(更新2024/4/18) 近年，由於「車聯網」概念蓬勃發展，具備聯網功能的車輛占比持續提升；隨著這股風潮而起的另外一個議題「網絡安全(Cybersecurity)」，也越來越被業界重視。本文章， 將針對道路車輛的相關安全(Cybersecurity)法規進行整理。
因應網絡安全議題，各國的反應：
美國
- 2016年10月，美國國家公路交通安全管理局(NHTSA)發布了《現代車輛網絡安全最佳實踐》( Cybersecurity Best Practices for Modern Vehicles)，目的在幫助汽車製造廠商和軟體設計公司提升現代車輛網絡安全，並針對如何防止及抵禦網絡攻擊提供指引。
- 2017年9月，NHTSA又發布了《自動駕駛系統2.0》(Automated Driving Systems 2.0，即ADS指南)，該指南取代了2016年發布的聯邦自動駕駛汽車政策，並建議汽車產業投入資源進行風險評估和測試車輛網絡安全。
—
英國
英國標準協會( British Standards Institute, BSI)於 2018年12月19發布了《汽車網絡安全基礎指南-規格書》(The fundamental principles of automotive cyber security. Specification)，該指南由捷豹路虎( Jaguar Land Rover)、福特汽車( Ford)、賓利( Bentley)等企業及英國國家網絡安全中心( National Cyber Security Centre)共同編寫，由英國運輸部提供資金支持。該指南針對研發自動駕駛車輛的公司設置了標準，並提供了網絡安全的原則。
—
歐盟
- 2017年1月， 原歐盟網路資訊安全局(現為歐盟網絡安全局 European Union Agency for Cybersecurity, ENISA)發布了《智能汽車的網絡安全和適應性》(Cyber Security and Resilience of smart cars)，該指南列舉了汽車存在的問題及網絡威脅、風險及降低風險的因素和可以採取的安全措施。值得一提的是該指南並未將自動駕駛汽車涵蓋在範圍內。
- 2019年，ENISA又發布了第二版 — 《智能汽車安全最佳實踐》(Good practices for security of Smart Cars)，該指南特別包含了自動駕駛和半自動駕駛汽車，並針對上述兩者提供最佳網絡安全實踐。
- 2021年，ENISA與JRC針對人工智慧與自動駕駛的網絡安全議題，共同起草了一份報告 – 《採用人工智慧來實現自動駕駛的網絡安全挑戰》(Cybersecurity Challenges in the Uptake of Artificial Intelligence in Autonomous Driving)，該報告針對在自動駕駛車輛中採用AI技術的議題，提出了網絡安全的挑戰與見解。
—
德國
汽車產業資安事件層出不窮，因此德國汽車工業協會(VDA)的資訊安全委員會(Information Security Committee)，制定了汽車產業的資訊安全的標準 Information Security Assessment(簡稱 VDA-ISA)，並以此標準創造創建了《資訊安全評估與交換機制》(Trusted Information Security Assessment Exchange, TISAX)，該機制是基於汽車產業的要求量身定製的標準，並參考國際標準ISO/IEC 27001、 ISO/IEC 27002 和 ISO/IEC 27017等標準，主要目的是要實現汽車行業資訊安全評估的相互認可，並並提供通用的評估和交換機制。
—
中國
2020年4月28日，由全國信息安全標準化技術委員會（SAC/TC260）提出國家標準《信息安全技術汽車電子系統網絡安全指南》(GB/T 38628-2020)，並於2020年11月1日正式實施。
本指南(架構請參考下圖)針對具有網絡安全要求的汽車電子產品提供統一的規範和基於標準的活動指南，其標準內容主要包容三個部分，分別是：
- 網絡安全組織管理(即公司管理層級)
- 網絡安全活動(即產品開發生命週期，包含概念設計、產品開發、硬體開發、軟體開發、產品生產、運行和服務等階段)
