聯合國歐洲經濟委員會（UNECE）於2021年1月正式實施UN R155法規。所有四輪車輛製造商需在2024年7月前合規。此外，UNECE工作小組，在2024年1月達成一項共識，決定將兩輪車輛也納入R155法規範圍。意味著，從2029年起，機車製造商也需符合法規要求。
什麼是UN R155?
隨著汽車技術的迅速發展，越來越多的車輛具有連網功能，雖然帶來了便利，卻也引發了資安和網絡安全的風險。有鑒於此，聯合國歐洲經濟委員會（UNECE）的WP.29工作小組，於2020年6月24日通過了兩項重要法規，分別是R155和R156，並於2021年1月正式實施。
R155法規，正式名稱為「聯合國第155號法規（UN R155）」，旨在建立一套全面的管理框架。該法規要求車輛製造商實施一套「網絡安全管理系統（CSMS）」，以確保車輛「從開發到使用」全程符合法規要求。
舉例來說，當一家汽車公司開始設計新車型、或新車時，他們需要從一開始就建立CSMS管理機制。這涵蓋了從軟體到硬體的各個層面，包括但不限於加密通訊、保護個資以及防範非法侵入。這樣的管理框架，確保無論車輛在生產線上，還是在消費者手中，其網絡安全都受到有效管理和保護。
透過實施UN R155法規，不僅大幅提升了汽車的網絡安全標準，也有助於統一全球的汽車安全規範，減少因網絡安全問題而導致的風險和事故。
WP.29 是什麼? 根據維基百科的定義，「世界車輛法規協調論壇」（World Forum for Harmonization of Vehicle Regulations），是隸屬於聯合國歐洲經濟委員會（UNECE）的可持續交通系統部門的一個工作小組，簡稱為WP.29。這個論壇的主要任務是促進全球範圍內的車輛法規協調。
延伸閱讀：UN R155全文
UN R155 適用對象
根據UN R155法規，汽車製造商必須在整個車輛生命週期中，包括開發階段、生產過程以及產品生命周期的後期，證明他們已經實施了網絡安全的措施和程序。
遵循法規的製造商經認證後，將能獲得型式認證（即E-mark認證），這不僅允許他們在採納這項法規的國家銷售車輛，同時也向消費者展示了他們公司的可靠性。
對於汽車製造商的供應商，如一級（Tier-1）、二級（Tier-2）及三級（Tier-3）供應商，他們不需直接符合這項法規。
然而，UN R155法規（條文 7.2.2.5）仍要求汽車製造商確保其供應商已實施網絡安全措施。這意味著這些供應商需要向汽車製造商展示他們已遵守網絡安全的要求。
在2021年初，許多汽車製造商開始要求他們的供應商遵循R155標準。這項新規定引起了一些誤解，不少供應商以為他們需要獲得R155的正式認證。實際上，這個要求並非如此。
UN R155 時間限制
UN R155 法規已於 2021 年1月，正式實施。全球包含歐盟、日本、韓國、英國及澳大利亞等
國家皆導入實施，其中歐盟及日本已強制實施相關法規。
至 2022 年 7 月起，所有新推出的車型都必須遵守這項法規的要求。如果汽車製造商的車型未能符合這些標準，將無法在市場上進行註冊銷售。
最終，從 2024 年 7 月起，這項法規將擴大其範圍，適用於所有新生產的車輛。
UN R155 適用車輛種類
UN R155 涵蓋了以下車輛類別，包括乘用車、廂型車、卡車、公共汽車以及某些輕型四輪車：
- 類別 M/N：至少裝有四個輪子的車輛。
- 類別 O：裝配了至少一個電子控制單元（ECU）的拖車。
- 類別 L6/L7：裝備至少三級駕駛自動化的輕型四輪車。
根據維基百科的車輛類別定義，我將上述的是用車輛種類，整理以下表格：
| 分類 | 描述 | 例子 |
| M | 至少有四輪，用於載客的車輛 | 標準汽車（2、3、4門） |
| M1 | 用於載客，除駕駛座外最多有八個座位 | 倫敦出租車 / E7型車（8座 + 駕駛） |
| M2 | 用於載客，除駕駛座外有超過八個座位，最大總質量不超過5噸 | 巴士 |
| M3 | 用於載客，除駕駛座外有超過八個座位，最大總質量超過5噸 | 巴士 |
| N | 至少有四輪，用於載貨的動力車輛 | – |
| N1 | 用於載貨，最大總質量不超過3.5噸 | 皮卡、廂型車 |
| N2 | 用於載貨，最大總質量超過3.5噸但不超過12噸 | 商用卡車 |
| N3 | 用於載貨，最大總質量超過12噸 | 商用卡車 |
| O | 拖車（包括半掛車） | |
| O1 | 最大總質量不超過0.75噸的拖車 | |
| O2 | 最大總質量超過0.75噸但不超過3.5噸的拖車 | |
| O3 | 最大總質量超過3.5噸但不超過10噸的拖車 | |
| O4 | 最大總質量超過10噸的拖車 | |
