TISAX®為全球認可的汽車業資訊安全管理系統標準。與德國主要汽車品牌有來往的組織都需取得TISAX®，預計後續會有更多車廠要求供應鏈加入。在此建議處理敏感資訊的汽車供應商和服務提供者早了解TISAX®，並即時規劃應對之道。主要益處
- 台灣稽核員執行TISAX®稽核，為您在溝通上減少障礙
- 防止資訊安全漏洞和網路攻擊
- 取得客戶的對組織數據保護方式的信任
- 識別風險，證明組織資訊安全符合業界標準
- 全球通用的汽車行業資訊安全標準，取得汽車市場的進入門票
https://www.bsigroup.com/zh-TW/blog/Cybersecurity-and-Information-Resilience-Blog/2021/2021-infosec-standards-summit-TISAX-ISO21434/
隨著數位化、自動化科技的開展，汽車產業亦大步邁向車聯網與自動駕駛的未來。車聯網的概念就是物聯網，運用多重通訊技術，實現車輛與車輛、車輛與駕駛員，甚至車輛與雲端或公共基礎設施之間的互動；換句話說，透過一套縝密的網路通訊系統進行數據資料的傳遞，打造出能協同人、車、路以及環境的智慧網絡。
綜觀整個聯網自動車的產業生態系統，若將車子置於核心位子，聯網科技所牽涉的對象相當廣泛，包含車體的製造商、上下游供應商、購車客戶、相關基礎建設、監管機構與驗證機構等等，因科技的應用連結眾多單位，使得當我們在談論車子時，其概念已不僅限於單個機械車體，而是在聯網技術下，運作的電腦(程式)與潛在的資安風險。有鑑於此，BSI臺灣隱私保護與車聯網資安產品經理孫文良於演講中特別提醒：「當新的應用科技生成時，將可能辦伴隨著全新的(資安)風險，應做妥善地評估與處理。」
當眾所期待的車聯網或自動駕駛車逐漸在市場上嶄露頭角時，首個重要問題就是──如何加強資安風險的控管? BSI孫經理表示，汽車產業的安全標準涵蓋三個範疇，分別為功能安全(Functional Safety)、品質(Quality)，以及資訊與網路安全(Information & Cyber Security)；除了被視為資安標準的基礎ISO 27001之外，ISO/SAE 21434與TISAX(Trusted Information Security Assessment Exchange)也是目前資訊與網路安全(Information & Cyber Security)範疇中較受關注的相關標準。
ISO 21434標準於2021年8月正式公告，孫經理表示，聯合國日前所制定的法規中，規範汽車產業的製造商須符合網路安全管理體系（Cyber-Security Management System，CSMS）的要求，而ISO/SAE 21434的標準則展現出CSMS的具體訴求，不僅確保整個供應鏈的流程與管理都達到合規性，也能透過實踐標準，形塑組織的網路安全文化。
孫經理提及ISO 21434的前身是 SAE J6031。綜觀其標準，從第5到第8的條款，講述的重點在於組織層面的網路安全政策，建立、維護並實施整體的資安規則和流程；另外，在第9-11條中，ISO 21434標準側重車輛的總體(V-model)開發過程和產品生命週期，分別在概念、開發、驗證、生產、營運與維護及退役等階段提出相關要求，依照其規定能產出該階段的工作文件，以確保其驗證有效。
概括而言，ISO/SAE 21434的優勢在於協助組織採取合理措施，不僅預防網路安全問題與培養內部網路安全之文化，也彰顯組織企業對網路安全的承諾。
另一部分，資訊的透明化也是重要議題，TISAX（Trusted Information Security Assessment Exchange）為目前2,500多個公司所共同使用的資安標準交換平台，該標準的存在能確保供應鏈夥伴間資訊安全的透明度，並保持彼此間對安全評估標準的一致性；在TISAX平臺之上，無論供應鏈中的哪個環節，通過公認的資訊安全評估流程其稽核結果都可放置於TISAX平臺上，從而促進組織間的資訊交流。
孫經理特別提出TISAX與ISO 27001的關聯與差異，他表示TISAX其中所羅列的41個安全控制項目與ISO 27001附錄A中的控制要求相似，不過整體而言兩個標準作用的面向是不同的，ISO 27001係以維持組織自身的資安安全性為主；TISAX則是作為資訊交換的第三平台方，可促成整個產業供應鏈的資安管理透明化與標準化。
於演講最後，孫經理再次強調TISAX的執行不僅能減少供應商之間對資訊安全的重複評估，增加效率，也能促進整個汽車供應鏈的信任與信心。如今汽車產業的數位化在進步，資安面向的需求當然也要有所保固！
