# Una ISO/SAE 21434 que resiste la auditoría y al atacante. > ISO/SAE 21434 es la norma internacional de ingeniería de ciberseguridad para vehículos de carretera. Exige un sistema de gestión de la ciberseguridad (CSMS), un análisis de amenazas y evaluación de riesgos (TARA) para cada ítem, requisitos de ciberseguridad, verificación y validación, y seguimiento tras la producción. Es la vía habitual para cumplir el Reglamento n.º 155 de las Naciones Unidas de cara a la homologación de tipo. Zyberum ofrece análisis GAP, implantación del CSMS, TARA, planificación de pruebas y preparación de auditorías, combinados con tests de penetración prácticos de ECU. Consultoría ISO/SAE 21434 con expertos certificados: análisis GAP, implantación del CSMS, TARA, verificación y preparación de la auditoría para UN R155. Source: https://zyberum.com/es/consultoria-iso-21434 Un sistema de gestión de la ciberseguridad sobre el papel no detiene a nadie. Construimos su CSMS y su TARA desde el lado del atacante: con personas que hacen pentests de ECU cada semana y que cuentan con la Automotive Cybersecurity Certification de SAE y TÜV SÜD. ## Del análisis GAP a la auditoría ### Análisis GAP Sus procesos frente a las cláusulas de ISO/SAE 21434, con una hoja de ruta priorizada y plazos realistas. ### Implantación del CSMS Políticas, roles, gestión de competencias y mejora continua que encajan con la forma real de trabajar de sus equipos. ### TARA Activos, escenarios de daño y de amenaza, viabilidad de ataque, valores de riesgo y decisiones de tratamiento, basados en cómo se atacan de verdad las ECU. ### Integración en el modelo en V Las actividades de ciberseguridad, encajadas en su ciclo de desarrollo actual, del concepto a la producción. ### Verificación y validación Estrategia de pruebas, casos de prueba derivados de la TARA, y pentesting y fuzzing como evidencia de validación. ### Preparación de la auditoría Caso de ciberseguridad, informe de evaluación y trazabilidad del requisito a la evidencia, revisados antes de que lo haga el auditor. ## Cómo se desarrolla un proyecto 1. **Situación de partida** Evaluamos sus procesos, herramientas y documentos frente a la norma y fijamos la línea base. 2. **Diseño de procesos** Procesos conformes y adaptados a su organización, con plantillas que se integran en sus herramientas PLM y ALM. 3. **Piloto con acompañamiento** Una TARA y un caso de ciberseguridad reales en uno de sus proyectos, para que su equipo aprenda haciendo. 4. **Apoyo en la auditoría** Revisamos todos los productos de trabajo, preparamos a su equipo y le acompañamos durante la auditoría. ## Una TARA escrita por quienes atacan ECU Una valoración de la viabilidad de ataque vale lo que vale la experiencia que hay detrás. Nosotros las hacemos desde la práctica: sabemos cuánto se tarda en sacar el firmware de una ECU y qué servicios de diagnóstico caen primero. El mismo equipo puede después probar lo que predice la TARA, a mano o de forma automatizada con AutoST, y devolver los resultados como evidencia de verificación. Así se cierra el círculo que pide la norma. **Entregables** - Informe del análisis GAP con hoja de ruta - Documentación del CSMS: políticas, roles, procedimientos - Método y plantillas de TARA - Plantilla y ejemplo de caso de ciberseguridad - Plan de pruebas con casos de prueba derivados - Paquete de preparación de la auditoría ## FAQ **¿Qué es una TARA?** El análisis de amenazas y evaluación de riesgos (TARA, Threat Analysis and Risk Assessment) es el método central de ISO/SAE 21434. Identifica los activos, deriva los escenarios de daño y de amenaza, valora la viabilidad de ataque y el impacto, y determina los valores de riesgo de los que salen los objetivos y los requisitos de ciberseguridad. **¿Necesitan los proveedores la ISO/SAE 21434?** UN R155 obliga al fabricante del vehículo, que traslada los requisitos a sus proveedores por contrato mediante un Cybersecurity Interface Agreement. En la práctica, los proveedores Tier 1 y Tier 2 deben aportar una TARA, requisitos y evidencias de pruebas de su componente. **¿Cuánto se tarda en implantar un CSMS?** Para un proveedor que parte de un proceso de calidad o de seguridad funcional ya existente, normalmente de seis a doce meses hasta estar listo para la auditoría, con el primer proyecto piloto en paralelo. **¿Hay un curso para nuestro equipo?** Sí, un curso de un día sobre el cumplimiento de ISO/SAE 21434 con un ejercicio práctico de TARA, in company o en remoto. --- Zyberum GmbH. Canonical page: https://zyberum.com/es/consultoria-iso-21434