干货丨ISO/SAE 21434常见问题汇总

ISO/SAE 21434标准，全称为“Road vehicles – Cybersecurity engineering” 《道路车辆——功能安全》 ，是国际标准化组织（ISO）和（SAE）共同制定的汽车行业网络安全工程标准。 该标准于2021年8月31日正式发布，旨在为道路车辆的整个生命周期提供一个全面的网络安全风险管理框架， 以确保车辆系统的安全性和可靠性。

该标准不仅适用于OEM（原始设备制造商），还适用于所有供应链参与者，包括一级和二级供应商。 虽然ISO/SAE 21434不是强制性标准，但随着UNECE R155强制法规的实施，网络安全已成为车辆型式批准的必要条件。

为了确保标准的有效实施，ISO/SAE 21434还强调了持续改进和培训的重要性。 相关培训内容包括基础概述、组织安全管理、项目依赖安全管理、分布式安全活动、威胁分析和风险评估方法等。 此外，还有专门的测试验证服务和咨询服务，以帮助组织抵御网络安全风险。

总之，ISO/SAE 21434为汽车行业提供了一套科学的网络安全风险评估和管理工具，引导企业根据风险的严重性和攻击向量的不同采取相应的保护措施。 这一标准不仅有助于提高汽车产品的安全性，还能增强消费者对智能网联汽车的信心

范围： ISO21434覆盖了整个汽车开发生命周期，包括设计、开发、生产、测试、部署和维护阶段。 它涵盖了从车辆内部系统到外部服务和网络的各个层面，包括软件、硬件、通信协议、供应链等。

在理解ISO21434的适用范围时，组织应该考虑其自身的业务和风险情况，以确定如何最好地应用该标准。 同时，还应考虑与其他相关标准和法规（如ISO 27001、ISO/SAE 21434、UN R155等）的一致性和配合。

这张图应该很多人都见过，缺少Part 1- 3，分别对应Scope、规范引用(ISO 26262-3)和术语。

可以看到，ISO/SAE 21434描述了一个项目在全生命周期里对于网络安全的目标或者要求，从开始的法律法规要求、公司网络安全文化形成，到公司间交互的网络安全权责划分，再落实到具体项目、对应Item的网络安全目标，对产品开发、量产、售后、报废不同阶段提出了相应的网络安全目标，可以说，只有一个件沾上了网络安全，那么网络安全就会一直陪着它从萌芽到死亡。

ISO 26262主要讨论功能安全。 ISO/SAE21434功能安全旨在保障功能按照设计要求正常进行，尽量减少因系统设计问题导致的功能失效； 而信息安全旨在抵御外界攻击，更注重系统在外界攻击下能够正常运行，不产生财产损失，同时保护个人隐私不受侵犯。 二者均专注于系统级功能，且彼此的定义和过程均相互关联。 2个标准均专注于系统级功能，且彼此的定义和过程均相互关联。

ISO 26262中针对功能安全与信息安全之间的相互作用给出了指南建议。 功能安全与信息安全并不是独立的存在。 因此，企业在建立产品安全保障能力时，应整体并充分地参考ISO 26262、ISO/SAE 21434等标准。

为了实现两者的有效结合，企业可以在早期开发阶段采用基于SAE J3061/ISO 21434、SAE J3016和ISO 26262标准的方法来协同安全和防护生命周期。 这种方法使用失效、攻击和对策（FACT）图来连接不同标准，从而确保在不同层面上的安全性和网络安全都得到充分考虑。

此外，ISO 26262和ISO 21434可以并行执行，以覆盖更全面的安全需求。 例如，在自动驾驶汽车领域，除了功能安全外，还需要考虑由功能不足引起的潜在危险情况，这可以通过ISO 21448（SOTIF）标准来补充。

ISO 26262和ISO 21434标准在实际案例中通过相互补充和并行执行的方式协同工作，以实现对汽车系统功能安全和网络安全的全面保障。

建立和管理汽车网络安全团队是确保汽车系统安全性的关键步骤。 以下是建立和管理汽车网络安全团队的一般性指导以及如何分配网络安全责任和职责的建议：

确定团队目标 ： 明确汽车网络安全团队的目标和任务，例如保护车辆系统免受未经授权的访问、数据泄露、恶意攻击等。

确定团队成员： 根据团队目标和任务，确定需要的团队成员，包括安全专家、网络工程师、系统管理员等。

技能和经验： 确保团队成员具有相关的技能和经验，包括网络安全、汽车系统架构、嵌入式系统开发等方面的专业知识。

培训和发展： 提供持续的培训和发展机会，确保团队成员跟上最新的安全技术和方法。

沟通和协作： 建立良好的沟通和协作机制，促进团队成员之间的合作和信息共享。

安全主管： 指定一位安全主管负责汽车网络安全团队，负责制定安全策略、监督安全实施和报告安全状况。

安全分析和威胁建模： 负责识别和评估汽车网络安全风险，进行安全分析和威胁建模，以确定潜在的安全威胁和漏洞。

安全工程师： 负责设计、开发和实施汽车网络安全解决方案，包括安全控制、加密技术、身份验证等。

安全测试人员： 负责进行安全测试和评估，发现系统中存在的安全漏洞和弱点，并提出改进建议。

应急响应团队： 建立应急响应团队，负责处理安全事件和漏洞曝光，及时应对安全威胁。

供应链安全管理： 负责评估和监督供应商的安全性能，确保汽车零部件和软件的安全性。

安全意识教育： 负责开展安全意识培训和教育，提高组织内部成员对汽车网络安全的认识和重视程度。

通过合理分配网络安全责任和职责，建立高效的汽车网络安全团队，可以有效保护汽车系统免受安全威胁和攻击。

1、专业团队： 需要具备经验丰富的汽车网络安全专家团队，能够负责制定和实施相关的安全措施和风险评估；

2、安全管理制度： 需要建立适当的安全管理制度，包括明确的责任分工、安全政策、风险评估和管理流程等；

3、风险评估： 需要进行全面的风险评估，识别潜在的网络安全威胁和漏洞，并采取相应的措施进行风险控制和管理；

4、安全生命周期管理： 需要在整个汽车开发和生产周期中，采用安全生命周期管理方法，从需求定义、设计、实施、测试、维护等各个环节中考虑和实施网络安全措施；

5、安全培训和意识： 需要向相关人员提供适当的安全培训，提高他们对汽车网络安全的认识和意识，并确保他们能够按照安全要求执行相关工作；

6、 安全测试和验证： 需要进行严格的安全测试和验证，包括功能安全测试、网络安全漏洞扫描、安全加密算法验证等，确保汽车系统的网络安全性能符合标准要求；

7、安全文档求记录： 需要编制和管理相应的安全文档和记录，包括安全策略、安全需求规格、安全设计文档、安全测试报告等。

（以上是对ISO21434认证的一般要求概述，具体的认证步骤和要求可能因组织和标准要求的不同而有所差异。 想要详细的认证要求和指南，可以联系我们）