazione tradizionale identifica le configurazioni fisiche, i sistemi e i componenti associati a un’omologazione.
RxSWIN consente di rendere identificabile la configurazione software applicabile all’interno del quadro normativo.
Due veicoli fisicamente identici possono comportarsi in modo diverso perché contengono software diversi. La tracciabilità normativa deve quindi identificare sempre più non solo l’hardware, ma anche il software che governa le funzioni omologate.
Il veicolo può cambiare dopo aver lasciato la fabbrica
L’aggiornamento over-the-air consente ai costruttori di modificare il software del veicolo da remoto, senza che ogni veicolo debba recarsi in officina.
I vantaggi sono notevoli. I costruttori possono correggere difetti, migliorare le funzionalità, risolvere vulnerabilità di cybersecurity e distribuire nuove funzionalità su intere flotte di veicoli.
La stessa capacità pone però una questione di omologazione senza precedenti: che cosa accade quando un veicolo già omologato cambia dopo essere entrato in servizio?
Determinare la configurazione esistente del veicolo e le omologazioni applicabili.
Valutare se l’aggiornamento proposto modifica caratteristiche rilevanti per l’omologazione.
Verificare che il software modificato si comporti come previsto e continui a soddisfare i requisiti applicabili.
Fornire l’aggiornamento attraverso meccanismi controllati e protetti.
Garantire che il veicolo possa completare in sicurezza o gestire in modo appropriato il processo di aggiornamento.
Conservare le evidenze della configurazione software e normativa risultante.
Cybersecurity e aggiornamenti software non possono essere gestiti separatamente
UN R155 e UN R156 perseguono obiettivi normativi diversi, ma sul piano operativo sono strettamente collegati.
Individuare minacce e vulnerabilità, attuare adeguate misure di mitigazione e continuare a monitorare la cybersecurity lungo il ciclo di vita pertinente del veicolo.
Controllare, valutare, documentare e distribuire gli aggiornamenti software mantenendo la conformità normativa applicabile del veicolo.
Il collegamento diventa particolarmente evidente quando una vulnerabilità di cybersecurity viene scoperta dopo l’entrata in servizio dei veicoli.
L’OEM non può proteggere il veicolo da solo
Il software e le architetture elettroniche dei veicoli moderni dipendono da ampi ecosistemi di fornitori. Gli OEM possono integrare hardware, software embedded, sistemi operativi, moduli di connettività, infrastrutture cloud e servizi di terzi provenienti da molte organizzazioni.
Le aspettative in materia di cybersecurity e gestione del software devono essere integrate nei rapporti con i fornitori.
Gli OEM necessitano di adeguate evidenze tecniche dai fornitori per supportare la valutazione della cybersecurity a livello di veicolo.
Le modifiche al software e ai componenti dei fornitori richiedono una comunicazione controllata laddove possano incidere sulla conformità del veicolo.
Le vulnerabilità di nuova individuazione possono richiedere un’indagine e una mitigazione coordinate tra più organizzazioni.
Il costruttore del veicolo resta dipendente dalle evidenze e dalla collaborazione della propria catena di fornitura, pur mantenendo la responsabilità di dimostrare la conformità del tipo di veicolo.
UN R155 e R156 continuano a evolversi
La regolamentazione della cybersecurity e del software non può rimanere statica, perché le tecnologie e i rischi che disciplina sono essi stessi in evoluzione.
Il Gruppo di lavoro dell’UNECE sui veicoli automatizzati/autonomi e connessi — GRVA — e le sue attività specialistiche su cybersecurity e aggiornamenti software continuano a sviluppare il quadro normativo.
UN R156 è passato a una nuova serie 01 di emendamenti, a testimonianza del continuo sviluppo del quadro normativo sugli aggiornamenti software.
Il documento interpretativo di R156 continua a essere sviluppato per favorire un’applicazione coerente dei requisiti su aggiornamenti software e SUMS.
Ulteriori proposte riguardanti UN R155 e il relativo quadro di gestione della cybersecurity restano all’esame attivo dell’UNECE.
Le disposizioni su cybersecurity e aggiornamenti software interagiscono sempre più con altri regolamenti che disciplinano funzioni del veicolo a controllo elettronico.
Costruire una conformità digitale continua
R155 e R156 richiedono ai costruttori di andare oltre le singole prove di omologazione e di istituire sistemi ripetibili in grado di sostenere la conformità lungo l’intero ciclo di vita del veicolo.
Costruire una governance della cybersecurity che copra sviluppo, produzione, monitoraggio, risposta agli incidenti e attività pertinenti della catena di fornitura.
Attuare processi controllati per identificazione del software, valutazione, validazione e distribuzione degli aggiornamenti e tracciabilità normativa.
Comprendere sistemi elettronici, interfacce, flussi di dati, dipendenze software e potenziali superfici di attacco.
Stabilire meccanismi di evidenza, comunicazione e controllo delle modifiche lungo la catena di fornitura di software e componenti.
Mantenere la tracciabilità tra le configurazioni software e i regolamenti interessati da tali configurazioni.
Mantenere la capacità di individuare le questioni emergenti di cybersecurity e di rispondere adeguatamente dopo l’entrata in servizio dei veicoli.
Il vero obiettivo è creare un sistema operativo di governance in grado di sostenere veicoli sicuri, controllati e dimostrabilmente conformi con l’evolversi del software e dei rischi cyber.
Dall’omologazione alla conformità digitale continua
UN R155 e UN R156 rappresentano più di due requisiti aggiuntivi nel portafoglio dell’omologazione dei veicoli.
Riflettono un cambiamento strutturale nel rapporto tra ingegneria del veicolo e conformità normativa.
Le minacce di cybersecurity possono emergere dopo la produzione. Il software può modificare il comportamento del veicolo dopo l’omologazione. Le vulnerabilità possono avere origine nel veicolo, nella catena di fornitura o nell’infrastruttura connessa. Le evidenze normative devono quindi estendersi oltre il momento tradizionale dell’omologazione.
La conformità è concentrata su una configurazione del veicolo relativamente stabile.
La governance della cybersecurity e del software estende la conformità alla vita operativa del veicolo.