| L6 | 四輪車輛，空車質量不超過350公斤，不包括電池質量（若為電動車），最高設計速度不超過45公里/小時，汽缸容積不超過50立方厘米（點火引擎），或最大淨功率不超過4千瓦（其他內燃機或電動機） | 高爾夫球車、移動助行車 |
| L7 | 四輪車輛，除L6外，空車質量不超過400公斤（運輸貨物時為550公斤），不包括電池質量（若為電動車），最大連續額定功率不超過15千瓦 | 微型車 |
如何符合UN R155的要求？
UN R155 規定了一系列要求，用以評估是否存在「網絡安全管理系統（CSMS）」，以確保汽車製造商能保全車輛的網路安全。
在UN R155中，關於其規範，可以聚焦在下圖中紅色框框的相關章節。其中，7.2章節定義了網絡安全管理系統(CSMS)的相關規範，7.3章節定義了不同車型的要求。
所謂的「網絡安全管理系統（CSMS）」，指的是一套有系統的風險為基礎的方法。這套方法明確了組織運作的流程、責任分配以及治理架構，目的是為了處理車輛面臨的網路威脅風險，並保護它們不受網路攻擊。 這裡面所提到的「風險」，UN R155在其附件5列出了69種攻擊向量或風險，並界定了製造商為保障車輛安全必須考慮的焦點領域。
UN R155附件5，所列出的風險包含以下：
| 威脅類別 | 描述 | 案例 |
|---|---|---|
| 後端伺服器威脅 | 員工濫用權限和未經授權的伺服器網際網路存取 | 員工利用訪問權限進行數據洩露，外部攻擊者未經許可侵入伺服器 |
| 通訊渠道的安全漏洞 | 仿冒消息、程式碼注入和資料攔截 | 攻擊者偽造命令或植入惡意代碼，竊取數據 |
| 更新程序中的風險 | 在更新過程前操控軟件和發動阻斷服務（DoS）攻擊 | 攻擊者阻斷安全更新，留下安全漏洞 |
| 人為錯誤導致的風險 | 不遵守安全程序和上當受騙 | 員工誤點惡意鏈接或開啟受感染的附件 |
| 外部連接性的風險 | 與外部環境互動和通訊 | 攻擊者通過外部通道進行遙控操控或植入惡意代碼 |
| 資料或程式碼相關的威脅 | 未經授權存取車主個人資訊、偽造車輛資料，值入惡意軟件 | 威脅車主隱私和車輛安全 |
| 強化漏洞的充足性 | 保護措施不足時密碼技術、硬體和軟體的妥協 | 加密系統被破解，敏感信息被獲取 |
UN R155 後續改版或範圍擴增
現今，兩輪車輛正不斷進化，配備了先進的車機系統、各種輔助功能和連網技術。
隨著越來越多的摩托車產業開始採用自適應巡航控制系統（Adaptive Cruise Control, ACC）和網絡連接功能，這些交通工具的網絡安全問題也日益受到關注。為了應對這些新挑戰，國際間的規範和標準也在不斷更新。
近期，聯合國歐洲經濟委員會（UNECE）的相關工作小組決定將包括摩托車、機車及時速超過25公里的電動自行車在內的L類車輛納入UN 155的規範範圍。這一重大決策將於2024年6月接受審核。一旦獲得批准，從2029年開始，摩托車製造商將必須開始遵循UN R155的安全規定。
備註: 預計會將L類別的車輛納入範圍。
備註: 各國將根據本國的法規環境，自行選擇具體實施的時機和方式。
全文請參考：(該文章發表於2024/1/26) UN extends its cyber security management regulation to motorcycles and scooters
常見問題
問題1: 我是汽車製造商，若要符合規範，除了查閱UN R155，還有哪些相關文件可以參考？
為了遵循聯合國汽車法規UN R155的要求，VDA QMC發表了一份名為《汽車網絡安全管理系統稽核指南》（簡稱ACSMS）的指南。這份指南所列舉的稽核問題，可以讓汽車製造商，作為建立網絡安全管理系統，提供了基本的參考與標準。
除此之外，還可以參考ISO/SAE 21434標準，它比UN R155提供了更詳細的內容，有助於建立更全面的網絡安全管理系統。此外，一份名為「Proposal for the Interpretation Document for UN R155 on uniform provisions concerning the approval of vehicles with regards to cyber security and cyber security management system」的官方文件也建議，透過實施ISO/SAE 21434，可以有效地符合UN R155的規範。
相關的直接標準還包括：
- ISO 26262系列標準：這是關於汽車電氣和電子系統功能安全的國際標準，目前最新的版本是2018版。這個標準涵蓋了從設計到維護的各個階段，確保系統在其生命週期內的安全性。實施網絡安全時，必須確保不會影響到車輛本身的功能安全。
