目錄

1.關(guān)于CSMS的理解

2.OEM如何評(píng)審供應(yīng)商

2.1 質(zhì)量評(píng)審

2.2 網(wǎng)絡(luò)安全能力評(píng)審

3.小結(jié)

1.關(guān)于CSMS的理解

最近在和朋友們交流汽車網(wǎng)絡(luò)安全趨勢(shì)時(shí)，討論最多的是供應(yīng)商如何向OEM證明其網(wǎng)絡(luò)安全能力。

這是很重要的一環(huán)，因?yàn)殡S著汽車網(wǎng)絡(luò)安全相關(guān)強(qiáng)制標(biāo)準(zhǔn)的執(zhí)行，越來(lái)越多OEM是需要通過(guò)相關(guān)認(rèn)證的。例如出海歐盟和日本市場(chǎng)的相關(guān)車型需要通過(guò)R155認(rèn)證，其中最關(guān)鍵就是網(wǎng)絡(luò)安全管理體系(CSMS)認(rèn)證，只有在獲得CSMS認(rèn)證的前提下，才能申請(qǐng)車輛型式準(zhǔn)入(VTA)。

在R155 7.2.2.4中明確提到OEM需要證明其網(wǎng)絡(luò)安全管理體系(CSMS)如何管理供應(yīng)商和OEM之間的網(wǎng)絡(luò)安全活動(dòng)的互動(dòng)、依賴和權(quán)責(zé)關(guān)系。

廣義上講，OEM對(duì)于供應(yīng)商的網(wǎng)絡(luò)安全管理主要是評(píng)估零部件供應(yīng)商的網(wǎng)絡(luò)安全能力、與網(wǎng)絡(luò)安全供應(yīng)商簽訂接口協(xié)議等活動(dòng)；通過(guò)建立評(píng)估網(wǎng)絡(luò)安全能力方法論和接口協(xié)議簽訂，可以保證供應(yīng)商提供的零部件產(chǎn)品的網(wǎng)絡(luò)安全，從而可以進(jìn)一步保證整車的網(wǎng)絡(luò)安全。

對(duì)于已經(jīng)擠進(jìn)OEM供應(yīng)鏈體系的供應(yīng)商來(lái)說(shuō)，某種程度上是可以和OEM一起完善上述內(nèi)容；但是對(duì)于名不見經(jīng)傳的Tier2、Tier1來(lái)說(shuō)，是需要充分展示其網(wǎng)絡(luò)安全能力才有可能獲得OEM的青睞。

所以這類供應(yīng)商應(yīng)該準(zhǔn)備什么樣的材料來(lái)展示自我？這無(wú)疑是需要從標(biāo)準(zhǔn)支撐層面的ISO\SAE 21434中尋找答案。

為什么ISO\SAE 21434可以指導(dǎo)供應(yīng)商或者Tier1建立起CSMS？

通過(guò)閱讀該標(biāo)準(zhǔn)，我們可以發(fā)現(xiàn)，21434不僅在組織層面提出了企業(yè)要建立信息安全管理體系，還在車輛或零部件產(chǎn)品的全生命周期建立網(wǎng)絡(luò)安全控制措施。

因此，不管是從法律法規(guī)的合規(guī)性還是網(wǎng)絡(luò)安全風(fēng)險(xiǎn)角度來(lái)看，ISO\SAE 21434提出的理論既包括了企業(yè)端信息安全的管理特性（參考ISMS），同時(shí)又包括產(chǎn)品端網(wǎng)絡(luò)安全要求。

當(dāng)然，今天我們不解讀CSMS體系建設(shè)過(guò)程，主要聚焦從OEM角度來(lái)看供應(yīng)商需要具備哪些維度的網(wǎng)絡(luò)安全能力。

2.OEM如何評(píng)審供應(yīng)商

?(以下內(nèi)容是和朋友閑聊并征得同意才發(fā)布，僅代表個(gè)人觀點(diǎn))

2.1 質(zhì)量評(píng)審

一般來(lái)講，OEM在選擇供應(yīng)商時(shí)首先考慮的是質(zhì)量，因此會(huì)主要從供應(yīng)商的產(chǎn)品質(zhì)量、服務(wù)和生產(chǎn)制造三個(gè)大方向評(píng)估候選供應(yīng)商資質(zhì)。

• 產(chǎn)品質(zhì)量：APQP能力、D\PFMEA、過(guò)程控制能力、試制能力、不合格品控制能力等
• 服務(wù)能力：目標(biāo)產(chǎn)品是否經(jīng)過(guò)市場(chǎng)驗(yàn)證、員工流動(dòng)性、供貨產(chǎn)能是否滿足要求等
• 生產(chǎn)制造：物流管理、供應(yīng)鏈保障、作業(yè)是否標(biāo)準(zhǔn)、是否通過(guò)ISO9001或者IATF16949等

那么從供應(yīng)商角度來(lái)看，上述內(nèi)容是需要準(zhǔn)備大量材料來(lái)進(jìn)行佐證。

經(jīng)過(guò)評(píng)審打分后，進(jìn)入下一輪的供應(yīng)商才會(huì)進(jìn)行網(wǎng)絡(luò)安全能力評(píng)估（如果零部件涉及到整車網(wǎng)絡(luò)安全）。?

