WP29 R155车辆网络安全管理体系合规实践
摘要：随着智能网联技术在传统汽车产业的深度应用，汽车已经成为新型网络世界重要的智能终端，是未来汽车的战略规划方向，网联化程度越高，车辆在互联网环境中暴露的攻击面越多，增加了车辆作为攻击目标的可能性，导致车辆网络安全问题日益严重。浙江汽车网
关键词：WP29、CSMS、Cybersecurity、网络安全、漏洞、合规治理、个人隐私
引言：近年来国内外发生的多起车辆网络安全事件已引起监管机构的高度重视，攻击者可以利用漏洞非预期地远程控制行驶中的汽车，获取车内数据，造成汽车制造商经济损失和品牌形象受损，还包括大量车主个人隐私数据泄露，威胁车内人员及其他道路使用者的生命安全，甚至影响国家公共安全。
一、现状
2021年3月联合国欧洲经委会世界车辆法规协调论坛（简称为UNECE WP.29）发布了车辆网
络安全领域非常重要的法规R155[1]，即车辆网络安全（Cybersecurity）。该法规适用于1958协议下成员国，2022年7月作为成员国市场准入的强制标准，意味着汽车制造商需要获得目标市场监管机构的认证。
二、WP29 R155
2.1 WP29 R155概述
2.2 WP29 R155合规框架
图1
车辆制造商需要满足该法规框架下的所有要求，覆盖所有乘用车和商用车。
在WP29 R155法规中，第6章明确强调了“流程”一词，并在第7章第2节详细描述了网络安全管理体系（CSMS）的关注要求。
2.3 WP29 R155合规认证流程
·
图2
网络安全管理体系（CSMS）认证和车辆型式认证申请应由车辆制造商通过其正式授权的技术服务公司向目标市场监管机构提交申请。
2.4 CSMS车辆网络安全管理体系建设
图3
车辆制造商网络安全管理体系应覆盖包括产品开发阶段、生产阶段和后生产阶段的全生命周期，直至车辆报废不再上路使用。R155第7章第2节详细描述了车辆全生命周期网络安全管理体系认证的强制要求，此条款要求可以参考ISO/SAE 21434[2]中的描述，识别所需过程，建立相应流程，详见图3。
ISO/SAE 21434标准为汽车制造商及其供应商提供了全面的网络安全管理流程框架，并提供了风险评估方法最佳实践。R155 为汽车制造商提供了全生命周期网络安全最低要求。同时，鼓励汽车制造商建立VSOC(车辆安全运营中心)，以便持续监控车辆网络安全直至车辆报废。
R155 对CSMS的详细要求如下：
7.2.2.2
(a)车辆制造商组织内部的网络安全管理流程
本条款要求汽车制造商拥有管理网络安全实施的流程。其关注点为与车型网络安全有关的流程，而不是组织的其他管理流程（如ISMS）。ISO/SAE 21434第五章可以作为参考。
(b)用于识别车辆类型风险的流程。在这些流程中，应考虑R155附录5 A部分中的威胁和其他相关威胁
本条款要求汽车制造商演示他们用来识别车辆网络安全风险的过程和程序。
组织应考虑所有可能的风险来源，应包括R155附录5所确定的风险。
ISO/SAE 21434[RQ-08-01]、[RQ-08-02]可以作为参考。
(c)用于评估、分类和处理所识别风险的流程
本条款要求汽车制造商演示其用于评估、分类和处理已识别风险的流程和规则。
ISO/SAE 21434 15 TARA可以作为参考。
(d)核查所确定的风险是否得到适当管理的流程
本条款要求汽车制造商演示其用于决定如何管理风险的流程和规则。这可以包括风险处理的决策标准，如选择控制措施以及风险接受的过程，在这些过程中应考虑R155附录5中确定的缓解措施。ISO/SAE 21434 15 TARA可以作为参考。
发布评论