資安長面對 ISO/SAE 21434：TISAX 之外，產品資安要準備什麼？

車廠同時提到 UN R155、TISAX 和 ISO/SAE 21434，資安長要怎麼分工？

三者常被混為一談，實務上是三條並行的供應商要求：

TISAX 過了不代表具備 21434 能力，反之亦然。R155 由車廠承擔，零組件廠多由車廠透過契約要求。

ISO/SAE 21434 是強制的嗎？資安長怎麼說明這筆投入的必要性？

標準本身非法定強制。但在歐盟，UN R155 這項整車型式認證要求自 2022 年 7 月起適用於新車型、2024 年 7 月起適用於所有新生產車輛；不符合，車廠就無法取得型式認證。車廠的 CSMS 義務透過合約沿供應鏈傳遞。

對要進入車用供應鏈的廠商，21434 是事實上的入場要求：車廠以它審查供應商的資安開發能力（TARA、資安概念、開發與驗證、事件回應），一二階供應商沒有對應制度，就進不了開發案。實際要求以車廠的詢價與合約為準。

21434 沒有官方證書，資安長要怎麼向車廠證明能力？

ISO 本身不做驗證、也不發證書；市場上由驗證機構依各自的方案提供管理系統或流程符合性驗證，也有人員資格認證。更關鍵的是通過車廠的開發案稽核。

資安長要準備的是能被抽查的工作成果：

• TARA 紀錄
• 由 TARA 導出的資安目標與需求
• 開發與驗證證據
• 事件回應程序

輔導目標是讓制度經得起車廠稽核，而不是只拿一紙證書。

TARA 由誰做？資安長和研發怎麼分工？

TARA 是 21434 的技術核心：資產識別、威脅情境、攻擊可行性與衝擊評估、風險處置決策，再由此導出資安目標與需求，貫穿 V 模型開發與驗證。

• 先釐清公司在車廠開發案中負責哪些項目，以及雙方的資安責任分工（資安介面協議）。
• 已有 ASPICE 或 ISO 26262 流程者，可把 21434 掛載於既有開發框架增量導入，不必另起一套。
• 26262 處理「故障導致的危害」，21434 處理「攻擊導致的危害」；整合導入時，資安分析結果回饋安全危害分析。

量產之後資安長還要管什麼？車用產品要做 EU CRA 嗎？

21434 涵蓋概念、開發、生產、營運、維護到除役的全生命週期，量產後的弱點監控、事件回應與更新也要有人負責。

CRA 的判定：型式認證車輛內的 ECU 不適用 CRA（第 2(2)(c) 條），其資安改由 UN R155／R156 這兩項整車型式認證要求規範；售後市場與獨立銷售的連網車用產品則仍須符合 CRA。把 ISO 26262 當成資安證明、或誤以為車內 ECU 需要 CRA，都會在車廠的供應鏈資安審查中暴露缺口。

已有 TISAX，21434 能共用哪些文件？

TISAX 和 21434 可以整合輔導，關鍵是：

• 共用安全政策框架
• 統一供應商管理要求
• 避免重複的風險評估流程

TISAX 輔導流程中的 21434 整合（選配），就是共用安全政策框架與風險評估底稿，避免重複建置。但兩者不能互相取代：共用的是組織層文件，產品的 TARA、資安需求與開發驗證證據仍要依 21434 建立。

積穗科研怎麼協助資安長處理 ISO/SAE 21434？

積穗科研的做法（請用上方問題同樣檢驗我們）：

• 副總、董事級顧問全程親自輔導、不外包
• 先釐清車廠要的是 UN R155 供應鏈要求、TISAX 還是 21434 工程能力
• 建立 TARA 方法導出資安目標與需求，掛載於既有 ASPICE 或 ISO 26262 框架
• 以通過車廠開發案稽核為目標；同一團隊也輔導 TISAX，具名客戶包括億豐金屬工業

ISO/SAE 21434 車輛資安工程、21434 顧問怎麼選、TISAX 評估輔導。申請免費機制診斷