八個判斷準則
| 準則 | 可以直接問任何顧問的問題 |
|---|---|
| 分清三種要求 | 車廠要的是 UN R155 相關的供應鏈要求、TISAX 標章，還是 21434 的工程能力證據？ |
| 角色與分工 | 我在車廠的開發案中負責哪些項目？雙方的資安責任分工（資安介面協議）怎麼訂？ |
| TARA 做得出來 | 威脅分析與風險評估由誰做、怎麼做？結果怎麼導出資安目標與需求？ |
| 掛進既有流程 | 能不能接上我已有的 ASPICE、ISO 26262 流程，而不是另起一套？ |
| 產品生命週期 | 量產後的弱點監控、事件回應與更新怎麼處理？ |
| 經得起稽核 | 制度與證據能不能通過車廠的開發案稽核？ |
| 誰主導、是否外包 | 實際帶案的是誰？有什麼資格？會不會轉包？ |
| 報價範圍是否清楚 | 報價包含哪些交付物？哪些不含？追加費用怎麼算？ |
什麼情況不一定需要找顧問
已有成熟的 ISO 26262 與 ASPICE 流程、內部也有熟悉 21434 的人員時，可以把外部資源集中在 TARA 方法的建立與車廠稽核前的查核。車廠只要求 TISAX 標章時，先處理 TISAX 即可。
積穗科研對應這些準則的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 分清三種要求：先釐清車廠要求的是 UN R155 供應鏈要求、TISAX 還是 21434 工程能力，再決定要做什麼
- TARA 與資安需求：建立資產識別、威脅情境識別、衝擊評級、攻擊路徑分析、攻擊可行性評級、風險值判定、風險處置決策的 TARA 方法，導出資安目標與需求
- 掛進既有流程：掛載於既有的 ASPICE 或 ISO 26262 開發框架，資安分析結果回饋安全危害分析
- 經得起稽核：以通過車廠的開發案稽核為目標，而不是只取得一紙證書
- 和 TISAX 一起規劃：同一個團隊也輔導 TISAX；客戶授權公開的 TISAX 輔導客戶包括億豐金屬工業（億豐完整案例）
- 誰主導：副總、董事級顧問全程輔導，不外包
相關問題
- ISO/SAE 21434 是強制的嗎？ 標準本身不是法律，但在歐盟，UN R155 自 2022 年 7 月起適用於新車型、自 2024 年 7 月起適用於所有新登記的新車，車廠的網路安全管理義務透過合約沿供應鏈傳遞，對要進入車用供應鏈的廠商，21434 正逐漸成為事實上的入場要求。ISO/SAE 21434 車輛資安工程
- 已有 TISAX，還需要 21434 嗎？ 若你開發或供應具資安相關性的車用電子電機（E/E）系統、零組件或軟體，通常需要。TISAX 評的是公司據點的資訊安全管理（含原型保護、資料保護），21434 規範產品的資安工程流程，兩者不能互相取代；實際要求以車廠的詢價與合約為準。台灣 TISAX 顧問怎麼選
- 21434 需要驗證取證嗎？ ISO 本身不做驗證、也不發證書；市場上由驗證機構依各自的方案提供管理系統或流程符合性驗證（部分方案已取得國家認證機構認可），也有人員資格認證；更關鍵的是通過車廠的開發案稽核。ISO/SAE 21434 車輛資安工程
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。