汽车信息安全领域首个国际标准ISO/SAE21434正式发布

2021年8月31日，汽车信息安全领域首个国际标准ISO/SAE 21434“Road vehicles—Cybersecurity engineering（道路车辆 信息安全工程）”正式发布。本文将结合中汽数据近期工作内容与研究成果，围绕该标准的出台背景、与ISO 26262的关系、内容与意义等方面对这一标准展开介绍。

背景

当前，随着5G、人工智能、物联网等新型基础设施的迅速发展，智能网联汽车不再是孤立的机械单元，正由移动私人空间逐渐转变为可移动的智能网络终端。伴随着汽车与外界的交互手段不断丰富，车联网相关设备、系统间的数据交互更加频繁，万物互联下的网络攻击也逐渐渗透延伸到车联网的领域。这给汽车行业带来了新的“专属挑战”。基于此，国际标准化组织（ISO）/美国汽车工程师学会（SAE）联合起草并发布ISO/SAE 21434，用于指导规范行业发展。

中汽数据有限公司（以下简称“中汽数据”）全程深度参与ISO/SAE 21434及其配套实施细则ISOPAS 5112“Road vehicles—Guidelines for auditing cybersecurity engineering（道路车辆信息安全工程审核指南）”的研讨与编制工作。此外，中汽数据正积极参与ISO/SAE 21434国标转化的推进工作。

与ISO 26262的关系

功能安全旨在保障功能按照设计要求正常进行，尽量减少因系统设计问题导致的功能失效；而信息安全旨在抵御外界攻击，更注重系统在外界攻击下能够正常运行，不产生财产损失，同时保护个人隐私不受侵犯。二者均专注于系统级功能，且彼此的定义和过程均相互关联。

ISO 26262中针对功能安全与信息安全之间的相互作用给出了指南建议。如：概念阶段中HARA与TARA之间的相互作用及流程之间的协调等。随着汽车智能化、网联化的深入推进，功能安全、信息安全并不是独立、割裂存在的，总体呈现与企业现有结构化流程进行融合的趋势。因此，企业在建立产品安全保障能力时，应充分参考ISO 26262、ISO/SAE 21434等标准文件。

内容与意义

ISO/SAE 21434章节内容如下图所示，标准的1-4章是对标准的基本说明，包括标准的范围、参考以及术语定义以及标准总则。5-8章是在企业的整体管理方面提出的信息安全相关要求，其目标是希望企业从公司维度建立信息安全流程与机制，做到“谋全局”。9-14章按照产品全生命周期的顺序，定义了概念设计、研发、验证、生产、运维以及报废等各阶段对于车辆信息安全的要求，其目标是在产品全生命周期中分阶段将信息安全威胁导致的风险降低到合理的范围，做到“谋一域”。15章提出了车辆信息安全风险评估方法论——TARA。



在标准中，全局信息安全管理为产品全生命周期中的各个信息安全活动提供支撑，产品全生命周期中的各个信息安全活动环环相扣，二者相辅相承。如下图所示，在概念阶段需对信息安全相关项进行定义，并展开TARA分析，输出信息安全目标与需求，作为研发阶段的输入；在研发阶段，需对概念阶段输入的信息安全目标与需求进行细化，完成软硬件设计以及系统集成与测试，对信息安全需求的完成情况进行确认；验证阶段则需对标概念阶段定义的信息安全目标，确认其已被达成，形成闭环。



以下是产品全生命周期信息安全管理中需要重点关注的环节：

01  相关项定义

在概念阶段，从产品整个生命周期的维度明确相关项定义对于汽车信息安全来说十分重要，这是澄清管理范围，为后续信息安全管理活动输如管理对象的重要一环。

02  TARA分析

TARA分析包括资产识别、威胁场景识别、影响分析、攻击路径分析、攻击可行性评级、风险等级评定和风险处理措施等步骤，企业通过对信息安全相关项进行TARA分析从而得到产品信息安全目标。

03  信息安全需求

为了实现产品信息安全目标，企业应制定信息安全需求，将其分解至各个系统与组件，并制定相应的信息安全缓解措施。

04  信息安全开发

在研发阶段，企业应对信息安全需求以及缓解措施进行细化，并依据细化后的需求以及缓解措施开展产品研发工作，完成架构设计和软硬件设计，并对系统进行集成。

05  信息安全测试与验证

信息安全测试是通过测试方法、测试用例等手段来验证产品已满足前期制定的信息安全需求，信息安全验证的目的确认在项目前期定义的信息安全目标已达成，至此信息安全设计冻结。

06  开发后阶段的信息安全要求

此外，企业应采取措施确保落实产品在开发后阶段的信息安全要求。例如，在生产阶段制定信息安全生产控制计划，在运维阶段通过信息安全事件应急响应以及漏洞收集管理等方式应对外界攻击手段的变化，并考虑产品报废后的信息安全问题。

总体而言，ISO/SAE 21434全面规定了道路车辆及其部件和接口的信息安全要求，详细描述了如何根据信息安全问题实现车辆信息安全管理目标，是目前汽车信息安全领域在政府监管、行业指导以及企业内控的重要参考文件，同时有利于促进社会各界在汽车信息安全领域达成重要共识。



中汽数据持续跟踪国内外标准法规，动态关注国内汽车信息安全监管形势，以R155“Cybersecurity and cybersecurity management system（汽车信息安全与信息安全管理体系）”为准绳，以ISO/SAE 21434标准为基础，结合国内外汽车信息安全标准政策以及行业最佳实践，已形成覆盖产品全生命周期的信息安全管理体系，可为汽车主机厂以及各级供应商搭建信息安全管理体系并落地实践，目前已连续为自主品牌、合资品牌、造车新势力等多家企业提供咨询服务。