智能網聯汽車的普及使整車電子電氣架構日益複雜、聯網零部件增多，雖然顯著提升了汽車的智能化水平，但同時也引發了信息安全挑戰。為此，國際汽車網絡安全法規UNR155，為汽車信息安全提供了指導。該法規規定了車輛製造商（OEM）在網絡安全方面的責任，要求OEM必須獲得網絡安全管理體系（CSMS）合規證書和車輛型式認證（VTA）證書，並證明其有效管理供應商與OEM在網絡安全活動上的互動。
在實際操作中，OEM通常要求供應商提供材料證明其産品及自身的網絡安全實力。儘管R155法規未明確供應商實施的具體要求，但供應商可參照ISO21434標準執行。本文將從威脅分析與風險評估、網絡安全目標、網絡安全需求、安全驗證和確認、安全文檔和報告、供應鏈安全以及持續改進等方面，分析R155法規對汽車零部件信息安全的要求。
威脅分析與風險評估（TARA）
中汽研科技有限公司（簡稱“中汽研科技”）技術總監李奇介紹，車輛可能受到的網絡安全威脅包括物理訪問控制、網絡安全、軟體安全、數據隱私和保護、操作安全、遠程訪問控制以及供應鏈安全等方面。R155法規5.1.1強調了對網絡安全風險的評估和緩解，要求OEM對生産車輛進行評估並制定措施。車輛零部件是車輛網絡安全的重要組成部分，因此供應商也需對提供的零部件進行網絡安全威脅評估，確保其安全性，並協助OEM完成整體的TARA報告。同時，供應商還需對這些威脅進行量化評估，以確定其嚴重性和發生可能性。
網絡安全目標
網絡安全目標是零部件供應商從其TARA報告中獲得的，是針對特定系統功能特性所必須滿足的安全要求。這些目標與具體的威脅場景緊密相連，綜合考慮潛在的攻擊路徑以及已策劃的風險處置策略。風險處置策略大致可分為四種：規避、緩解、轉移和保留風險。當選擇“緩解”作為處置策略時，必須明確並制定對應的網絡安全目標。
風險處置策略
網絡安全需求
經過安全目標分析的架構和零部件，都有其對應的安全需求，但此時的需求更多還是屬於方向性的，還需要考慮標準法規、業界認可的最佳實踐、企業以往項目的經驗等方面的內容使其更加具體。
李奇&&，在進行安全需求分析時，針對某一條目標，分析出所有的可進行攻擊的路徑，供應商可參考R155附錄5中的威脅場景（T）和緩解措施(M)或已發布的相關信息安全標準給出相關資産對應的安全要求，即可滿足對應的安全目標。
ISO21434信息安全活動核心邏輯圖
中汽研科技綜合業務部部長助理張秀麗同樣認為，當安全問題被廣泛報道或成為行業關注焦點時，汽車零部件供應商往往更需要專業檢測服務來確保他們的産品符合標準，零部件信息安全需求曲線會因法規變化或主機廠突發事件而陡峭上升。
安全驗證和確認
安全驗證活動的核心目的是驗證供應商所開發的零部件/子系統是否符合既定的網絡安全需求及設計規範。在實際項目執行過程中，對於與網絡安全相關的零部件，需要驗證其是否100%實現了産品設計時的網絡安全需求，例如車載網絡安全通信需求、車雲安全通信需求、密鑰管理安全需求、應用安全技術需求、安全啟動需求等。（此處只簡略概括，在具體制訂需求時，應根據零部件供應商産品的具體功能，進行更加詳細和具體的細化。）
確認活動是為了確認安全目標的有效性，即安全目標被完整實現。在確認活動中，實施的規範應充分考慮産品的實際配置情況，並將滲透測試作為其中一項重要內容。零部件/子系統級別的滲透測試是與傳統驗證階段有區別的增量工作，並非強制要求，可根據項目的實際情況，進行相關的漏洞掃描、滲透測試和模糊測試。對於確認過程中發現的問題，應實施有效的管理措施。若相關風險無法得到有效控制，則可能需要對設計進行重新調整。最終，需確保在産品開發階段識別的所有風險都已得到妥善處理。
網絡安全需求驗證流程
李奇介紹，ISO21434標準對零部件的信息安全提出了具體的要求，包括硬體、軟體和通信系統等方面。例如，要求零部件在設計和開發過程中，必須考慮到數據加密、訪問控制、身份驗證等安全機制，以確保零部件在使用過程中不受未經授權的訪問、修改或破壞。
安全文檔和報告
零部件供應商應當協助OEM構建一個全面的質量管理體系，以堅實支撐網絡安全工程的實施。該體系重點涵蓋變更管理、文檔管理、配置管理以及需求管理等核心環節。供應商提交的文檔應包括對其産品的所有測試結果、發現的安全問題和實施的修復措施。特別強調的是，産品的安全配置信息必須在産品終止維護之前保持其可用性和可追溯性。
供應鏈安全
在進行分佈式網絡安全活動時，OEM會將整體的網絡安全目標和網絡安全需求下發到供應商，供應商應通過安全驗證和確認活動去證明自己滿足要求。此外，還應考察目標供應商依據ISO21434標準執行開發與後期維護活動的能力。這一評估可以基於供應商對ISO21434標準的遵循程度，或其先前實施其他國家及國際網絡安全標準的評估成果。
持續改進
漏洞分析是對車輛網絡系統中潛在的弱點進行詳細審查，以確定其是否構成安全漏洞，並評估漏洞的風險等級；
李奇&&，面對未來網絡威脅的日益複雜化，智能網聯汽車零部件的信息安全將成為汽車産業實現高質量發展的關鍵所在。中汽研科技憑藉成熟的信息安全檢測能力，正緊密跟蹤國內外零部件研究的最新動態，未來也將不斷提升檢測技術和服務水平，為我國汽車行業的蓬勃發展提供技術支撐和智慧貢獻。
