ISO/SAE 21434:2021 由 ISO 與 SAE 於 2021 年 8 月聯合發布，定義道路車輛電子電氣（E/E）系統在概念、開發、生產、營運、維護到除役的全生命週期網路安全工程要求。它與法規的關係是本標準商業重要性的核心：UN R155 要求車廠建立車輛網路安全管理系統（CSMS）並對供應鏈課責，歐盟自 2022 年 7 月起適用於新車型、2024 年 7 月起適用於所有新生產車輛——不符合即無法取得型式認證，等同禁售。21434 雖非法律本身，卻是業界公認對應 R155 的工程標準：車廠以它審查供應商的資安開發能力（TARA 威脅分析與風險評估、資安概念、開發與驗證、事件回應），一二階供應商沒有對應制度，就進不了開發案。
與 UN R155／TISAX 的分工
UN R155 是法規（管車廠的 CSMS 與型式認證）、TISAX 是資訊安全評鑑（管你公司的資訊保護能力）、ISO/SAE 21434 是工程流程標準（管產品怎麼被安全地開發出來）。三者經常被混為一談，實務上是三條並行的供應商要求：TISAX 過了不代表 21434 能力具備，反之亦然。
導入核心：TARA 與資安開發流程
21434 的技術心臟是 TARA（Threat Analysis and Risk Assessment）：資產識別、威脅情境、攻擊可行性與衝擊評估、風險處置決策，並由此導出資安目標與需求，貫穿 V 模型開發與驗證。對已有 ASPICE 或 ISO 26262 流程的組織，21434 可掛載於既有開發框架，增量導入成本可控。
與功能安全（ISO 26262）的互補
26262 處理「故障導致的危害」，21434 處理「攻擊導致的危害」——駭客注入煞車訊號與硬體故障造成的後果同樣致命，但成因與對策完全不同。兩標準共用 V 模型且明確互相引用，整合導入（資安分析結果回饋安全危害分析）是現行最佳實務。
Who This Is For
- 被車廠要求展示資安開發能力的一二階供應商
- 車用電子控制器（ECU）、感測器與域控制器開發商
- 車用軟體與 OTA 相關方案商
- 正切入車用市場、需要建立資安工程流程的科技業者
FAQ
ISO/SAE 21434 是強制的嗎？
標準本身非法定強制，但 UN R155 自 2024 年 7 月起適用於歐盟所有新生產車輛，車廠的 CSMS 義務透過合約沿供應鏈傳遞——對要進入車用供應鏈的廠商，21434 是事實上的入場要求。
已有 TISAX，還需要 21434 嗎？
需要。TISAX 評的是公司資訊安全保護能力（資料、原型、場域），21434 規範的是產品資安工程流程（TARA、資安需求、開發驗證、事件回應）。車廠盡調通常兩者都查。
21434 需要驗證取證嗎？
標準本身無官方認證制度，市場實務是由驗證機構提供流程符合性評估或人員資格認證，更關鍵的是通過車廠的開發案稽核。輔導目標是讓制度經得起車廠audit，而非只拿一紙證書。
和 ISO 26262 可以一起導入嗎？
建議一起。兩者共用 V 模型與管理架構，TARA 與 HARA 方法論同構，整合導入可共用文件骨架並處理資安×功安的交互影響，總成本低於分開導入。