ISO/SAE 21434: Otomotiv Siber Güvenlik Mühendisliği ve TISAX Entegrasyonu

Otomotiv sektöründe yürüttüğüm danışmanlık projelerinde Tier-1 ve Tier-2 parça üreticisi yöneticilerinden en sık duyduğum soru şudur:

"Burak Bey, biz zaten aylar süren yoğun bir hazırlığın ardından TISAX danışmanlığı ve denetiminden başarıyla geçtik ve etiketimizi aldık. Şimdi OEM müşterimiz (Volkswagen, BMW, Mercedes vb.) bizden ISO/SAE 21434 uyumu ve TARA raporları istiyor. Bu ikisi aynı şey değil mi?"

Cevap çok net: Kesinlikle aynı şey değildir.

Bu kafa karışıklığı, otomotiv dünyasında "kurumsal bilgi güvenliği" ile "ürün siber güvenlik mühendisliği" kavramlarının birbirine karıştırılmasından kaynaklanır:

• TISAX (VDA ISA): Sizin fabrikanızın kapısındaki turnikeleri, ERP sunucunuzu, Ar-Ge ofisinizdeki mühendislerin bilgisayarlarını ve müşterinizden gelen 3D CAD çizimlerinin yetkisiz kişilerin eline geçmemesini (prototip koruma) denetler (ayrıntılı bilgi için TISAX nedir rehberimizi inceleyebilirsiniz).
• ISO/SAE 21434: Ürettiğiniz Elektronik Kontrol Ünitesinin (ECU), batarya yönetim yazılımının (BMS), radar sensörünün veya araç içi multimedya ekranının yolda 130 km/s hızla giden bir aracın üzerindeyken uzaktan hacklenmesini, fren sistemine yetkisiz komut gönderilmesini veya CanBus hattının dinlenmesini engeller.

Biri şirketi, diğeri ise aracın kendisini ve can güvenliğini korur. Bu rehberde, otomotiv tedarik zincirini kökten dönüştüren ISO/SAE 21434:2021 standardını, UNECE regülasyonlarını, TARA metodolojisini ve TISAX ile entegre yönetim modelini tüm detaylarıyla ele alıyoruz.

---

1. Yasal Zorunluluk: UNECE R155, R156 ve Tip Onayı (Type Approval)

ISO/SAE 21434'ü otomotiv dünyasında "tercihli bir kalite belgesi" olmaktan çıkarıp "ölüm kalım meselesi" haline getiren unsur, Birleşmiş Milletler Avrupa Ekonomik Komisyonu'nun (UNECE) yayımladığı iki kritik regülasyondur:

1. UNECE UN Regulation No. 155 (CSMS): Araç üreticilerinin kurumsal düzeyde bir Siber Güvenlik Yönetim Sistemi (Cybersecurity Management System - CSMS) kurmasını ve araç mimarisinin siber saldırılara karşı dayanıklı olduğunu kanıtlamasını şart koşar.
2. UNECE UN Regulation No. 156 (SUMS): Araçlara uzaktan kablosuz olarak (Over-The-Air / OTA) gönderilen yazılım güncellemelerinin güvenliğini yöneten Yazılım Güncelleme Yönetim Sistemi'ni zorunlu kılar.

---

2. TISAX ve ISO/SAE 21434 Karşılaştırma Matrisi

Sahada iki standardı entegre ederken kullandığımız temel ayrım matrisi şöyledir:

---

3. TARA (Threat Analysis and Risk Assessment) Metodolojisi

ISO/SAE 21434'ün kalbi, Madde 15'te tanımlanan TARA sürecidir. TARA, bir otomotiv bileşeninin konsept aşamasından hurdaya ayrılmasına kadar siber risklerinin nasıl analiz edileceğini matematiksel bir disipline bağlar.

TARA çalışmasını sahada 5 adımda yürütüyoruz:

`` [1. Varlık & Zarar] ──> [2. Tehdit (STRIDE)] ──> [3. Saldırı Fizibilitesi] ──> [4. Risk Değeri] ──> [5. Güvenlik Hedefi] ``

Adım 1: Varlık Tanımlama ve Zarar Senaryoları (SFOP Kriterleri)

Bileşen içerisindeki kritik varlıklar belirlenir (örneğin: CAN mesaj kimlikleri, şifreleme anahtarları, firmware güncelleme portu). Ardından bu varlığın ihlali durumunda ortaya çıkacak zarar 4 boyutta puanlanır:

• S (Safety - Can Güvenliği): Hayati tehlike, kaza riski (ISO 26262 ASIL seviyeleriyle doğrudan bağlantılıdır).
• F (Financial - Finansal Zarar): OEM veya sürücü için oluşan maddi hasar ya da geri çağırma (recall) maliyeti.
• O (Operational - Operasyonel): Aracın yolda kalması, fonksiyonun devre dışı kalması.
• P (Privacy - Gizlilik): GPS konum verisinin veya yolcu kişisel verilerinin sızması.

