UNECE 呼吁进行端到端的网络安全管理

背景介绍

联合国欧洲经济委员会（UNECE）于2021年1月22日的155法规详细描述了国家认证机构今后在批准带有机电部件的新车时，应该如何实施网络安全这一议题 。汽车制造商将必须在开发、生产和车辆使用阶段实施网络安全风险管理方面，展示出一个网络安全管理系统。

功能安全与网络安全

功能安全与网络安全的目的是使车辆中的风险可控。然而，在威胁性质方面，这两个领域是非常不同的。功能安全在危害分析（HARA）中检查车辆部件的故障安全性，而网络安全则处理在开发、生产阶段和生产后道路上可能发生的对车辆的恶意攻击方式。这意味着存在着恶意攻击者使用不断发展的方法来入侵汽车完整性的持续威胁。不仅更新机制需要安全，甚至车间的特殊安全度量也需要考虑。

ISO 26262已经在功能安全项目中成功实施了多年。另一方面，ISO/SAE 21434 “Road Vehicles – Cybersecurity Engineering”，自2021年3月以来，只有最后的草案形式。它描述了制造商 (OEM）及其供应商应如何评估网络安全风险并得出合适的对策。

网络安全的实践

UNECE 155法规明确规定了OEM的责任。鉴于日益增加的复杂性、众多的供应商和全球生产基地，建立一个端到端的网络安全管理系统不是一件容易的事。

Intacs和VDA QMC应对这一挑战，并为未来的开发项目提供支持工具。

在VDA QMC黄皮书 “VDA Automotive SPICE® for Cybersecurity “第13页，提出了新的过程。SEC.1 “网络安全需求挖掘”，SEC.2 “网络安全实施”，SEC.3 “验证”，SEC.4 “风险处理确认”，MAN.7 “网络安全风险管理”。

网络安全工程过程组（SEC）描述了应如何评估机电一体化系统中的网络安全风险，以及未来应如何实施、验证和测试适当的应对措施。MAN.7详细描述了将如何设计网络安全风险管理。

这里引入了ACQ.2和ACQ.4的新规则，以确保对供应商在网络安全方面的监控。

实施

在未来，制造商（OEM）必须将机电元件纳入其网络安全管理系统，  这是无法避免的。因此，如果你想在这个领域发挥作用，你就不得不加强自身能力并调整你的过程，以充分包括网络安全。

预计上述过程将被纳入到新的ASPICE 4.0标准中，从而具有约束力。

培训

Intacs™ 和 VDA-QMC Intacs™和VDA-QMC目前正在为Automotive SPICE网络安全的模型扩展制定培训概念、培训材料与考试。我们计划在第四季度举办第一次培训师培训研讨会。一旦培训得到认可，被认可的培训机构就将安排提供培训。

即刻报名 – 网络安全 SPICE 培训