Para os fornecedores, a norma UNECE R155 deixou de ser um assunto secund\u00e1rio para as montadoras de ve\u00edculos. O Regulamento n\u00ba 155 da ONU sobre seguran\u00e7a cibern\u00e9tica e sistemas de gest\u00e3o de seguran\u00e7a cibern\u00e9tica \u00e9 a primeira norma internacional desse tipo, e seu impacto vai muito al\u00e9m da pr\u00f3pria organiza\u00e7\u00e3o da montadora (OEM). Para empresas de N\u00edvel 1 (Tier 1) e N\u00edvel 2 (Tier 2), os clientes agora exigem comprova\u00e7\u00e3o de capacidade em seguran\u00e7a cibern\u00e9tica como parte do relacionamento comercial. Este artigo n\u00e3o explica como obter a conformidade; ele apresenta as quest\u00f5es que um diretor deve ser capaz de responder hoje e explica por que essas perguntas s\u00e3o importantes.<\/p>\n
A norma UN R155 exige que as montadoras operem um sistema de gest\u00e3o de seguran\u00e7a cibern\u00e9tica que abranja todo o ciclo de vida do ve\u00edculo. Segundo a UNECE, ela introduz disposi\u00e7\u00f5es de auditoria que permitem avaliar as medidas de seguran\u00e7a cibern\u00e9tica implementadas pelos fabricantes \u2014 incluindo a capacidade de seus fornecedores de mitigar riscos relacionados \u00e0 seguran\u00e7a cibern\u00e9tica \u2014, al\u00e9m de estabelecer a obrigatoriedade de realizar e manter atualizadas as avalia\u00e7\u00f5es de risco. A norma UN R156 aborda um tema correlato: a governan\u00e7a de atualiza\u00e7\u00f5es de software, garantindo que elas sejam planejadas, entregues e registradas de maneira controlada e audit\u00e1vel ao longo da vida \u00fatil do ve\u00edculo. Embora os regulamentos se apliquem aos fabricantes, os ve\u00edculos s\u00e3o montados a partir de componentes projetados e produzidos por fornecedores. Por isso, os requisitos s\u00e3o transmitidos ao longo da cadeia de suprimentos por meio de especifica\u00e7\u00f5es do cliente, acordos de qualidade e crit\u00e9rios de sele\u00e7\u00e3o de fornecedores.<\/p>\n
As solicita\u00e7\u00f5es feitas aos fornecedores no contexto da UNECE R155 tendem a seguir um padr\u00e3o. As montadoras perguntam quais produtos est\u00e3o no escopo, quem \u00e9 o respons\u00e1vel dentro da empresa fornecedora e quais evid\u00eancias comprovam que a seguran\u00e7a cibern\u00e9tica \u00e9 considerada em todo o ciclo de vida do produto. Elas tamb\u00e9m questionam como \u00e9 feita a governan\u00e7a de vulnerabilidades e atualiza\u00e7\u00f5es de software ap\u00f3s o in\u00edcio da produ\u00e7\u00e3o \u2014 ponto em que a norma UN R156 se torna relevante. O aspecto central \u00e9 que os fornecedores s\u00e3o avaliados com base em sua capacidade organizacional, e n\u00e3o apenas em um documento isolado. Os clientes querem constatar que o tema possui um respons\u00e1vel definido, um escopo claro e pr\u00e1ticas consistentes, independentemente do produto ou da unidade fabril.<\/p>\n
Tr\u00eas mudan\u00e7as s\u00e3o vis\u00edveis em todo o setor:<\/p>\n
Programas globais de ve\u00edculos trazem expectativas globais, independentemente de qual f\u00e1brica produza o componente.<\/p>\n
1. Escopo. Quais de nossos produtos e servi\u00e7os est\u00e3o sujeitos aos requisitos do cliente vinculados \u00e0 R155 ou R156?<\/p>\n
2. Expectativas do cliente. Temos por escrito os requisitos de ciberseguran\u00e7a e atualiza\u00e7\u00e3o de software de cada OEM e sabemos onde eles diferem entre os clientes?<\/p>\n
3. Responsabilidade. Quem \u00e9 o respons\u00e1vel pela ciberseguran\u00e7a do produto em nossa organiza\u00e7\u00e3o? \u00c9 uma \u00fanica pessoa ou uma responsabilidade compartilhada (com poss\u00edveis lacunas)?<\/p>\n
