地址：山东烟台芝罘区北大街53号华夏传媒大厦
手机：86-13022751583
邮编：264001
为什么汽车网络安全如此重要？
汽车已从单纯的机械运载工具，转变为装有轮子的智能计算机。昔日的物理连接部件，如今通过数字控制器和电信号，实现了系统间的无缝通信。现代汽车的每个组件几乎都实现了数字化联网，以确保性能最更优化和驾驶安全。但这也意味着，智能汽车始终在线，车载计算机和辅助系统日益成为网络攻击的潜在目标。
想象一下，如果有人远程操纵发动机、刹车或转向系统，那将对乘员和其他道路使用者构成怎样的生命威胁。自动驾驶技术的安全性问题更是迫在眉睫，一旦电子控制系统被干预，后果不堪设想。
为什么汽车行业成为众多攻击的中心？
数字化浪潮带来的攻击风险正迅速攀升。汽车制造商之所以成为网络犯罪分子的攻击目标，原因有三：首先，它们作为大型企业，因知名度高、产品分布广泛而备受瞩目。其次，成功的汽车黑客攻击可能立即带来致命后果，给制造商带来巨大压力，使行业更易受到勒索软件攻击。不得不承认，汽车行业的网络安全相较于其他高科技行业，尚有提升空间。
攻击媒介有哪些？
现代车辆可能以多种不同方式成为黑客的目标。以下是几个示例：
-越来越多的汽车制造商依靠无线更新来保护自己和客户免于耗时的召回和昂贵的服务访问。然而，能够接收无线更新的车辆也更容易受到恶意行为者的入侵。OTA更新对针对整个车型系列的大规模网络攻击构成最高风险。
-人工智能的影响力日益增强已经显而易见。基于人工智能的方法使攻击者的攻击速度更快、更有创意。必须采取强有力的应对措施，例如基于人工智能的预防性漏洞扫描。
-有时危险更加明显：例如，无钥匙进入系统通过拦截或欺骗信号造成车辆被盗的风险。
新法规适用于哪些人？其影响是什么？
新法规适用于所有将汽车和其他车辆投放市场的组织，并要求他们确保整个供应链中产品和系统的网络安全。OEM也对其供应商负责-现在通过合同要求他们实施新要求。
最近，几家汽车制造商被迫完全停产一些旧款车型。这并不是因为他们没有成功，而是因为保证这些旧款车型整个生命周期的软件更新根本不可行（或无法通过合同强制执行）。
什么是网络安全管理系统(CSMS)？
实施CSMS的目标是使组织中的网络安全系统化，并使其与既定的国家或国际标准保持一致。成功实施CSMS的关键方面是
-风险管理涵盖整个产品生命周期-从开发、生产和运营到处置。
-全面监控新漏洞和已知攻击，可通过有针对性的更新快速应对网络攻击。
此外，作为这一过程的一部分，汽车供应商必须采取深入、风险导向的方法来维护车辆整个生命周期的信息安全，从而提高各个层级的网络安全意识。
UNECER155和156：汽车网络安全法规
为了应对汽车行业日益增长的威胁，联合国于2020年夏季推出了两项重要的新法规：UNECER155和UNECER156。
-UNECER155定义了保护车辆免受网络攻击的要求，并强调了精心实施的网络安全管理系统(CSMS)的关键作用。
-另一方面，UNECER156侧重于确保车辆整个生命周期的持续安全，并要求实施和运行符合标准的软件更新管理系统(SUMS)。
这两项法规将于2021年初生效，自2022年7月起，新车型才必须遵守这些法规。到2024年7月1日，这些法规将适用于所有新制造的车辆。
虽然毫无疑问，新法规总体上是合理的，但许多组织很快就批评了新规则：它们太笼统，几乎没有提供具体的行动建议。让我们仔细看看新规定。
CSMS的最佳途径：ISO21434和车辆网络安全审计的引入
2021年8月，国际标准化组织(ISO)和汽车工程师协会(SAE)发布了ISO/SAE21434，为实施CSMS提供了国际有效的指南，组织可以将其用作参考。
然而，正如预期的那样，在应用中对该标准的解释各不相同。由于连贯的安全措施在供应链深度整合的汽车行业中尤为重要，ENX迅速做出了改进：通过车辆网络安全(VCS)审计，它提供了一种新的符合性证明选项，该选项更加统一，甚至更好地满足了行业的要求。
全球标准化的VCS审计仍然基于ISO21434标准，但已与汽车行业的组织密切合作，补充了许多必要的扩展。展望未来，审计目录旨在根据需要快速更新，以更快地响应汽车行业或网络威胁形势的新发展。
组织如何为VCS审计做准备？
VCS审计的先决条件是TISAX评估，该评估证明中央ISMS符合TISAX。ISMS确保遵守安全信息处理的基本规则和程序。VCS审计中包含的站点数量必须是TISAX评估中包含的站点的子集。此外，组织必须实施中央QMS（可能的标准：IATF16949、ISO10007、AutomotiveSPICE、ISO/IEC330xx、ISO/IEC/IEEE15288或ISO/IEC/IEEE12207）。
组织必须确定必须向OEM或其他供应商提供哪种标签。这些标签要求决定了必须满足VCSA测试目录的哪些特定要求：
1.VCS开发：组织负责VCS开发活动直至生产准备就绪
2.VCS生产：组织以安全的方式制造预配置的VCS组件
3.VCS运营和维护：组织监控VCS组件的安全运行并管理安全事件，例如通过开发更新并通过OEM的中央车队管理系统交付更新。
VCS审计流程包括以下阶段：
2.组织根据ENXVCSA审计目录对中央CSMS进行自我评估，并将结果（包括引用的CSMS文档）提交给首席审计师。3.在维护中央CSMS的站点，根据证据现场验证政策和流程的一致性。4.首席审计师从VCS项目集中选择基于风险的样本。风险可以从内部项目评估的结果中得出，称为威胁分析和风险评估(TARA)。如果样本异常大于原始估计值，则将调整DQS估计值以反映增加的工作量。5.样本中的VCS项目确定哪些开发团队在哪个VCS位置被特别包括。6.选定的开发团队将在VCS专家的参与下进行远程采访，以确定VCS项目的实施方式以及在VCS组件生命周期的所有阶段是否都满足CSMS要求。