VDA
Verband Der Automobilindustriehttps://www.tuvsud.com/zh-tw/services/auditing-and-system-certification/vda-6-x
汽車是一種非常複雜的機器，由多種複雜零部件組成。在整個製造和維修流程中確保品質始終如一，這點十分重要。因此，汽車零部件製造商必須根據IATF 16949和/或VDA 6.1的標準進行驗證，而汽車服務供應商應滿足更高的VDA 6.2標準，工裝/機器製造商應獲得VDA 6.4驗證。
VDA 6.X品質管理系統驗證是根據德國汽車製造商要求，針對汽車行業ISO 9001標準進行的一項擴展。
IATF 16949和VDA 6驗證根源於ISO 9001品質管理系統。 VDA 6分為兩個區域; 管理和產品與流程。
IATF 16949和VDA 6.1只是適用於汽車製造商的強制性要求，但汽車服務供應商還需要滿足VDA 6.2標準，汽車工具和機器製造商需要滿足VDA 6.4標準。透過實施VDA 6.X計畫，您的公司能夠致力於實現長期目標，始終滿足甚至超越客戶的期望。除了提高組織效率和產品品質，遵守驗證要求可以在最大限度上減少浪費和錯誤，從而提高整體生產力。
(更新2021/1/12) 聯合國歐洲經濟委員會(UNECE)的世界車輛法規協調論壇(WP29)在2020年6月24日頒布了有關車輛網絡安全和軟體更新的兩項新ECE法規，並於2021年1月份，正式生效。
隨著車輛系統的高度發展，汽車產業正歷經了數位化的變革。如今，一輛汽車包含多達150個電子控制單元(ECU)和大約1億行的軟體代碼，而這個數字將在2030年再成長3倍。
當汽車走向高度數位化，資訊安全的風險也將遽增，由駭客攻擊而導致安全性問題，將威脅著車輛安全和消費者的隱私；如同筆者在ISO/SAE 21434文章中，也提到騰訊科恩實驗室成功駭入特斯拉的實例，汽車產業的資訊安全已刻不容緩。
有鑑於汽車的資訊安全風險，聯合國歐洲經濟委員會(UNECE)的世界車輛法規協調論壇(WP29)在2020年6月24日通過了兩個ECE法規要求，分別是R155及R156，這兩個法規要求已經於2021年1月份，正式生效。這兩項法規將涵蓋以下4個主題，分別為：
額外補充: OTA updates
一般所謂的OTA updates，指的是Over-The-Air updates，即空中升級的意思。車輛的空中升級，一般可以分為兩類，分別是：
1) 空中軟體升級(Software Over-the-Air, SOTA)
2) 空中韌體升級(Firmware Over-the-Air, FOTA)
常見的導航圖資更新、媒體應用系統更新等皆屬於空中軟體升級的範圍，相對來說，空中韌體升級則是能夠針對電子控制單元(ECU)進行升級，由於ECU的改動可能導致或造成車輛安全或網絡安全的風險，因此在技術上非常具有挑戰性。額外補充:各國對於新法規的反應與動向
由世界車輛法規協調論壇(WP29)所頒布的兩項法規，將於2021年1月份，正式生效，目前主要反應的國家：
1. 日本：當法規生效後，計畫採用這些規定
2. 南韓：採取循序漸進的方式，在2020年下半年將《網絡安全法規》的規定納入了一項國家指南，並在第二步著手實施該法規
3. 歐盟：新的《網絡安全法規》將從2022年7月起對所有新車型強制實施，並將對2024年7月起對所有新生產的車輛強制實施額外備註：歐盟法規的參照ISO-21434
歐盟於2020年1月發布了《一般安全條例》(Regulation (EU) 2019/2144)，原文提到：
(26) The connectivity and automation of vehicles increase the possibility for unauthorised remote access to in-vehicle data and the illegal modification of software over the air. In order to take into account such risks, UN Regulations or other regulatory acts on cyber security should be applied on a mandatory basis as soon as possible after their entry into force.
