400-677-1258
2022/03/29
隨著5G、人工智能、物聯(lián)網(wǎng)等新型基礎設施的迅速發(fā)展，智能網(wǎng)聯(lián)汽車不再是孤立的機械單元，正由移動私人空間逐漸轉變?yōu)榭梢苿拥闹悄芫W(wǎng)絡終端。智能汽車安全問題突出的有以下四點：
1、車輛集成度、復雜性增加帶來的整體安全風險，如當前智能網(wǎng)聯(lián)汽車安裝多達150個ECU（電子控制單元）并運行約1億行軟件代碼，預計到2030年可達3億行代碼，若存在安全缺陷漏洞或被黑客利用攻擊，將可能給駕乘人員、周邊人員帶來嚴重的安全威脅；
2、聯(lián)網(wǎng)帶來的網(wǎng)絡安全風險，車輛作為移動終端有著數(shù)據(jù)極多的感知節(jié)點，并需要與外部進行通訊，但由于當前還處于早期應用，車載計算平臺的算力有限、防護能力不強，通信安全存在風險；
3、數(shù)據(jù)保護存在難點，車輛運行過程中的行駛軌跡，采集的車周環(huán)境數(shù)據(jù)等，都對更高層面的公共安全甚至國防安全帶來一定的隱患；
4、隱私保護不足，車輛在使用過程中不僅產(chǎn)生車內(nèi)司乘人員的大量個人信息和隱私，還可能采集有車外人員信息，帶來的信息泄露風險令人擔憂。
2016年， ISO（國際標準化組織）與SAE International（國際自動機工程師學會 ，原譯：美國汽車工程師學會）共同決定制定汽車網(wǎng)絡安全相關的行業(yè)標準。兩個組織以往分別制定過汽車安全相關標準，ISO制定了功能安全標準ISO 26262、SAE制定了SAE J3061，為網(wǎng)絡安全標準奠定了基礎。當雙方認識到有共同的目標時，它們與整車廠（OEM）、ECU 供應商、網(wǎng)絡安全廠商、監(jiān)管機構以及來自超過 16 個國家/地區(qū)的 80 多家企業(yè)的 100 多位專家合作，建立了聯(lián)合工作組以制定深度并有效的汽車網(wǎng)絡安全全球標準。依賴于風險管理、產(chǎn)品開發(fā)、生產(chǎn)、運營、維護和報廢以及整體流程的四個主要工作組，于2021年8月31日正式發(fā)布了汽車信息安全領域首個國際標準ISO/SAE 21434《Road vehicles—Cybersecurity engineering（道路車輛-信息安全工程）》。
一、標準適用范圍
本標準專為確保道路用戶安全而開發(fā)，為OEM和各級供應商確立了確保高效和有效管理網(wǎng)絡安全風險的基準，例如：基于對道路用戶的最終影響確定的風險等級和相應的網(wǎng)絡安全措施。
本標準提供了一個標準化的網(wǎng)絡安全框架，將網(wǎng)絡安全確立為車輛整個生命周期不可或缺的工程要素 —— 從概念階段直至車輛報廢，確保在開發(fā)后階段（軟件更新、服務和維護、事件響應等）中充分考慮網(wǎng)絡安全，并且要求采取有效的方法 —— 經(jīng)驗教訓汲取、培訓以及與汽車網(wǎng)絡安全相關的溝通交流。
更具體而言，本標準的范圍包括：
● 針對網(wǎng)絡安全風險管理的具體要求
● 網(wǎng)絡安全流程框架
● 有助于制造商和組織就其網(wǎng)絡安全風險進行溝通交流的通用語言
本標準有意未規(guī)定具體的網(wǎng)絡安全技術或解決方案、關于補救方法的規(guī)定，或者針對電信系統(tǒng)、車聯(lián)網(wǎng)云端服務器、充電樁或者自動駕駛車輛的網(wǎng)絡安全要求。
相反，本標準著重強調(diào)了風險識別方法以及應對網(wǎng)絡風險的完備流程。例如，標準規(guī)定，如果遭受破壞的后端服務器、充電樁或者自動駕駛車輛導致對道路用戶的直接風險，則必須被監(jiān)測、控制和緩解。
二、與ISO 26262的關系
