Das Problem
Ihr OEM gibt ohne belastbaren Cybersecurity-Case nach ISO 21434 nicht frei. Übliche Compliance-Auditoren verstehen Ihren C-/Rust-Stack nicht. Übliche Entwickler wissen nicht, wie man eine TARA schreibt. Die Arbeit bleibt in der Lücke dazwischen stecken — und Ihr Vertrag mit ihr.
Ich lebe seit fünfzehn Jahren auf beiden Seiten dieser Lücke. Ich schreibe die TARA und ich verstehe den Code, den sie beschreibt.
Was Sie bekommen
TARA-Erstellung — fester Umfang, fester Preis
Eine vollständige Bedrohungsanalyse und Risikobewertung für Ihr Item oder Steuergerät: Asset-Identifikation, Bedrohungsszenarien, Angriffspfad-Analyse, Impact- und Feasibility-Bewertung sowie Risikobehandlung. Vorab in Umfang und Preis festgelegt, damit sie den Vertrag freigibt, statt zum offenen Kostenblock zu werden.
Cybersecurity-Konzept & -Ziele
Die Cybersecurity-Ziele und -Claims, die sich aus der TARA ergeben — so formuliert, dass Ihre Entwickler sie umsetzen und Ihr OEM sie akzeptieren kann.
Angriffspfad-Validierung — der Unterschied
Weil ich auch offensive Security mache, höre ich nicht bei einer Tabelle theoretischer Bedrohungen auf. Wo es zählt, weise ich nach, ob ein Angriffspfad auf dem realen Ziel tatsächlich erreichbar ist — damit Sie Ihr Mitigationsbudget in die realen Risiken stecken, nicht in die, die nur bedrohlich klingen.
Arbeitsprodukte & OEM-Audit-Vorbereitung
Die ISO-21434-Arbeitsprodukte in der Form, die Ihr OEM erwartet, plus ein Durchgang, damit Ihr Team sie im Assessment auch ohne mich verteidigen kann.
Schnittstelle zu ASPICE
Als Automotive-SPICE-Assessor verzahne ich die Cybersecurity-Arbeit mit Ihren bestehenden ASPICE-Prozessen und der Nachverfolgbarkeit, statt sie als abgekoppelte Nebentätigkeit zu führen. Das passt natürlich zu Engineering-as-Code.
Ein Hinweis zum Geltungsbereich
Fahrzeuge selbst sind vom CRA ausgenommen — aber ISO 21434 und die Cybersecurity-Anforderungen der OEMs greifen bei den Komponenten, die Sie liefern, umso härter. Wenn Sie Tier-1- oder Tier-2-Zulieferer sind, ist das die Regulierung, die Ihre Verträge gatet — und genau hier leben meine TARA-Arbeit und mein ASPICE-Assessor-Nachweis.