Questa sezione stabilisce una comprensione fondamentale dei requisiti normativi, concentrandosi sull'UN R155 e sul Cyber Resilience Act (CRA). Queste normative definiscono come i prodotti automobilistici devono gestire i rischi di cybersecurity durante il loro ciclo di vita. Viene inoltre fornita una panoramica di base dell'ecosistema della cybersecurity automobilistica, che comprende veicoli, sistemi backend, reti di comunicazione e interfacce esterne.

La cybersecurity inizia a livello organizzativo con l'implementazione di un sistema di gestione della cybersecurity (CSMS), che definisce come la sicurezza è strutturata e governata. All'interno dei progetti di sviluppo, la pianificazione e l'esecuzione della cybersecurity devono allinearsi a questo sistema. Attività come la valutazione delle minacce, l'analisi dei rischi, la progettazione di architetture sicure e i controlli dei processi sono integrati nel ciclo di vita dello sviluppo per garantire la conformità normativa e la coerenza organizzativa.

Le responsabilità in materia di sicurezza informatica sono condivise da clienti, fornitori e altre parti interessate e richiedono uno sforzo coordinato lungo tutta la catena di fornitura embedded. Ogni fase del ciclo di vita dell'automobile - concezione, sviluppo, produzione, funzionamento e dismissione - comporta compiti specifici di cybersecurity. I ruoli e le responsabilità devono essere chiaramente definiti per garantire un'esecuzione fluida e un'integrazione sicura tra i sistemi e le organizzazioni.

La CCSA comprende processi continui come la raccolta di informazioni sulla cybersecurity, le valutazioni e la gestione delle vulnerabilità. Questi sono essenziali per mantenere la cybersicurezza durante tutta la vita operativa del veicolo. È fondamentale anche un processo efficace di risposta agli incidenti, che comprenda il rilevamento, la valutazione, la segnalazione e la risoluzione. Ruoli, responsabilità e procedure devono essere chiaramente definiti e allineati alle best practice e ai requisiti normativi.

Nella fase di sviluppo, le minacce vengono identificate, analizzate in termini di fattibilità e impatto e i rischi vengono valutati di conseguenza. Questo porta alla definizione di obiettivi e richieste di cybersecurity basati su una chiara comprensione dell'oggetto e del suo ambiente. Nella fase di post-sviluppo, la cybersecurity deve essere gestita attivamente attraverso il monitoraggio, il patching e la gestione delle vulnerabilità. La conformità ai requisiti normativi in vigore garantisce che i prodotti sul campo rimangano protetti contro le minacce in evoluzione.