功能安全旨在保障功能按照設計要求正常進行，盡量減少因系統(tǒng)設計問題導致的功能失效；而信息安全旨在抵御外界攻擊，更注重系統(tǒng)在外界攻擊下能夠正常運行，不產(chǎn)生財產(chǎn)損失，同時保護個人隱私不受侵犯。二者均專注于系統(tǒng)級功能，且彼此的定義和過程均相互關聯(lián)。
ISO 26262中針對功能安全與信息安全之間的相互作用給出了指南建議。如：概念階段中HARA與TARA之間的相互作用及流程之間的協(xié)調(diào)等。隨著汽車智能化、網(wǎng)聯(lián)化的深入推進，功能安全、信息安全并不是獨立、割裂存在的，總體呈現(xiàn)與企業(yè)現(xiàn)有結構化流程進行融合的趨勢。因此，企業(yè)在建立產(chǎn)品安全保障能力時，應充分參考ISO 26262、ISO/SAE 21434等標準文件。
三、標準內(nèi)容解析
ISO/SAE 21434:2021標準共由15個章節(jié)組成，其中主體部分為4-15章，標準結構如下圖：
第4章 概述（General considerations）
概述部分介紹道路車輛網(wǎng)絡安全工程的背景信息，主要包含對標準對象、標準范圍以及風險管理的闡述。
ISO/SAE 21434的標準對象為實現(xiàn)車輛某個功能（例如制動功能）所包含的所有電子器件以及軟件，文中表述為相關項（item）。
ISO/SAE 21434的標準范圍包含車輛的某個相關項，并包含售后和服務環(huán)節(jié)。
風險管理應用于車輛相關項的整個生命周期，包含概念階段、產(chǎn)品開發(fā)、生產(chǎn)、運營、維護、退役/終止網(wǎng)路安全支持。風險管理適用于整個供應鏈，供應鏈各部分主體根據(jù)具體情況對網(wǎng)絡安全活動進行調(diào)整。
第5章 組織的網(wǎng)絡安全管理（organizational cybersecurity management）
本章規(guī)定了組織層面網(wǎng)絡安全管理的要求，是組織內(nèi)部最高層面的安全方針，標準中從7個方面提出了要求：
1、網(wǎng)絡安全治理（cybersecurity governance）
2、網(wǎng)絡安全文化（cybersecurity culture）
3、信息共享（Information Sharing）
4、管理體系（Management System）
5、工具管理（Tool Management）
6、信息安全管理（Information security management）
7、組織網(wǎng)絡安全審計（organization cybersecurity audit）
組織中CSMS的牽頭部門應基于本章內(nèi)容制定組織網(wǎng)絡安全管理的總體方針，然后識別和推動各相關責任方建立各自模塊（如開發(fā)，運維，供應商管理等）的網(wǎng)絡安全管理體系。
隨著聯(lián)合國ECE R155法規(guī)被納入GSR，以及國內(nèi)網(wǎng)絡安全標準制定的快速推進，CSMS建設已經(jīng)變成各大OEM迫在眉睫的工作。強標的驅動保證了網(wǎng)絡安全工作在組織中得以自上而下的進行，因此對于相關企業(yè)來說，工作的難點就在于識別出網(wǎng)絡安全開發(fā)流程與現(xiàn)有流程相比，新增了哪些活動，有哪些活動可與現(xiàn)有活動融合，從而在合規(guī)的基礎上，制定出最適宜、變更成本最低的網(wǎng)絡安全管理體系搭建方案。
第6章 項目依托的網(wǎng)絡安全管理（Project dependent cybersecurity management）
本章描述了普適性的針對項目網(wǎng)絡安全活動的管理原則。包括各項活動的職責分配，制定網(wǎng)絡安全活動計劃，裁剪原則，以及網(wǎng)絡安全案例和網(wǎng)絡安全評估、開發(fā)后發(fā)布的要求：
