ISO/SAE 21434

ISO/SAE 21434《道路車輛－網路安全工程》（Road vehicles – Cybersecurity engineering）是針對汽車網路安全（Cybersecurity）的標準，其國際標準正式版本在8月31日公布。這份標準是由國際標準化組織（ISO）以及国际汽车工程师学会（SAE）的工作組所發展，也經由二個組織所審核。

針對汽車的網路攻擊風險越來越高，也因為汽車的空中编程（OTA）、車隊管理系統、車輛和其他設備通訊（車聯網， Car2X / V2X）等機能的基礎架構，汽車也出現了新的攻擊面。基於開發的考量，需要在標準上有對應的措施。此標準和歐盟要建立的網路安全管理有關。為了和歐盟同步，聯合國歐洲經濟委員會（UNECE）的世界車輛法規協調論壇（WP. 29）已在2021年4月提出「網路安全管理系統」（UNECE R 155, Cyber Security Management System，CSMS ）的認證，新車要進行時，需要通過此一認證。透過ISO 21434，希望可以建立至少部份符合相關法規的車輛開發技術標準。

目的
此標準會應用在車輛的零件（包括電子元件以及軟體），也包括備品以及配件。標準涵蓋了車輛完整的生命週期，包括開發、製造、運作、維修以及回收等。此標準不包括車外的基礎設施，例如車廠診斷用的伺服器，軟體更新器或是診斷測試器（off-board diagnostics）等。

此標準和UNECE WP.29法規 R-155（网络安全管理系统）法規有關。R-155法規要求車廠的網路安全系統需通過認證。ISO 21434有助於通過相關的認證。不過ISO 21434沒有完全涵蓋R-155法規的要求。

依此標準進行的產品開發活動是依風險評估的基礎在進行管理，也需要組織的投入。流程是必要的，但標準只說明各個流程的任務，需由使用者來設計各個流程。此標準的建議不會針對特定的技術或是解決方案，也沒有特別針對自駕車的內容。

內容與架構
此標準的內容和架構和ISO 26262類似，也在許多方面參考了其中的內容。此標準可以分為以下的章節:

第4章和附錄A-H是informative。

威脅分析以及風險評估
ISO/SAE 21434的核心是威脅分析以及風險評估（Threat analysis and risk assessment，簡稱TARA）。第8章會探討威脅分析以及風險評估的通用程序。第9章是杷概念說明，其中包括調查對象的定義（9.3）、尋找網路安全目標（9.4），用全面性的網路安全概念整合上述的資訊（9.5）。大部份識別網路安全目標的流程會以第8章的程序為基礎。

ISO/SAE 21434相容的威脅分析以及風險評估，主要會包括以下程序（以理想化線性的執行方式列出）：

項目定義（9.3）
資產識別（8.3）
威脅情境識別（8.4）
損害評估（8.5）
攻擊路徑分析（8.6）
攻擊可行性的評估（8.7）
風險確認（8.8）
風險處理決策（8.9）
網路安全目標 [RQ-09-07]
網路安全聲明 [RQ-09-08]
網路安全概念（9.5）

相關條目 
 ：信息物理融合系统网络安全指南
 ISO 26262：道路車輛的功能安全標準

參考資料

外部連結 
 
 
 

21434
ISO 21434
ISO 21434