4. Evid\u00eancias. Podemos demonstrar pr\u00e1ticas documentadas em conformidade com a norma ISO\/SAE 21434 ou apenas a inten\u00e7\u00e3o de segui-las?<\/p>\n
5. P\u00f3s-produ\u00e7\u00e3o. O que acontece quando uma vulnerabilidade \u00e9 relatada ap\u00f3s o in\u00edcio da produ\u00e7\u00e3o e quem toma a decis\u00e3o?<\/p>\n
6. Subfornecedores. O que exigimos de nossos pr\u00f3prios fornecedores e o que realmente sabemos sobre o que eles entregam?<\/p>\n
Em nossa experi\u00eancia, as organiza\u00e7\u00f5es que enfrentam dificuldades raramente s\u00e3o aquelas que n\u00e3o t\u00eam respostas. S\u00e3o aquelas cujas respostas est\u00e3o dispersas em diferentes departamentos e nunca foram consolidadas. Se levar mais de um minuto para responder a v\u00e1rias dessas perguntas, a lacuna provavelmente j\u00e1 \u00e9 vis\u00edvel para o seu cliente, mesmo que ningu\u00e9m a tenha apontado ainda. O objetivo n\u00e3o \u00e9 preparar respostas para um auditor, mas sim conhecer sua pr\u00f3pria situa\u00e7\u00e3o antes que uma nomea\u00e7\u00e3o, uma auditoria do cliente ou uma discuss\u00e3o contratual a coloque \u00e0 prova. Essas quest\u00f5es tamb\u00e9m se somam \u00e0s expectativas de seguran\u00e7a da informa\u00e7\u00e3o j\u00e1 comuns no setor. Muitos fornecedores tratam a ciberseguran\u00e7a do produto e a seguran\u00e7a da informa\u00e7\u00e3o organizacional de forma integrada, e os clientes veem, cada vez mais, o TISAX e a ciberseguran\u00e7a do produto como um retrato \u00fanico da maturidade do fornecedor. Para fornecedores sujeitos \u00e0 UNECE R155, o passo mais \u00fatil \u00e9 uma an\u00e1lise interna honesta sobre onde essas respostas se encontram atualmente. Essa perspectiva serve de base para todas as intera\u00e7\u00f5es futuras com o cliente, sendo menos custoso implement\u00e1-la antes da fase de nomea\u00e7\u00e3o do que durante ela.<\/p>\n
Os fornecedores sujeitos \u00e0 norma UNECE R155 que tratarem essas seis quest\u00f5es como uma pauta de gest\u00e3o \u2014 e n\u00e3o apenas como uma tarefa de engenharia \u2014 estar\u00e3o em melhor posi\u00e7\u00e3o nas futuras negocia\u00e7\u00f5es com clientes. A Ariol Automotive auxilia montadoras (OEMs) e fornecedores de N\u00edvel 1 e 2 em todo o mundo a se prepararem para a TISAX, IATF 16949, VDA 6.x e para os requisitos de ciberseguran\u00e7a automotiva, oferecendo suporte em consultoria e auditoria.<\/p>\n","protected":false},"excerpt":{"rendered":"
Para os fornecedores, a norma UNECE R155 deixou de ser um assunto secund\u00e1rio para as montadoras de ve\u00edculos. O Regulamento n\u00ba 155 da ONU sobre seguran\u00e7a cibern\u00e9tica e sistemas de gest\u00e3o de seguran\u00e7a cibern\u00e9tica \u00e9 a primeira norma internacional desse tipo, e seu impacto vai muito al\u00e9m da pr\u00f3pria organiza\u00e7\u00e3o da montadora (OEM). Para empresas […]<\/p>\n","protected":false},"author":2,"featured_media":413596,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[85],"tags":[],"class_list":["post-413597","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sem-categoria"],"_links":{"self":[{"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/posts\/413597","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/comments?post=413597"}],"version-history":[{"count":0,"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/posts\/413597\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/media\/413596"}],"wp:attachment":[{"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/media?parent=413597"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/categories?post=413597"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ariolautomotive.com\/pt-br\/wp-json\/wp\/v2\/tags?post=413597"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}