1、網(wǎng)絡安全職責（Cybersecurity Responsibilities）
2、網(wǎng)絡安全計劃（Cybersecurity Planning）
3、裁剪（ Tailoring）
4、重用（Reuse）
5、非特定場景組件（Component out of context）
6、外部組件（Off-the-shelf Component）
7、網(wǎng)絡安全事例（Cybersecurity case）
8、網(wǎng)絡安全評估（Cybersecurity Assessment）
9、開發(fā)后發(fā)布（Release for post-development）
在歐盟R155法規(guī)中，車輛的網(wǎng)絡安全準入包含了兩個部分：網(wǎng)絡安全體系認證（CSMS）和車輛形式認證（VTA），本章的內(nèi)容可作為開展VTA工作的重要參考，它主要規(guī)定了在項目角度必須實施的網(wǎng)絡安全活動。這部分工作通常由網(wǎng)絡安全項目管理工程師負責，其核心內(nèi)容是在項目前期確定安全工作的范圍，并制定相應的網(wǎng)絡安全開發(fā)計劃，規(guī)定安全活動和輸出的工作產(chǎn)品。在項目實施的過程中，需收集和管理網(wǎng)絡安全活動的證據(jù)及工作產(chǎn)品，以形成邏輯鏈完整的網(wǎng)絡安全案例。在批產(chǎn)前，需完成相關的網(wǎng)絡安全評估和審核。
第7章 分布的網(wǎng)絡安全活動（Distributed cybersecurity activites）
本章規(guī)定了分布式開發(fā)中的網(wǎng)絡安全活動，可以理解為在網(wǎng)絡安全角度如何進行供應商管理。ISO/SAE 21434是一份面對整個汽車行業(yè)的指導標準，因此對供應商管理要求的適用范圍不僅限于OEM，同時也適用于Tier 1, Tier 2等供應鏈上各環(huán)節(jié)的企業(yè)和組織，此外，組織的內(nèi)部供應商也需要遵循本章要求。分布式的網(wǎng)絡安全活動主要有3項：
1、供應商能力（Supplier capability）
2、詢價（Request for quotation）
3、職責一致（Alignment of responsibilities）
網(wǎng)絡安全相關的標準和政策到目前為止出臺僅一年多的時間，各大整車廠、Tier的安全能力建設都還在起步階段，因此在初期對于供應商的能力評估更多還是基于裁剪給過的體系要求，等到行業(yè)水平達到一定程度，相關的認證、審核機制日益成熟，可能會發(fā)展成與ASPICE或IATF16949類似相對標準的評估模式。對于定點后的供應商管理，主要基于網(wǎng)絡安全接口協(xié)議，要求供應商提供零件從TARA、安全方案設計到測試、生產(chǎn)整個完整邏輯鏈的實施證據(jù)。
第8章 持續(xù)的網(wǎng)絡安全活動（Continual cybersecurity activities）
本章主要描述持續(xù)的網(wǎng)絡安全活動。車輛網(wǎng)絡安全工程是一項貫穿產(chǎn)品全生命周期的持續(xù)性的活動，OEM不僅要進行TARA分析、安全概念設計、網(wǎng)絡安全開發(fā)測試和生產(chǎn)，還要在項目的全生命周期中，持續(xù)地收集和監(jiān)控與項目有關的網(wǎng)絡安全信息，建立信息監(jiān)控和漏洞管理機制，持續(xù)地保證產(chǎn)品的網(wǎng)絡安全。新漏洞的發(fā)現(xiàn)、網(wǎng)絡安全突發(fā)事件的發(fā)生、新攻擊技術的出現(xiàn)等都有可能觸發(fā)相應的網(wǎng)絡安全工作。本章描述了4項需要持續(xù)進行的網(wǎng)絡安全活動：
1、網(wǎng)絡安全持續(xù)監(jiān)視（Cybersecurity monitoring）
