# Una ISO/SAE 21434 che regge all’audit e all’attaccante.

> La ISO/SAE 21434 è lo standard internazionale per il cybersecurity engineering dei veicoli stradali. Richiede un Cybersecurity Management System (CSMS), una Threat Analysis and Risk Assessment (TARA) per ogni item, requisiti di cybersecurity, verifica e validazione e il monitoraggio dopo la produzione. È il modo più diffuso per soddisfare il regolamento UN n. 155 ai fini dell’omologazione. Zyberum offre gap analysis, implementazione del CSMS, TARA, pianificazione dei test e preparazione all’audit, insieme a penetration test hands-on sulle ECU.

Consulenza ISO/SAE 21434 di esperti certificati: gap analysis, CSMS, TARA, verifica e preparazione all’audit per UN R155. Con test reali.

Source: https://zyberum.com/it/consulenza-iso-21434

Un cybersecurity management system sulla carta non ferma nessuno. Costruiamo il vostro CSMS e la vostra TARA dal punto di vista dell’attaccante: con persone che ogni settimana eseguono pentest su ECU e che hanno conseguito la Automotive Cybersecurity Certification di SAE e TÜV SÜD.

## Dalla gap analysis all’audit

### Gap analysis

I vostri processi a confronto con le clausole della ISO/SAE 21434, con una roadmap per priorità e tempistiche realistiche.

### Implementazione del CSMS

Policy, ruoli, gestione delle competenze e miglioramento continuo, adatti al modo in cui i vostri team lavorano davvero.

### TARA

Asset, scenari di danno e di minaccia, fattibilità degli attacchi, valori di rischio e decisioni di trattamento, basati su come le ECU vengono attaccate davvero.

### Integrazione nel modello a V

Le attività di cybersecurity inserite nel vostro ciclo di sviluppo esistente, dal concept alla produzione.

### Verifica e validazione

Strategia di test, casi di test derivati dalla TARA, penetration test e fuzzing come evidenze di validazione.

### Preparazione all’audit

Cybersecurity case, report di assessment e tracciabilità dal requisito all’evidenza, riesaminati da noi prima che lo faccia l’auditor.

## Come si svolge un progetto

1. **Stato attuale** Valutiamo i vostri processi, strumenti e documenti rispetto allo standard e fissiamo il punto di partenza.
2. **Progettazione dei processi** Processi conformi, su misura per la vostra organizzazione, con template che si collegano ai vostri strumenti PLM e ALM.
3. **Progetto pilota con coaching** Una TARA e un cybersecurity case reali su uno dei vostri progetti, così il vostro team impara facendo.
4. **Supporto all’audit** Riesaminiamo tutti i work product, prepariamo il vostro team e vi affianchiamo durante l’audit.

## Una TARA scritta da chi le ECU le attacca

Le valutazioni della fattibilità degli attacchi valgono quanto l’esperienza che c’è dietro. Le nostre vengono dalla pratica: sappiamo quanto tempo serve per estrarre il firmware da una ECU e quali servizi diagnostici cedono per primi.

Lo stesso team può poi testare ciò che la TARA prevede, a mano o in modo automatizzato con AutoST, e riportare i risultati come evidenze di verifica. Così si chiude il cerchio che lo standard richiede.

**Deliverable**

- Report di gap analysis con roadmap
- Documentazione del CSMS: policy, ruoli, procedure
- Metodo e template per la TARA
- Template ed esempio di cybersecurity case
- Piano di test con i casi di test derivati
- Pacchetto di preparazione all’audit

## FAQ

**Che cos’è una TARA?**

La Threat Analysis and Risk Assessment è il metodo centrale della ISO/SAE 21434. Identifica gli asset, ne deriva scenari di danno e di minaccia, valuta fattibilità e impatto degli attacchi e determina i valori di rischio da cui discendono obiettivi e requisiti di cybersecurity.

**I fornitori hanno bisogno della ISO/SAE 21434?**

UN R155 obbliga il costruttore del veicolo, che trasferisce i requisiti ai fornitori per contratto, tramite un Cybersecurity Interface Agreement. In pratica, i fornitori Tier 1 e Tier 2 devono fornire TARA, requisiti ed evidenze di test per il proprio componente.

**Quanto tempo serve per implementare un CSMS?**

Per un fornitore che parte da un processo di qualità o di safety già esistente, in genere da sei a dodici mesi per arrivare pronti all’audit, con il primo progetto pilota in parallelo.

**Esiste un corso per il nostro team?**

Sì, un corso di un giorno sulla conformità ISO/SAE 21434 con un’esercitazione pratica di TARA, in azienda o da remoto.

---
Zyberum GmbH. Canonical page: https://zyberum.com/it/consulenza-iso-21434