2.2 網(wǎng)絡(luò)安全能力評(píng)審

既然是展示自己的網(wǎng)絡(luò)安全能力，那么做到極致想必是每個(gè)工程人員的夢(mèng)想。

供應(yīng)商如果按照ISO\SAE 21434建議的內(nèi)容，同樣也是非常耗費(fèi)精力的（我甚至有點(diǎn)懷疑這個(gè)R155強(qiáng)制法規(guī)就是來(lái)用來(lái)罰款的）。

這里我根據(jù)21434的第5、6、7、8、9-14和15章節(jié)，簡(jiǎn)單粗暴地將供應(yīng)商網(wǎng)絡(luò)安全能力維度概括為6個(gè)方面，如下：

• 公司級(jí)網(wǎng)絡(luò)安全體系建設(shè)能力

?對(duì)應(yīng)標(biāo)準(zhǔn)第5章節(jié)：Organizational cybersecurity management

• 網(wǎng)絡(luò)安全項(xiàng)目研發(fā)管理能力

對(duì)應(yīng)標(biāo)準(zhǔn)第6、9-12章節(jié)

• 網(wǎng)絡(luò)安全項(xiàng)目風(fēng)險(xiǎn)識(shí)別能力

對(duì)應(yīng)標(biāo)準(zhǔn)第15章節(jié)：Threat analysis and risk assessment methods

• 網(wǎng)絡(luò)安全項(xiàng)目供應(yīng)商管理能力

對(duì)應(yīng)標(biāo)準(zhǔn)第7章節(jié)：Distributed cybersecurity activities

• 網(wǎng)絡(luò)安全項(xiàng)目漏洞管理能力

對(duì)應(yīng)標(biāo)準(zhǔn)第8章節(jié)：Continual cybersecurity activities

• 網(wǎng)絡(luò)安全項(xiàng)目事件響應(yīng)能力

對(duì)應(yīng)標(biāo)準(zhǔn)第13-14章節(jié)

我們以網(wǎng)絡(luò)安全項(xiàng)目研發(fā)管理能力為例，來(lái)看看具體需要從哪些方面進(jìn)行評(píng)估？

1. 很明顯，要做好汽車網(wǎng)絡(luò)安全產(chǎn)品（零部件），首先要考察的就是項(xiàng)目組里是否有網(wǎng)絡(luò)安全相關(guān)背景和專業(yè)技能的工程人員，因此這是一個(gè)很大決定因素：是否有人）；
2. 在研發(fā)該產(chǎn)品前，遵循什么樣的網(wǎng)絡(luò)安全管理原則，威脅分析和風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)是怎樣的，有沒(méi)有開展網(wǎng)絡(luò)安全計(jì)劃和評(píng)估等活動(dòng)；
3. 在該產(chǎn)品概設(shè)階段，是否定義了活動(dòng)角色和職責(zé)、是否定義了網(wǎng)絡(luò)安全視角下的邊界、資產(chǎn)等；
4. 在產(chǎn)品詳設(shè)階段，是否有符合網(wǎng)絡(luò)安全理念的軟硬件開發(fā)流程；
5. 在產(chǎn)品驗(yàn)證階段，是否有對(duì)應(yīng)的測(cè)試流程；

3.小結(jié)

就2.3節(jié)簡(jiǎn)單幾個(gè)內(nèi)容，我自己其實(shí)是一頭霧水；

畢竟針對(duì)零部件供應(yīng)商來(lái)說(shuō)，是有一個(gè)較為確定的場(chǎng)景來(lái)剖析網(wǎng)絡(luò)安全概念，唯一需要補(bǔ)足的就是公司網(wǎng)絡(luò)安全文化建立和人才梯隊(duì)的搭建；

但是對(duì)于芯片原廠來(lái)說(shuō)，要找到一個(gè)目標(biāo)場(chǎng)景進(jìn)行分析還是需要OEM的實(shí)際經(jīng)驗(yàn)（當(dāng)然不排除能力強(qiáng)的企業(yè)用類似SEooC的方法）。

這就又繞回來(lái)了，例如NXP本身技術(shù)實(shí)力雄厚，在21年就通過(guò)了ISO\SAE21434 BCaM和PSIRP的認(rèn)證，這無(wú)疑可以幫助加速OEM的R155認(rèn)證，先天就占據(jù)了優(yōu)勢(shì)。

當(dāng)然，沒(méi)有相關(guān)背景的供應(yīng)商面對(duì)網(wǎng)絡(luò)安全這樣的新東西，大概率是會(huì)選擇咨詢機(jī)構(gòu)進(jìn)行輔導(dǎo)，拿到模板就可以按需準(zhǔn)備材料了。文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-826544.html

到了這里，關(guān)于汽車網(wǎng)絡(luò)安全--關(guān)于供應(yīng)商網(wǎng)絡(luò)安全能力維度的思考的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！