SAE J3061 (Cybersecurity Guidebook for Cyber-Physical Vehicle Systems)
SAE J3061 („Cybersecurity Guidebook for Cyber-Physical Vehicle Systems“) ist eine Recommended Practice der SAE International aus dem Januar 2016. Sie war der erste Leitfaden, der Cybersecurity über den ganzen Lebenszyklus eines Fahrzeugs beschrieb. Heute hat ISO/SAE 21434 sie abgelöst.
Was steht in SAE J3061?
J3061 beschreibt ein Rahmenwerk für den Cybersecurity-Prozess. Es deckt Konzeptphase, Produktion, Betrieb, Service und Stilllegung ab. Jede Organisation soll es an ihren eigenen Entwicklungsprozess anpassen. Dazu kommen Grundsätze für sichere Fahrzeugsysteme und ein Überblick über gängige Werkzeuge und Methoden.
Viel Platz nehmen die Anhänge ein. Sie stellen Techniken für Bedrohungs- und Risikoanalyse, Threat Modeling und Schwachstellenanalyse vor, etwa Angriffsbäume. Andere Anhänge listen Beispiel-Controls nach NIST SP 800-53, Schwachstellendatenbanken, Sicherheitstestwerkzeuge und Forschungsprojekte seit 2004.
Leitfaden statt Anforderungen
J3061 ist ein Leitfaden. Für die Risikoanalyse stellt er mehrere Methoden nebeneinander und überlässt die Wahl dem Anwender.
ISO/SAE 21434 geht weiter. Die Norm legt fest, aus welchen Schritten eine Threat Analysis and Risk Assessment (TARA) besteht und was jeder Schritt liefert. Sie verlangt Arbeitsprodukte, die ein Kunde von seinem Zulieferer einfordern kann. Das macht Analysen verschiedener Unternehmen vergleichbarer.
Status heute
ISO beschreibt ISO/SAE 21434 auf ihrer Produktseite als Ersatz für den früheren SAE-Leitfaden J3061. SAE hat J3061 im Dezember 2021 auf „Stabilized“ gesetzt. Das Dokument gilt damit nicht als zurückgezogen, wird aber nicht mehr regelmäßig überprüft.
Für die Typgenehmigung nach UNECE R155 spielt J3061 keine Rolle. Die Regelung schreibt keine Norm vor. Im Text von 2021 nennt sie ISO/SAE 21434 nur in einer Fußnote.
J3061 im Lastenheft
Taucht J3061 noch in einem Lastenheft oder einer Prozessbeschreibung auf, lohnt die Rückfrage, ob ISO/SAE 21434 gemeint ist. Die Grundidee von J3061 hat die Nachfolgerin übernommen: Cybersecurity ist ein Prozess über den ganzen Lebenszyklus und keine einmalige Prüfung. Neu dazugekommen sind verbindliche Arbeitsprodukte und eine einheitliche TARA-Methodik.
Wie die TARA nach ISO/SAE 21434 Schritt für Schritt abläuft, beschreibt der Artikel Was ist eine TARA?. Wie itemis SECURE diese Analyse unterstützt, steht auf unserer Seite Cyber Security.