連網與自動駕駛車輛

連網與自動駕駛車輛（CAVs）是整合「連網能力」（V2X，車對萬物通訊）與「自動駕駛技術」（SAE J3016定義的Level 3至Level 5）的先進載具。其核心特徵在於能與外部環境（如其他車輛、基礎設施、雲端）即時交換數據，並自主執行部分或全部駕駛任務。此技術演進使車輛從封閉的機械系統轉變為開放的複雜軟體平台，也因此帶來前所未有的網路安全風險。國際法規如聯合國歐洲經濟委員會（UNECE）的R155（網路安全管理系統）與R156（軟體更新管理系統），以及產業標準ISO/SAE 21434（道路車輛—網路安全工程），皆要求車廠必須建立貫穿車輛整個生命週期的風險管理體系，從設計、開發、生產到售後維護，系統性地識別、評估並應對網路威脅，確保車輛安全。

在企業風險管理中，應對CAVs需採納ISO/SAE 21434所規範的系統性方法。第一步為「建立合規框架」，依據UNECE R155建立企業級網路安全管理系統（CSMS），定義政策與流程。第二步為「執行威脅分析與風險評鑑（TARA）」，針對車輛電子電氣（E/E）架構，識別潛在攻擊路徑與安全漏洞。第三步為「導入安全設計與驗證」，將TARA結果轉化為具體安全需求，並透過滲透測試等方式持續驗證。例如，一德國車廠為符合R155，對其OTA更新機制進行TARA，並導入區塊鏈驗證技術，成功將軟體漏洞事件減少40%，並取得於歐盟市場銷售的車輛型式認證，合規率達100%。

台灣企業多為汽車零組件供應商，導入CAVs面臨三大挑戰：1.「供應鏈管理複雜」：需應對多家車廠不同的網路安全要求，資訊不對稱。2.「缺乏整合性人才」：欠缺兼具汽車工程與網路安全的跨領域專家。3.「法規驗證資源不足」：本地針對UNECE R155等新法規的檢測能量尚待擴充。對策上，企業應導入ISO/SAE 21434，與客戶簽訂網路安全協議（Cybersecurity Agreement）以釐清責任（時程6個月）；透過專業顧問進行內部培訓，建立產品安全事件應變團隊（PSIRT）（時程3個月）；並建立內部模擬驗證環境，提前應對法規要求，化被動為主動（時程12個月）。