Superar un ‘penetration test’ antes de entrar en producción demuestra cómo respondía una configuración concreta bajo condiciones determinadas. Con el tiempo, esa evidencia puede perder vigencia por dos vías: porque el producto cambia, por ejemplo, mediante modificaciones en el software de la ECU, parches en librerías o ajustes en diagnóstico, o porque evoluciona el entorno de amenaza sin que cambie el código. Una nueva técnica de ataque o un exploit público puede reducir el esfuerzo necesario para materializar un escenario que anteriormente considerábamos poco factible.
La prueba original no se vuelve errónea. Lo que debemos revisar es si sigue representando la postura de seguridad del producto actual y las premisas utilizadas en su análisis de riesgos.
Cumplir con UNECE R155, R156 e ISO/SAE 21434 a lo largo del ciclo de vida no consiste en repetir pruebas a ciegas ante cualquier evento. Consiste en gobernar el baseline técnico frente a las premisas de (sigue) seguridad y determinar con rigor si una actualización, una nueva vulnerabilidad o un cambio en el entorno afectan a los supuestos bajo los que se consideró eficaz un control.
En la cadena de suministro entre OEM, Tier 1 y Tier 2, este es uno de los principales retos operativos. Sin acuerdos de interfaz claros, trazabilidad de versiones, configuraciones y dependencias, y criterios definidos para evaluar la relevancia de los cambios, resulta difícil sostener de forma defendible que una evidencia anterior sigue siendo aplicable al producto en circulación.
En vuestros proyectos, ¿dónde fijáis el umbral práctico para decidir si una alerta de vulnerabilidad o un cambio de versión puede resolverse mediante un análisis de no impacto, requiere complementar la evidencia existente o justifica actualizar el TARA y realizar nuevas pruebas?
Desde la Comisión Técnica nº 14 de Ciberseguridad en Automoción de ASEPA analizamos esta relación entre ingeniería de producto, gestión del cambio y vigencia de la evidencia técnica.
CT14 ASEPA: Luis Aso, Antonio Gonzalez Burgueño, PhD , David Vacas Robleda, Sandra Pérez Barrientos