Hızlı cevap: ISO/SAE 21434 ve UN Regülasyon No. 155 (UN R155), bir aracın tasarım aşamasından hurdaya çıkana kadar tüm ömrü boyunca siber güvenliğin nasıl yönetileceğini tanımlayan iki tamamlayıcı belgedir. UN R155, Avrupa Birliği ve pek çok ülkede yeni araç tiplerinin onaylanabilmesi için üreticinin bir Siber Güvenlik Yönetim Sistemi (CSMS) kurmasını yasal olarak zorunlu kılar; ISO/SAE 21434 ise bu sistemin teknik olarak nasıl kurulacağını, TARA adı verilen bir tehdit analizi ve risk değerlendirmesi metodolojisi de dahil olmak üzere ayrıntılı biçimde anlatır. Kısacası R155 "kanun", ISO/SAE 21434 ise o kanuna uymanın "teknik rehberi"dir; bir üretici ikisini birlikte uygulamadan modern bir araç tipini pazara süremez.

Bir sızma testi raporu ya da bir güvenlik açığı listesi, otomotiv siber güvenliğinin sadece görünen kısmıdır. Asıl büyük değişim, düzenleyicilerin artık üreticilere "aracınız güvenli olsun" demek yerine "güvenliği nasıl yönettiğinizi kanıtlayın" demesidir. Bunu sağlayan iki belge UN R155 ve ISO/SAE 21434'tür.

UN R155: yasal zorunluluk

UN R155, Birleşmiş Milletler Avrupa Ekonomik Komisyonu'nun (UNECE) WP.29 çalışma grubu tarafından yayınlanmıştır ve Avrupa Birliği'nde 2024 yılından itibaren tüm yeni araç tipleri için zorunludur; benzer düzenlemeler Japonya, Güney Kore gibi başka ülkelerde de yürürlüktedir. Regülasyon, bir üreticinin araç tipini onaylatabilmesi için iki şeyi kanıtlamasını ister: birincisi, kurumsal düzeyde bir Siber Güvenlik Yönetim Sistemi (CSMS) işlettiğini; ikincisi, o spesifik araç tipi için risklerin tanımlandığını ve azaltıldığını.

Kavram Anlamı
CSMS Cybersecurity Management System, kurumun süreç düzeyinde yönetim sistemi
Tip onayı R155'e uymayan araç tipi Avrupa pazarına satılamaz
Ömür boyu kapsam Onay tek seferlik değildir, üretim sonrası izleme de zorunludur

ISO/SAE 21434: teknik rehber

ISO/SAE 21434 "Road vehicles Cybersecurity engineering", R155'in ne istediğini teknik mühendislik diline çevirir. Standart, güvenliği tek bir kontrol adımı değil, aracın kavramsal tasarımından üretim sonrası izlemeye kadar uzanan bir yaşam döngüsü olarak ele alır.

Standardın kalbinde TARA (Threat Analysis and Risk Assessment) metodolojisi vardır. TARA, yedi adımdan oluşur: varlıkların tanımlanması, tehdit senaryolarının çıkarılması, etkinin değerlendirilmesi, saldırı yollarının modellenmesi, saldırının ne kadar mümkün olduğunun değerlendirilmesi, risk seviyesinin hesaplanması ve son olarak riskin nasıl azaltılacağına karar verilmesi. Bu süreç, bir tehdit modelleme (threat modeling) çalışmasına benzer ama otomotiv bağlamına özel olarak uyarlanmıştır.

Diğer ilgili standartlar

ISO/SAE 21434'ün etrafında, konuyu tamamlayan başka standartlar da vardır: ISO 24089, aracın ömrü boyunca yazılım güncellemelerinin (SUMS) nasıl yönetileceğini tanımlar ve UN R156 ile eşleşir; TISAX, tedarik zincirindeki firmaların bilgi güvenliği olgunluğunu değerlendiren bir Alman otomotiv sektörü çerçevesidir; Automotive SPICE for Cybersecurity ise yazılım geliştirme sürecinin siber güvenlik açısından olgunluğunu ölçer. Bu standartlar birlikte, tıpkı ISO 27001 bilgi güvenliği sertifikasyonunda olduğu gibi, bir kurumun süreçlerini dışarıdan denetlenebilir hale getirir.

