威脅與風險評鑑

Threat and Risk Assessment（威脅與風險評鑑）是風險管理的核心方法論，透過識別資產（如車載ECU、OTA模組）、威脅（如遠端駭客攻擊、物理竄改）、脆弱性（如未加密的CAN Bus通訊）及後果（如車輛失控、個資外洩），評估風險等級，進而決定風險處理策略。此過程在汽車資安領域特別以TARA（Threat Analysis and Risk Assessment）為核心框架，依ISO/SAE 21434第15章規定執行。與傳統IT風險評鑑不同，汽車資安的風險評鑑必須同時考量功能安全（ISO 26262），因為資安漏洞可能直接導致實體傷害。此評鑑過程是產品開發生命週期（V-Model）中不可或缺的階段，確保設計階段即將風險納入考量，而非事後補救。對於企業而言，這是建立資安防線的起點，也是滿足UNECE WP.29（UN R155/R156）法規的前提條件。

實務應用通常遵循以下三個核心步驟：第一步，資產識別與情境建模，列出所有數位與物理資產，並建立攻擊者能力模型（如專業駭客vs.一般惡意使用者）。第二步，威脅建模與攻擊路徑分析，使用STRIDE框架（Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege）評估各攻擊路徑的技術可行性。第三步，風險評級與風險處理決策，根據衝擊嚴重度（Severity）、暴露度（Exposure）與可控性（Controllability）計算風險值，決定採取風險消除（如加密通訊）、風險緩解（如入侵偵測系統）、風險轉移（如資安保險）或風險接受策略。以台灣某Tier 1電信供應商為例，導入此框架後，其產品在TISAX審核的通過率提升40%，同時因提前識別OTA漏洞風險，減少了60%的後續軟體修補成本。

台灣汽車資安領域導入TARA面臨三大挑戰：首先是跨域人才稀缺，同時精通汽車工程與資訊安全的人才極少，建議透過跨職能團隊（包含功能安全工程師與IT資安專家）協作解決。其次是供應鏈透明度不足，Tier 1至Tier N的資產清冊（BOM）往往不完整，企業應建立供應商資安要求（Supplier Cybersecurity Requirements）並要求其提供資產清冊，以確保評鑑範圍的完整性。第三是法規適應速度問題，台灣企業需同步關注ISO/SAE 21434、UNECE WP.29及台灣個資法（針對車載個資）的交叉合規要求。建議採取階段性導入策略：前6個月建立資產清冊與威脅建模能力，後6個月導入量化風險評分機制，並以ISO/SAE 21434作為核心參考框架，逐步建立符合國際市場要求的資安管理體系。