- ASPICE產業標準：全名為Automotive SPICE，這是一套專門針對汽車產品開發及其流程改進與能力測定的標準，目前業界廣泛使用的版本為3.1，而4.0版本已於2023年底推出，預計於2025年全面實施；更多關於本標準之介紹，請參考我的其他ASPICE文章。
間接相關的標準或指南包括：
- SAE J3061：由美國汽車工程師學會（SAE）制定的汽車網絡安全指南，涉及風險管理過程、威脅分析和風險評估工具，幫助製造商識別和減少網絡安全風險。值得一提的是，這份指南也是ISO/SAE 21434的主要參考文件。
- IEC 62443系列標準：這是一系列針對工業通訊網絡安全的標準和措施，雖然原本設計用於工業控制系統，但其安全概念和方法也逐漸被應用於汽車領域，特別是在汽車與外部網絡的連接上。更多關於本標準之介紹，請參考我的其他IEC 62443文章。
問題2: 我是一位供應商，為了符合車廠的要求，需要取得哪些認證？
雖然供應商不用直接取得UN R155的認證，但是法規仍要求汽車製造商，讓他們確保其供應商已實施網絡安全措施。
筆者根據過去幾年的經驗，整理出車廠對供應商實施網絡安全措施的要求，總結如下圖。
以下是我對於幾個重要標準的總結與說明。
首先，ISO/SAE 21434 標準是由國際標準組織（ISO）與美國汽車工程師學會（SAE）共同制定的，專門針對車輛網絡安全的國際標準。這個標準主要聚焦於組織層面的網絡安全管理，這方面與聯合國經濟委員會（UN）的R155標準中提到的網絡安全管理系統（CSMS）相似。
此外，標準也規範了從設計到生產，再到產品的後續開發與除役階段，整個產品生命週期的安全要求。特別值得一提的是，這個標準還包括了一個廣為人知的「威脅分析與風險評估（TARA）」方法。
接下來是ASPICE for Cybersecurity標準，這是2021年發布的ASPICE補充標準，專門針對「網絡安全的開發」、「網絡風險管理」，以及「供應商的要求與選擇」進行了詳細的流程定義。
由於ISO/SAE 21434在產品開發的描述相對簡短，許多車廠從2023年開始，對組織層級的網絡安全管理推崇ISO/SAE 21434，而對產品開發層面則要求遵循ASPICE for Cybersecurity標準。
最後，TISAX標準是由德國汽車工業協會（VDA）制定的資訊安全評估標準，它主要聚焦於組織層級的「資訊安全」控制。這個標準可以視為是ISO/IEC 27001的擴展，但額外增加了對「樣品管理」與「個人資料保護」的要求。
ISO/SAE 21434、ASPICE for Cybersecurity、TISAX 之間的關係 ISO/SAE 21434 和 ASPICE for Cybersecurity 這兩個標準，都提到產品面向的網絡安全。然而，ISO/SAE 21434 不僅涵蓋產品本身，還擴展到組織層面的管理，其中包括組織層面的資訊安全管理。 看到這邊，如果有你也有注意到，這個有趣「線索」！應該不難發現，針對組織的資訊安全管理，TISAX標準提出了一個資安評估框架，如果恰巧你有導入TISAX，那麼在導入ISO/SAE 21434 時，便可以直接引用既有的資安管理框架。 --- 從筆者這幾年的經驗來看，許多公司在面對這些標準時，常因缺乏了解而重複聘請顧問，或是建立了彼此矛盾、重疊的流程。這不僅增加了工作量，也影響了效率。 因此，筆者建議，在決定導入網絡安全或資訊安全的相關標準前，應先深入了解這三個標準之間的關聯性、差異性、與連接點，這可以有效減少工作量，並促進公司管理流程之間的協同作業。這樣的前期準備將使整個導入過程更加順利，也更能符合組織的長遠發展需要。
問題3: UN R155 與 ISO/SAE 21434的關係是什麼？
UN R155和ISO/SAE 21434標準都規定了車輛生命週期中的網絡安全風險管理要求。如果製造商及其供應商能夠達到ISO/SAE 21434標準，他們應該也能符合聯合國R155的要求。
問題4: UN R155對已上路的車輛有何影響？
在UN R155實施之前（即2021年1月以前)，已存在的車輛和發放的型式認證不受影響。
問題5: 網路上有看到供應商獲得R155認證，這是真的嗎？
基本上，供應商不會取得R155認證。
對於認證的真假，要視認證的形式而定。驗證機構可以根據R155法規中所列的要求進行驗證，並發放相應的符合性證書；但是，該證書 ≠ UN R155認證。（UN R155實質上是發 E Mark)
舉例來說，一個供應商可能通過了某個機構的驗證，符合了一部分R155的要求，但並不代表完全符合該認證的所有標準。因此，在確認供應商是否擁有R155認證時，必須仔細查看所提供的證書及其相關細節。