Bir üretici için ne değişir

Bu çerçevenin teknik karşılığı, örneğin bir aracın CAN veri yolu ve UDS tanısal yüzeyinde yapılan somut bir güvenlik değerlendirmesidir; TARA raporundaki "saldırı yolu" ve "etki" alanları, işte bu tür teknik testlerden gelen bulgularla doldurulur.

Bu standartlar öncesinde bir üretici, siber güvenliği isteğe bağlı bir kalite adımı olarak ele alabilirdi. Şimdi, tip onayı almak isteyen her üretici ve doğrudan ya da dolaylı olarak ona parça sağlayan her tedarikçi, kendi süreçlerinin bu çerçeveye uyduğunu belgeyle kanıtlamak zorundadır. Bu, hem üst düzey bir CSMS denetimini hem de her araç tipi için ayrı bir TARA raporunu gerektirir; ikisi de düzenli aralıklarla güncellenmeli ve yeni tehditler ortaya çıktıkça yeniden değerlendirilmelidir.

KAOS ve DSET yaklaşımı

DSET, ISO/SAE 21434 ve UN R155 uyum sürecinde kurumlara teknik destek sağlar; özellikle TARA metodolojisinin gerektirdiği varlık tanımlama ve saldırı yolu modellemesi aşamalarında somut, çalıştırılabilir kanıt üretir. Yerel yapay zekâ motorumuz KAOS, bir araç sistemindeki teknik bulguları (örneğin korumasız bir UDS servisi) doğrudan CVSS tabanlı bir etki değerlendirmesine bağlayarak, TARA raporunun teknik girdisini kanıta dayalı hale getirir. Amaç, uyumluluğu kağıt üzerinde bir form doldurma işi olmaktan çıkarıp gerçek teknik değerlendirmeye dayandırmaktır.

Sık sorulan sorular

UN R155 sadece Avrupa'da mı geçerli? Şu anda zorunlu uygulama Avrupa Birliği'nde ve UNECE 1958 anlaşmasına taraf ülkelerde geçerlidir ancak Japonya ve Güney Kore gibi ülkeler benzer düzenlemeleri kendi mevzuatlarına uyarladı. Çin ve Hindistan da kendi otomotiv siber güvenlik regülasyonlarını geliştiriyor; küresel eğilim, bu tür zorunlulukların yaygınlaşması yönündedir.

ISO/SAE 21434'e uymak, aracın hacklenemez olacağı anlamına mı gelir? Hayır. Standart, sıfır risk garanti etmez; bunun yerine riskin sistematik olarak tanımlanmasını, değerlendirilmesini ve kabul edilebilir bir seviyeye indirilmesini zorunlu kılar. Bir üretici standarda tam uysa bile yeni bir zafiyet keşfedilebilir; önemli olan bu zafiyetin nasıl yönetildiğidir.

TARA raporu kim tarafından hazırlanmalıdır? TARA, hem araç mühendisliği bilgisi hem de siber güvenlik uzmanlığı gerektiren disiplinler arası bir çalışmadır. Genellikle üreticinin kendi mühendislik ekibi, dışarıdan bir siber güvenlik danışmanlığı ile birlikte çalışarak raporu hazırlar; teknik bulguların bağımsız bir taraftan gelmesi, raporun güvenilirliğini artırır.

Kaynaklar

Şirketinizin ISO/SAE 21434 ve UN R155 uyum sürecinde teknik destek almak için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan otomotiv siber güvenlik uyum danışmanlığı sağlıyoruz.