研發長導入 ISO/SAE 21434：TARA 怎麼掛進既有開發流程？

車廠的 21434 要求從哪裡來？研發一定要做嗎？

ISO/SAE 21434 本身不是法定強制。要求來自 UN R155：這是整車（車廠）型式認證要求，要車廠建立車輛網路安全管理系統（CSMS）並對供應鏈課責；歐盟自 2022 年 7 月起適用於新車型、2024 年 7 月起適用於所有新生產車輛。

車廠的 CSMS 義務透過合約沿供應鏈傳遞，零組件廠多由車廠透過契約要求；車廠以 21434 審查供應商的資安開發能力（TARA、資安概念、開發與驗證、事件回應）。對要進入車用供應鏈的一二階供應商，21434 是事實上的入場要求；實際要求以車廠的詢價與合約為準。

TARA 要怎麼做？研發要產出什麼？

TARA（Threat Analysis and Risk Assessment）是 21434 的技術核心，方法依序是：

1. 資產識別
2. 威脅情境識別
3. 衝擊評級
4. 攻擊路徑分析
5. 攻擊可行性評級
6. 風險值判定
7. 風險處置決策

由此導出資安目標與需求，貫穿 V 模型開發與驗證。研發長要確認兩件事：TARA 由誰做、用什麼方法做；結果怎麼變成可追溯的資安需求，並在驗證階段被測到。

已有 ASPICE 或 ISO 26262，研發流程要重做嗎？

不必。已有 ASPICE 或 ISO 26262 流程的組織，可以把 21434 掛在既有開發框架上增量導入，服務頁說明增量導入成本可控。

兩標準共用 V 模型且明確互相引用；整合導入時，資安分析結果回饋安全危害分析。要注意：ISO 26262 是功能安全標準，把它當成資安證明，會在車廠依 UN R155 進行的供應鏈資安審查中暴露缺口。

和車廠怎麼分資安責任？開發案稽核研發要準備什麼？

先釐清你在車廠開發案中負責哪些項目，並與車廠訂好雙方的資安責任分工（資安介面協議）。

稽核面要知道：ISO 本身不做驗證、也不發證書；21434 沒有官方認證制度，市場上由驗證機構依各自方案提供流程符合性驗證或人員資格認證。更關鍵的是通過車廠的開發案稽核，所以研發要準備的是運作中的產品資安工程流程與紀錄（TARA、資安需求、開發驗證、事件回應），而不是只拿一紙證書。

量產後的弱點監控、事件回應與更新，研發還要負責嗎？

要規劃。21434 適用於車輛電子電氣（E/E）系統從概念、開發、生產、運作、維護到除役的整個生命週期，事件回應也是車廠審查供應商資安開發能力的項目之一。

研發長在制度設計時要能回答：量產後的弱點監控、事件回應與更新怎麼處理、由誰負責。型式認證車輛內 ECU 的資安由 UN R155／R156 規範；這是整車型式認證要求，由車廠承擔，零組件廠多由車廠透過契約要求，所以責任範圍要寫進與車廠的協議。

21434、TISAX 與 EU CRA 的界線在哪？產品線要分開規劃嗎？

TISAX 過了不代表具備 21434 能力，反之亦然，車廠盡調通常兩者都查。EU CRA 方面：型式認證車輛的 ECU 不適用 CRA（第 2(2)(c) 條），但售後市場與獨立銷售的連網車用產品仍須符合 CRA。研發長要按產品線分清楚：裝進型式認證車輛的走 21434，售後或獨立銷售的連網產品另走 CRA。

積穗科研怎麼協助研發長處理 ISO/SAE 21434？

由副總、董事級顧問全程親自輔導、不外包。做法：

• 分清三種要求：先釐清車廠要求的是 UN R155 供應鏈要求、TISAX 還是 21434 工程能力，再決定要做什麼。
• TARA 與資安需求：建立 TARA 方法，導出資安目標與需求。
• 掛進既有流程：掛載於既有的 ASPICE 或 ISO 26262 開發框架，資安分析結果回饋安全危害分析。
• 經得起稽核：以通過車廠的開發案稽核為目標，而不是只取得一紙證書。
• 和 TISAX 一起規劃：同一個團隊也輔導 TISAX；客戶授權公開的具名客戶包括億豐金屬工業股份有限公司（TISAX 評估輔導）。

深入：ISO/SAE 21434 車輛資安工程、21434 顧問怎麼選、研發長要放進研發流程的要求、TISAX 評估輔導。申請免費機制診斷