2、網(wǎng)絡安全時態(tài)評估（Cybersecurity event assessment）
3、漏洞分析（Vulnerability analysis）
4、漏洞管理（Vulnerability management）
本章主要涉及的是漏洞管理的內(nèi)容，包含了漏洞信息的收集，分析和處置。漏洞信息的收集要求組織建立長效的網(wǎng)絡安全信息收集機制，通過內(nèi)外部多種渠道（如訂閱威脅情報服務、供應商上報、監(jiān)測互聯(lián)網(wǎng)漏洞平臺、定期的漏洞掃描等）收集和識別與項目相關的網(wǎng)絡安全事件。在分析階段，應首先定位安全事件影響的功能、組件，識別脆弱點，然后由業(yè)務部門和安全部門對脆弱點進行分析，判斷其是否應被作為漏洞進入漏洞管理流程。對于已查明的漏洞，需分析其風險等級，制定漏洞處置計劃。針對不同嚴重等級的漏洞，還應設置對應的漏洞關閉時間，跟蹤處置進度直至關閉。
第9-14章 描述了從概念設計到產(chǎn)品開發(fā)、驗證、生產(chǎn)及后期運維和退役全生命周期的網(wǎng)絡安全活動和相關要求。
第9章 概念（Concept）
概念階段涉及對相關項中實現(xiàn)的車輛級功能的思考，包含功能項定義（Item definition）、網(wǎng)絡安全目標（Cybersecurity goals）、網(wǎng)絡安全概念（Cybersecurity concept）。
第10章 產(chǎn)品開發(fā)（Product development）
產(chǎn)品開發(fā)包括設計、集成與驗證，采用V字形模型的工作流程，見下圖：
本章介紹了設計、集成和驗證的要求：
1、設計（Design）：基于抽象架構、網(wǎng)絡安全控制措施和已有架構設計定義網(wǎng)絡安全規(guī)范，并將網(wǎng)絡安全規(guī)范與對應的組件關聯(lián)，并規(guī)定網(wǎng)絡安全流程，規(guī)定設計、建模和編程語言滿足網(wǎng)絡安全標準、采用既定的、可信的設計和實施標準避免引入漏洞、分析架構設計中的漏洞、核查網(wǎng)絡安全規(guī)范。
2、集成與驗證（Integration and verifcation）：驗證組件的實施和整合組件服務網(wǎng)絡安全規(guī)范，測試驗證應保證充分性并盡可能減少未識別的漏洞。
第11章 網(wǎng)絡安全驗證（Cybersecurity validation）
網(wǎng)絡安全驗證描述在車輛層面驗證相關項的網(wǎng)絡安全的要求，驗證活動應當考慮網(wǎng)絡安全威脅和風險方面的網(wǎng)絡安全目標是否充分、相關項網(wǎng)絡安全目標是否實現(xiàn)、網(wǎng)絡安全聲明以及操作環(huán)境的有效性。
第12章 生產(chǎn)（Production）
生產(chǎn)包含相關項或組件的制造和組裝，生產(chǎn)階段要求建立并執(zhí)行生產(chǎn)控制計劃，包含生產(chǎn)階段的網(wǎng)絡安全要求的步驟順序、生產(chǎn)工具和設備、網(wǎng)絡安全控制、核查網(wǎng)絡安全規(guī)范的方法。
第13章 運行和維護（Operation and maintenance）
運行和維護包含網(wǎng)絡安全事件響應（Cybersecurity incident response）和相關項或組件的更新（Updates），網(wǎng)絡安全事件響應是網(wǎng)絡安全事件的補救活動，更新是指相關項或組件在開發(fā)后發(fā)生的改變。本節(jié)提出要制定和實施網(wǎng)絡安全事件響應計劃，包含補救措施、溝通計劃、責任分配、網(wǎng)絡安全事件現(xiàn)場記錄、改進方法、結束操作。本節(jié)要求在相關項或組件在運營和維護階段的更新按照開發(fā)的安全規(guī)范進行。
