发帖
雷达卡
前文提及，今年以来汽车网络安全的需求显著增长。通常来说，这一趋势很大程度上归因于法规的推动。
为此，我需要再次回顾目前全球范围内汽车网络安全合规措施的出台和实施状况，并记录在案，以便随时查阅。
当前汽车网络安全领域的格局，个人认为可以概括为“强制性国际法规+指导性标准+区域适应”。法规指的是具有强制性的规定，强调必须执行；标准则是指导性文件，旨在说明如何满足法规要求。而区域适配则是基于国际法规和标准，结合本地实际情况，推出符合本土特色的法规和标准。
1. UN R155
作为全球首个汽车网络安全的强制性法规，R155堪称各地区网络安全法规的重要参考基准。
该规定由联合国世界车辆法规协调论坛（WP.29）于2020年6月通过，并自2021年1月起生效。其影响力广泛，适用于包括欧盟、英国、日本和韩国在内的54个联合国欧洲经济委员会成员国。
其核心要求是：汽车制造商必须建立并实施网络安全管理体系，确保从设计、生产至报废的整个生命周期内有效管理网络安全风险。
自2022年7月起，在欧盟销售的新车需通过UN R155规定的型式认证；而自2024年7月起，所有在欧盟市场销售的车辆均须符合此法规要求。简单来说，没有这一认证，车辆将无法在这些地区销售。
尽管表面上看这是一项针对制造商的规定，但实际上整个合规的压力传递至整个汽车供应链上的每个环节，包括零部件供应商等参与者都需识别潜在风险并提出解决方案。
2. ISO/SAE 21434
单有法规要求是不够的，具体操作还需参考ISO/SAE 21434这一标准。该标准于2021年8月正式发布，成为汽车网络安全领域的首个国际标准，适用于全球范围。
它提供了一套详尽的方法论，指导制造商和供应商如何在实际开发过程中贯彻执行网络安全措施，涵盖从概念、设计、生产到运营和报废的全生命周期管理。ISO/SAE 21434与R155相辅相成：R155是“法”，规定了必行之责；而21434则是“标准”，指导具体操作。
遵循21434通常是达成R155要求的最佳途径。然而，实践过程中发现21434对企业能力的要求非常全面，包括流程管理、文档提交等多方面内容。涉及的跨学科领域、技术栈深广度以及供应链和全生命周期管理等方面，很少有工程学科能够完全匹配。
许多国内的一级供应商在收到制造商提供的网络安全能力调查问卷时可能会感到困惑，因此往往将问题直接转交给下游的软件或芯片供应商：既然你们正在处理这些问题，肯定有所准备吧。
由于职责界限不明确，OEM对一级供应商的要求可能变得模糊不清。例如，要求一级供应商的产品既要符合NIST xx标准又要满足21434的具体条款，甚至细化到密钥删除需遵守NIST xx标准等。这种情况下，企业往往难以确定应采取哪些具体措施。
当然，这些都是逐步积累的过程。如同功能安全一样，经过数年的发展，如今已相对成熟。
3. ISO/PAS 5112
ISO/PAS 5112，即《道路车辆—信息安全工程审核指南》，是支持ISO/SAE 21434审核的重要标准。它主要评估汽车CSMS中的网络安全管理、持续的网络安全活动、风险评估方案以及从概念到产品开发、量产和分布式网络安全等各阶段。
显然，这一标准作为审核类规范，供应链的所有参与者都应了解，以便全面理解汽车CSMS建设的重要性。
4. 美国汽车网络安全框架
美国目前尚未制定统一的联邦层面汽车网络安全强制法规。以下介绍几份指导或框架性文件：
- SAE J3061：这是首个关于汽车网络安全的指导性文件，直接影响了后续国际标准ISO/SAE 21434的制定。该指南为汽车网络安全建立了一套完整的生命周期流程框架，列举了常见的网络安全工具和分析方法，并提供了信息安全的基本原则。
- NHTSA指南：美国国家公路交通安全管理局（NHTSA）发布了《现代车辆网络安全最佳实践》，为制造商应对不断变化的网络威胁、在车辆全生命周期中实施最佳实践提供指导。与UN R155不同，NHTSA的指南是自愿性的。
此部分内容写得相当详细，感兴趣的朋友回复“网络安全最佳实践”可获取PDF链接。
5. 中国汽车网络安全框架
中国版汽车网络安全法规主要包括R155和R156《汽车整车信息安全技术要求》（GB4495—2024）以及《汽车软件升级通用技术要求》（GB44496-2024），这些规定值得重点关注。
上述标准已于2024年发布，并规定于2026年1月1日正式实施，可以视为中国版的汽车“准入”门槛。
除此之外，从车联网网络安全和数据安全标准体系建设指南到《汽车芯片信息安全技术规范》，我们可以看到一个体系化的、全面的框架正在逐步完善。
在数据跨境管理方面，相关部门也发布了《汽车数据出境安全指引》的征求意见稿，明确了重要数据出境的关键场景，为行业数据跨境活动提供了制度依据。
6. 总结
个人认为，汽车网络安全确实是一个复杂的领域，它融合了传统的IT安全、车联网特性、严格的安全合规要求以及汽车产业特有的长供应链管理，每个环节上的人都只能了解一部分，难以全面掌握。
其次，安全责任在主机厂、一级供应商和众多零部件厂商之间难以明确界定和追溯，统一的安全标准实施也较为困难。
最后，为了满足法规要求，需要将文本中的规定转化为具体零部件和系统的安全需求并实现、测试。至少目前来看，很少有将这些需求拆解得非常透彻的案例，大多数情况下是出于“别人有，我也要”的考虑。
京公网安备 11010802022788号