Adım 2: Tehdit Senaryolarının Belirlenmesi

Her varlık için tehditler türetilir. Otomotivde en çok kullanılan yaklaşım STRIDE modelidir (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege).

• Örnek: Saldırganın sahte bir CAN iletisi göndererek gösterge panelindeki hız bilgisini manipüle etmesi (Spoofing & Tampering).

Adım 3: Saldırı Fizibilitesi (Attack Feasibility Rating)

Saldırının gerçekleşebilme kolaylığı puanlanır:

1. Harcanan Zaman (Elapsed Time): Saldırının keşfi ve icrası günler mi sürer, aylar mı?
2. Uzmanlık Düzeyi (Specialist Expertise): Sıradan bir kullanıcı mı, üniversite seviyesi mi, yoksa devlet destekli hacker grubu mu gerekir?
3. Bileşen Hakkındaki Bilgi (Knowledge of Item): Bilgiler kamuya açık mı (public), yoksa OEM'e özel gizli şematikler mi gerekiyor?
4. Pencere ve Erişim (Window of Opportunity): Saldırı için araca fiziksel kablo ile bağlanmak mı şart (OBD-II portu), yoksa 100 metreden Wi-Fi/Bluetooth veya hücresel ağ üzerinden uzaktan mı yapılabilir?
5. Ekipman Gereksinimi: Standart bir dizüstü bilgisayar yeterli mi, yoksa pahalı laboratuvar osiloskopları ve özel sinyal bozucu cihazlar mı lazım?

Adım 4: Risk Seviyesinin Hesaplanması (1'den 5'e)

Zarar boyutu (SFOP) ile Saldırı Fizibilitesi matriste çarpışarak her tehdit için 1 (İhmal Edilebilir) ile 5 (Kritik) arasında bir Risk Değeri (Risk Value) üretir. Risk değeri 3 ve üzerinde olan her tehdit için mühendislik mitigasyonu zorunludur.

---

4. Tedarik Zinciri ve CIA (Cybersecurity Interface Agreement)

ISO/SAE 21434 Madde 7, araç üreticisi ile tedarikçiler arasındaki ilişkiyi katı kurallara bağlar. Bir tedarikçinin OEM'e parça satabilmesi için imzalaması gereken en kritik belge CIA (Cybersecurity Interface Agreement) dokümanıdır.

CIA sözleşmesinde şu maddeler netleştirilmeden proje başlatılamaz:

• TARA Paylaşımı: Sistem düzeyindeki TARA'yı kim yapacak, bileşen düzeyindeki TARA girdi ve çıktıları ne zaman teslim edilecek?
• Siber Güvenlik Olay Bildirimi: Parçada sıfır gün (zero-day) açığı keşfedildiğinde tedarikçi OEM'e kaç saat içinde bildirim yapacak? (Genellikle 24-48 saat şartı koşulur).
• Yaşam Döngüsü Desteği: Araç üretildikten sonra 10-15 yıl boyunca yollarda kalacaktır. Parçanın güvenlik yamalarını (OTA güncellemelerini) kim geliştirecek ve test edecek?

---

5. Otomotiv Tedarikçileri İçin Entegre Yol Haritası

Tedarikçi firmalarda hem TISAX hem de ISO/SAE 21434 projelerini yönetirken önerdiğim adım adım yol haritası:

1. Organizasyonel Güvenlik Temeli (TISAX): Önce kurumun bilgi güvenliği, fiziksel erişim kontrolü ve prototip güvenliği altyapısını VDA ISA standardına göre olgunlaştırıp TISAX etiketini alın.
2. Siber Güvenlik Kültürü ve Rolleri Atama: Mühendislik ekibi içinde Cybersecurity Manager ve Cybersecurity Engineer rollerini belirleyin.
3. Mühendislik Süreçlerine Siber Güvenliği Entegre Etme (V-Model): Yazılım ve donanım geliştirme süreçlerinize (ASPICE / ISO 26262) güvenlik gereksinimlerini, tehdit modellemeyi (TARA) ve statik kod analizlerini (MISRA-C / CERT-C) dahil edin.
4. Zafiyet ve Olay Yönetim Sistemi (PSIRT): Üretim sonrası araçlar sahadayken ortaya çıkabilecek siber olayları izleyecek ve yamalayacak bir Ürün Güvenliği Olay Müdahale Ekibi (Product Security Incident Response Team - PSIRT) mekanizması kurun.