第14章 結束網(wǎng)絡安全支持和報廢工作（End of cybersecurity support and decomissioning）
停用無需通知組織，不屬于本標準范圍。本標準規(guī)定終止網(wǎng)絡安全支持需要向客戶通報。
第15章 威脅分析與風險評估模型（Threat analysis and risk assessment methods，TARA）
本標準描述了確定道路使用者受威脅情景影響程度的方法，這些方法從受影響的道路使用者的角度進行，被統(tǒng)稱為威脅分析和風險評估（TARA）。本標準中定義的方法是通用模塊，可以在相關項或部件的生命周期的任何階段使用，包含以下過程及其要求：
1、資產(chǎn)識別（Asset identification）：
a）了解什么會受到危害
b）按照標準的陳述：識別項目或組件的破壞破壞場景和資產(chǎn)…
2、威脅場景識別（Threat scenario identification）：
a）了解資產(chǎn)會如何受到危害
b）按照標準的陳述：根據(jù)所分析資產(chǎn)的網(wǎng)絡安全屬性識別威脅場景
3、影響打分（Impact rating）：
a）威脅將導致多大的危害
b）按照標準的陳述：根據(jù)損失場景 (3.1.18) 評估損失或人身傷害的大小。
4、攻擊路徑分析（Attack path analysis）：
a）什么行為導致了威脅
b）按照標準的陳述：識別并將潛在攻擊路徑與一個或多個威脅場景關聯(lián)
5、攻擊可能性打分（Attack feasibility rating）：
a）危害發(fā)生的可能性有多大
b）按照標準的陳述：基于易受攻擊性對攻擊路徑進行可行性評級
6、風險值識別（Risk value determination）：
a）威脅導致的風險有多大
b）按照標準的陳述：確定威脅場景的風險值
7、風險處理決策（Risk treatment decision）：
a）如何應對風險
b）按照標準的陳述：通過選擇適當?shù)娘L險處理選項應對所識別的風險
四、此標準帶來的益處
汽車行業(yè)對這一標準的需求是非常明確的：
1、需要適用于汽車行業(yè)的通用網(wǎng)絡安全相關術語。以往，使用許多不同的術語導致難以理解網(wǎng)絡風險以及如何緩解風險；
2、需要有助于實現(xiàn)有效的車輛網(wǎng)絡安全的標準。在 ISO/SAE 21434:2021 標準之前，對于“充分網(wǎng)絡安全”的含義，從來沒有一個明確的定義；
3、盡管有針對汽車安全的先進的公認標準，并且在這些標準中 ASIL（汽車安全完整性等級）的概念被理解和應用，但缺乏對此形成補充的網(wǎng)絡安全標準定義，因此各企業(yè)對于網(wǎng)絡安全保障等級的定義各有差異；
4、最后，需要有面向監(jiān)管者的標準化參考，可被用于加強車輛網(wǎng)絡安全，確保智能網(wǎng)聯(lián)汽車相關人員始終保持安全，免受網(wǎng)絡威脅和攻擊。
所以，ISO/SAE 21434:2021帶來的益處在于：
1、適用于供應鏈的通用術語、行業(yè)共識、針對車輛網(wǎng)絡安全工程的明確的最低標準、將網(wǎng)絡安全提前引入車輛設計、清晰定義的威脅態(tài)勢（threat landscapes）、面向監(jiān)管者的重要參考以及在利益相關方之間建立更高級別的信任；
2、ISO/SAE 21434:2021被引用到UNECE的WP29車型批準法規(guī)中，這使得行業(yè)在車型批準時必須遵守該標準。將標準化與監(jiān)管結合起來，將構建汽車產(chǎn)品領域所需的網(wǎng)絡安全韌性；
3、ISO/SAE 21434:2021將為汽車行業(yè)管理網(wǎng)絡風險、證明符合新法規(guī)并為客戶樹立信心提供重要工具。
