# Une conformité ISO/SAE 21434 qui résiste à l’audit et à l’attaquant. > L’ISO/SAE 21434 est la norme internationale d’ingénierie de la cybersécurité des véhicules routiers. Elle exige un système de gestion de la cybersécurité (CSMS), une analyse des menaces et évaluation des risques (TARA) pour chaque item, des exigences de cybersécurité, des activités de vérification et de validation, ainsi qu’une surveillance après la mise en production. C’est la voie habituelle pour satisfaire au règlement ONU n° 155 en vue de l’homologation. Zyberum propose des analyses d’écarts, la mise en place du CSMS, des TARA, la planification des tests et la préparation à l’audit, associées à des tests d’intrusion réels sur ECU. Conseil ISO/SAE 21434 par des experts certifiés : analyse d’écarts, CSMS, TARA, vérification et préparation à l’audit UN R155. Avec de vrais tests. Source: https://zyberum.com/fr/conseil-iso-21434 Un système de gestion de la cybersécurité qui n’existe que sur le papier n’arrête personne. Nous construisons votre CSMS et votre TARA du point de vue de l’attaquant, avec des ingénieurs qui testent des ECU chaque semaine et sont titulaires de l’Automotive Cybersecurity Certification de SAE et TÜV SÜD. ## De l’analyse d’écarts à l’audit ### Analyse d’écarts Vos processus confrontés aux clauses de l’ISO/SAE 21434, avec une feuille de route priorisée et des délais réalistes. ### Mise en place du CSMS Politiques, rôles, gestion des compétences et amélioration continue, adaptés à la façon dont vos équipes travaillent réellement. ### TARA Actifs, scénarios de dommage et de menace, faisabilité d’attaque, valeurs de risque et décisions de traitement, fondés sur la façon dont les ECU sont réellement attaqués. ### Intégration au cycle en V Les activités de cybersécurité intégrées à votre cycle de développement existant, du concept à la production. ### Vérification et validation Stratégie de test, cas de test dérivés de la TARA, tests d’intrusion et fuzzing comme preuves de validation. ### Préparation à l’audit Dossier de cybersécurité (cybersecurity case), rapport d’évaluation et traçabilité de l’exigence à la preuve, relus par nos soins avant de passer devant l’auditeur. ## Comment se déroule un projet 1. **État des lieux** Nous évaluons vos processus, vos outils et vos documents au regard de la norme et établissons le point de départ. 2. **Conception des processus** Des processus conformes, taillés pour votre organisation, avec des modèles qui s’interfacent avec vos outils PLM et ALM. 3. **Projet pilote accompagné** Une vraie TARA et un vrai dossier de cybersécurité sur l’un de vos projets : votre équipe apprend par la pratique. 4. **Accompagnement à l’audit** Nous relisons tous les livrables, préparons votre équipe et vous accompagnons pendant l’audit. ## Une TARA rédigée par des gens qui attaquent des ECU Une cotation de faisabilité d’attaque ne vaut que par l’expérience de ceux qui la réalisent. Nous cotons à partir de la pratique : nous savons combien de temps il faut pour extraire le firmware d’un ECU, et quels services de diagnostic tombent en premier. La même équipe peut ensuite tester ce que prédit la TARA, à la main ou de façon automatisée avec AutoST, et réinjecter les résultats comme preuves de vérification. La boucle exigée par la norme est ainsi bouclée. **Livrables** - Rapport d’analyse d’écarts avec feuille de route - Documentation du CSMS : politiques, rôles, procédures - Méthode et modèles de TARA - Modèle et exemple de dossier de cybersécurité - Plan de test avec cas de test dérivés - Dossier de préparation à l’audit ## FAQ **Qu’est-ce qu’une TARA ?** La TARA (Threat Analysis and Risk Assessment, analyse des menaces et évaluation des risques) est la méthode centrale de l’ISO/SAE 21434. Elle identifie les actifs, en déduit les scénarios de dommage et de menace, évalue la faisabilité des attaques et leur impact, puis détermine les valeurs de risque dont découlent les objectifs et les exigences de cybersécurité. **Les équipementiers ont-ils besoin de l’ISO/SAE 21434 ?** L’UN R155 s’impose au constructeur, qui répercute les exigences sur ses fournisseurs par contrat, au moyen d’un Cybersecurity Interface Agreement. En pratique, les équipementiers de rang 1 et de rang 2 doivent fournir une TARA, des exigences et des preuves de test pour leur composant. **Combien de temps faut-il pour mettre en place un CSMS ?** Pour un équipementier qui part d’un processus qualité ou de sûreté de fonctionnement existant, comptez en général six à douze mois pour être prêt pour l’audit, avec un premier projet pilote mené en parallèle. **Existe-t-il une formation pour notre équipe ?** Oui : une formation d’une journée à la conformité ISO/SAE 21434, avec un exercice pratique de TARA, en intra-entreprise ou à distance. --- Zyberum GmbH. Canonical page: https://zyberum.com/fr/conseil-iso-21434