Los vehículos ya funcionan con software, y los fabricantes de equipos originales (OEM) exigen a sus proveedores que demuestren que es seguro y está protegido, con procesos que puedan auditar y no solo con promesas. En varios mercados, la ciberseguridad y la gestión de actualizaciones de software son incluso una condición para la homologación del vehículo.

Nuestra consultoría de ciberseguridad automotriz y seguridad funcional le ayuda a construir esos procesos, desde el sistema de gestión hasta la ingeniería de cada producto, alineados entre sí y con los sistemas que ya tiene.

Los vehículos modernos dependen de software, conectividad y sistemas electrónicos que controlan funciones críticas. Cada nueva funcionalidad conlleva nuevos riesgos: ciberataques, fallos de software, averías en los sistemas electrónicos y situaciones que las funciones automatizadas no fueron diseñadas para gestionar.

En consecuencia, los fabricantes de equipos originales (OEM) exigen a sus proveedores que demuestren la implementación de procesos estructurados de ciberseguridad, seguridad funcional y desarrollo de software; asimismo, las normativas de muchos mercados establecen la ciberseguridad y la gestión de actualizaciones de software como requisitos para la homologación de los vehículos. Para los proveedores, estas capacidades se han convertido en un requisito indispensable para acceder a los programas de vehículos y mantenerse en ellos.

La ciberseguridad, la seguridad funcional y la calidad del software no pueden incorporarse al finalizar el desarrollo. Deben integrarse en los procesos de la organización y aplicarse desde la fase de concepto hasta el desarrollo, la producción, la operación y el fin del soporte.

Ayudamos a las organizaciones a establecer estos procesos a nivel corporativo y a aplicarlos en proyectos reales. Dado que estas disciplinas están estrechamente relacionadas, las alineamos entre sí y con los sistemas de calidad y seguridad de la información existentes —como IATF 16949 y TISAX®— para evitar la duplicidad de procesos y los requisitos contradictorios.

La norma ISO/SAE 21434 define cómo deben gestionarse los riesgos de ciberseguridad a lo largo del ciclo de vida de los vehículos de carretera y sus componentes. Reglamentos como el UNECE R155, así como los requisitos nacionales equivalentes en otros mercados, exigen a los fabricantes de vehículos implementar un Sistema de Gestión de Ciberseguridad y hacer extensivas estas obligaciones a su cadena de suministro.

Ayudamos a las organizaciones a establecer sistemas de gestión de ciberseguridad, a definir roles y procesos en este ámbito y a aplicarlos en proyectos mediante el análisis de amenazas y la evaluación de riesgos (TARA), el desarrollo de conceptos y requisitos de ciberseguridad, y el apoyo a las actividades de verificación y validación. Asimismo, prestamos asistencia en la gestión de vulnerabilidades, la respuesta ante incidentes, la supervisión posterior a la producción y la elaboración de acuerdos de ciberseguridad que definen las responsabilidades entre clientes y proveedores.

La norma ISO 26262 aborda los riesgos derivados de fallos en los sistemas eléctricos y electrónicos de los vehículos de carretera. Exige un ciclo de vida de seguridad —que abarca desde el análisis de peligros y la evaluación de riesgos hasta los requisitos de seguridad, el diseño, la verificación, la validación y la producción— adaptado al Nivel de Integridad de Seguridad Automotriz (ASIL) de cada función.

Ayudamos a las organizaciones a establecer la gestión de la seguridad funcional, a definir los procesos y roles de seguridad y a aplicarlos en sus proyectos, desde la definición de los objetivos y conceptos de seguridad hasta la elaboración del expediente de seguridad (*safety case*). Asimismo, realizamos análisis de brechas y revisiones de preparación previas a las auditorías de clientes y a las evaluaciones de seguridad funcional.

La norma ISO 21448 aborda riesgos que no derivan de fallos del sistema, sino de insuficiencias funcionales y de un uso indebido previsible, como las limitaciones de los sensores y de los algoritmos de percepción en la conducción automatizada y en los sistemas de asistencia al conductor.

Ayudamos a las organizaciones a identificar escenarios de riesgo, definir criterios de aceptación y planificar las actividades de verificación y validación necesarias para demostrar que el riesgo residual es aceptable. Las actividades SOTIF se alinean con el ciclo de vida de la seguridad funcional, permitiendo que ambos enfoques operen de manera conjunta en el mismo proyecto.

Automotive SPICE es el modelo de referencia que utilizan los fabricantes de equipos originales (OEM) para evaluar la capacidad de los procesos de desarrollo de software y sistemas de sus proveedores. Muchos clientes establecen un nivel de capacidad requerido como condición para adjudicar o mantener contratos comerciales.

Ayudamos a las organizaciones a evaluar su capacidad actual de procesos, definir una hoja de ruta de mejora e implementar procesos de desarrollo que cumplan en la práctica con el nivel de capacidad exigido. Asimismo, preparamos a equipos y proyectos para las evaluaciones de los clientes y ayudamos a integrar Automotive SPICE con los requisitos de ciberseguridad y seguridad funcional.

Las actualizaciones de software inalámbricas (OTA) y en taller forman ya parte del ciclo de vida habitual de un vehículo. La norma ISO 24089 define los requisitos para la ingeniería de actualizaciones de software, y normativas como el reglamento UNECE R156 —así como los requisitos nacionales equivalentes— exigen contar con un sistema de gestión de actualizaciones de software.

Ayudamos a las organizaciones a definir procesos de actualización de software, gestionar la identificación y compatibilidad del software, evaluar el impacto de las actualizaciones en la seguridad y la ciberseguridad, y preparar la documentación probatoria que esperan tanto los clientes como las autoridades.

Nuestros servicios se alinean con las normas que definen la ciberseguridad, la seguridad funcional y la calidad del software en la industria automotriz —ISO/SAE 21434, ISO 26262, ISO 21448, Automotive SPICE e ISO 24089—, así como con las regulaciones sobre ciberseguridad vehicular y actualización de software, tales como UNECE R155 y R156 y los requisitos nacionales equivalentes.

Asimismo, tenemos en cuenta los requisitos específicos de cada fabricante de equipos originales (OEM), los cuales a menudo incorporan sus propias expectativas en materia de ciberseguridad, seguridad funcional y procesos de desarrollo de software.