在製品 / 在製作業

Work in Progress（WIP）指企業在生產流程中尚未完成、仍需進一步加工或驗證的半成品、在製服務或開發中的專案。根據ISO 9001:2015第8.5.1條「生產和服務提供的控制」，企業必須對在製狀態進行識別與追溯，以確保產品符合規格要求。在汽車資安領域，WIP特別指代車輛電子控制單元（ECU）韌體開發、供應商交付的軟體組件、以及OTA（Over-the-Air）更新驗證等動態過程。與「成品」或「原材料」不同，WIP具有時間與狀態的雙重變數，若缺乏系統性管理，將導致資安漏洞在量產前未能被偵測，造成無法回收的產品召回風險。根據NIST CSF 2.0框架，WIP的識別與保護是供應鏈風險管理的關鍵環節，直接影響企業的資安韌性與法規合規能力。

在汽車資安風險管理中，WIP的應用需遵循ISO 21434標準的V-Model開發模型，具體步驟如下：第一步，建立WIP狀態追溯機制，確保每個開發分支（Branch）與版本都有唯一的版本控制紀錄，符合ISO 27701的資料完整性要求；第二步，在WIP階段嵌入自動化資安掃描，如靜態分析（SAST）與動態分析（DAST），確保漏洞在交付前被攔截；第三步，建立WIP風險評級制度，針對高風險組件（如自駕系統感測器演算法）設定更嚴格的驗證門檻。以台灣某Tier 1供應商為例，導入WIP資安驗證流程後，產品上市前的漏洞修補成本降低40%，同時符合TISAX（VDA ISA）的供應商評級要求，成功通過德國OEM廠商的資格審查，提升了25%的訂單轉化率。

台灣企業在WIP管理上常見三大挑戰：首先是「供應鏈透明度不足」，許多中小供應商無法即時回報WIP的開發進度與安全狀態，建議透過統一的供應商風險管理平台（Supplier Risk Management Platform）進行數位化追蹤。其次是「資安人才與法規知識缺口」，台灣企業往往具備製造能力卻缺乏ISO 21434與UNECE WP.29法規的專業人才，應透過與專業顧問合作，建立跨職能的資安工作組（Cross-functional Team）。第三是「WIP與量產之間的資料斷層」，開發階段的風險資訊未能有效傳遞至量產階段，企業應導入PLM（產品生命週期管理）系統，將WIP的風險評估與風險評鑑（Risk Assessment）整合為數位資產，確保從原型到量產的資安一致性。預計導入期為6-12個月，初期應優先聚焦於高風險ECU組件的WIP管理。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Work in Progress相關議題，擁有豐富實戰經驗，協助企業在90天內建立符合ISO 21434與TISAX的資安管理機制，已服務超過100家台灣汽車供應商。申請免費機制診斷：https://winners.com.tw/contact