- 網絡安全支持保障(即一般支持的流程)
額外補充 - 標準起草單位 值得一提的是，這份標準的起草單位包含中國電子技術標準化研究院 、電子科技大學 、東軟集團股份有限公司 、國家信息技術安全研究中心 、中國汽車技術研究中心有限公司、等共計21個單位。
額外補充 - 標準的相似性 中國所提出的「信息安全技術汽車電子系統網絡安全指南」與UNECE R155的CSMS及ISO/SAE 21434有高度的相似性，建議在採用這份指南時，要同時關注其他兩個單位。
—
UNECE
有鑑於汽車的資訊安全風險，聯合國歐洲經濟委員會(UNECE)的世界車輛法規協調論壇(WP29)在2020年6月24日，針對汽車製造商制定了兩個規定，並於2021年1月份正式生效。這兩項規定分別是：
- UN Regulation No. 155 : 網絡安全即網絡安全管理系統(Cyber security and cyber security management system)
- UN Regulation No. 156 : 軟體更新即軟體更新管理系統(Software update and software update management system)
這兩個法規共涵蓋了四個主題，分別是：
- 管理車輛的網絡風險(Cyber Rik)
- 透過設計來減輕在價值鏈中的風險，以確保車輛的安全
- 偵測並回應整個車隊的安全事件
- 針對「空中升級」(OTA updates)，提供安全及保全(safe and secure)的軟體更新，並確保不損害到車輛安全(Safe)
額外補充 - 關於R155, R156 延伸閱讀: ECE R155, R156法規概述 延伸閱讀: 什麼是UN R155?
—
VDA QMC
VDA QMC為了因應網絡安全的趨勢、及其他法規(UNECE R155)與標準(ISO/SAE 21434)。相繼於2020年及2021年推出兩份參考文件，分別是：
- 2020年6月，推出《車用網絡安全系統稽核》(Automotive Cybersecurity Management System Audit)黃色草稿版；本文件是因應UNECE R155針對車用網絡安全系統法規所制定的稽核查檢內容；目前本文件(ACSMS ENG_2020)已於2020年12月，發行正式版本。
- 2021年2月，推出《ASPICE網絡安全增訂版》(ASPICE for Cybersecurity)黃色草稿版，該文件是針對ISO/SAE 21434在產品開發階段，做細部的延伸展開，以補足ISO標準的不足。值得一提的是，該文件仍處於審稿階段，預計在5月後會發行正式版本。
額外補充 - 取得文件 ACSMS ENG_2020可於VDA QMC的網站中購買，價格為€50.00。 ASPICE for Cybersecurity則可以在VDA QMC的網站中下載到黃色草稿版。 如果有想要取得這兩份文件的黃色草稿版，可以寫信給筆者，我可以提供一些幫忙 :)
—
國際標準組織3GPP、ISO和SAE
隨著各國相繼發展智慧車輛的相關標準，其中的車輛網絡安全已成為2020國際組織主要關注的議題，在國際組織中，3GPP( 3rd Generation Partnership Project，即第三代合作夥伴計劃)對V2X(車聯網)的技術建立了資訊安全技術要求，以保證通信層面的安全。而致力於汽車安全標準的ISO( 國際標準化組織)與SAE(Society of Automotive Engineers，即國際汽車工程師學會)組成聯合工作組，並在ISO/SAE TC22中起草了ISO/SAE 21434國際標準，旨在解決汽車產業的網絡安全問題。
ISO/SAE 21434的推出意味著OEM必須為連網汽車建立起網絡安全架構，在供應鏈中的所有供應商都遵循該標準。ISO/SAE 21434已經於2021/8/31正式發行。關於此標準的狀態請詳參：ISO官方網站
功能安全實際上也是網絡安全的一部分，因此待ISO/SAE 21434 網絡安全標準推出後，業界勢必會同時考慮網絡安全與功能安全(ISO 26262)，並搭配汽車產業既有的標準發開流程(如: ASPICE)，以此形成三角架構。這個新的組合將會變成汽車產業的主要標準架構。
延伸閱讀: ISO/SAE 21434 懶人包: 一次看懂汽車網絡安全標準