根據該指令，歐盟已宣布計劃引入EU的安全相關法規，以便從2022年7月開始對所有"新車型"強制執行，並在2024年7月之後針對所有“首次註冊”車輛的強制性要求。
近年，由於「車聯網」概念蓬勃發展，具備聯網功能的車輛占比持續提升；隨著這股風潮而起的另外一個議題「網絡安全(Cybersecurity)」，也越來越被業界重視。本文章， 將針對道路車輛的相關安全(Cybersecurity)法規進行整理，並聊聊即將發行的ISO/SAE 21434。
因應網絡安全議題，各國的反應：
—
英國標準協會( British Standards Institute, BSI)於 2018年12月19發布了《汽車網絡安全基礎指南-規格書》(The fundamental principles of automotive cyber security. Specification)，該指南由捷豹路虎( Jaguar Land Rover)、福特汽車( Ford)、賓利( Bentley)等企業及英國國家網絡安全中心( National Cyber Security Centre)共同編寫，由英國運輸部提供資金支持。該指南針對研發自動駕駛車輛的公司設置了標準，並提供了網絡安全的原則。
—
—
汽車產業資安事件層出不窮，因此德國汽車工業協會(VDA)的資訊安全委員會(Information Security Committee)，制定了汽車產業的資訊安全的標準 Information Security Assessment(簡稱 VDA-ISA)，並以此標準創造創建了《資訊安全評估與交換機制》(Trusted Information Security Assessment Exchange, TISAX)，該機制是基於汽車產業的要求量身定製的標準，並參考國際標準ISO/IEC 27001、 ISO/IEC 27002 和 ISO/IEC 27017等標準，主要目的是要實現汽車行業資訊安全評估的相互認可，並並提供通用的評估和交換機制。
—
2020年4月28日，由全國信息安全標準化技術委員會（SAC/TC260）提出國家標準《信息安全技術汽車電子系統網絡安全指南》(GB/T 38628-2020)，並於2020年11月1日正式實施。
本指南(架構請參考下圖)針對具有網絡安全要求的汽車電子產品提供統一的規範和基於標準的活動指南，其標準內容主要包容三個部分，分別是：
額外補充 - 標準起草單位
值得一提的是，這份標準的起草單位包含中國電子技術標準化研究院 、電子科技大學 、東軟集團股份有限公司 、國家信息技術安全研究中心 、中國汽車技術研究中心有限公司、等共計21個單位。額外補充 - 標準的相似性
中國所提出的「信息安全技術汽車電子系統網絡安全指南」與UNECE R155的CSMS及ISO/SAE 21434有高度的相似性，建議在採用這份指南時，要同時關注其他兩個單位。—
有鑑於汽車的資訊安全風險，聯合國歐洲經濟委員會(UNECE)的世界車輛法規協調論壇(WP29)在2020年6月24日，針對汽車製造商制定了兩個規定，並於2021年1月份正式生效。這兩項規定分別是：
這兩個法規共涵蓋了四個主題，分別是：
額外補充 - 關於R155, R156 建議可以延伸閱讀: ECE R155, R156法規概述
—
VDA QMC為了因應網絡安全的趨勢、及其他法規(UNECE R155)與標準(ISO/SAE 21434)。相繼於2020年及2021年推出兩份參考文件，分別是：
額外補充 - 取得文件
ACSMS ENG_2020可於VDA QMC的網站中購買，價格為€50.00。
ASPICE for Cybersecurity則可以在VDA QMC的網站中下載到黃色草稿版。
如果有想要取得這兩份文件的黃色草稿版，可以寫信給筆者，我可以提供一些幫忙 :)—
隨著各國相繼發展智慧車輛的相關標準，其中的車輛網絡安全已成為2020國際組織主要關注的議題，在國際組織中，3GPP( 3rd Generation Partnership Project，即第三代合作夥伴計劃)對V2X(車聯網)的技術建立了資訊安全技術要求，以保證通信層面的安全。而致力於汽車安全標準的ISO( 國際標準化組織)與SAE(Society of Automotive Engineers，即國際汽車工程師學會)組成聯合工作組，並在ISO/SAE TC22中起草了ISO/SAE 21434國際標準，旨在解決汽車產業的網絡安全問題。
ISO/SAE 21434的推出意味著OEM必須為連網汽車建立起網絡安全架構，在供應鏈中的所有供應商都遵循該標準。ISO/SAE 21434已經於2021/3/9進入FDIS(最終國際標準草案)版本，待審查完畢後，即將發布。關於此標準的狀態請詳參：ISO官方網站
功能安全實際上也是網絡安全的一部分，因此待ISO/SAE 21434 網絡安全標準推出後，業界勢必會同時考慮網絡安全與功能安全(ISO 26262)，並搭配汽車產業既有的標準發開流程(如: ASPICE)，以此形成三角架構。這個新的組合將會變成汽車產業的主要標準架構。
Source: https://www.2cm.com.tw/2cm/zh-tw/tech/B8621B3CA49446569786794C1A20291C
