随着汽车行业向软件定义汽车和互联移动的方向发展，ISO/SAE 21434成为确保网络安全的基石。但现实是：许多OEM厂家和Tier1在实施这一标准时仍然陷入了常见的陷阱——将其视为一个复选框练习，涉及网络安全太晚，或者忽视了供应链风险。下面我将分享ISO 21434采用过程中最常见的错误和误解，以及如何用实际的、过程驱动的解决方案来避免这些错误。
无论您是系统工程师、网络安全主管还是产品经理，这些见解都可以帮助您更好地应对现实世界的实施挑战和标准背后的意图。让我们跟随工程师A（网络安全专家）和工程师B（系统工程师），了解他们在实施ISO 21434过程中最常见的9个错误，以及如何用实际的解决方案来克服它们。
Q：工程师B：“我们可以要一份ISO 21434的检查表吗？如果我们检查了所有的方框，我们就顺从了，对吗？这就足够了，对吗？”
A：工程师A：“不，那是一个普遍的误解。”ISO 21434不仅仅是关于打勾，而是关于在整个产品生命周期中建立网络安全文化。如果不及早植入，我们就有可能错过真正的威胁。所以仅仅把它当作清单是不正确的。网络安全需要成为流程的一部分，它必须集成到V模型中，具有从概念到退役的定义流程和所有权。”
Q：工程师B：“啊！理解!但还有一个问题！如果我们符合ISO 21434，这应该意味着系统是安全的，对吗？”
A：工程师A：“不！不总是正确的。那将是另一个错误。遵从只是意味着你遵循了这个过程。现实世界的安全性需要威胁驱动的思考、测试和主动的风险处理。要实现这一目标，我们需要超越合规，包括威胁建模、红队和各种安全评估。”
Q：工程师B：“好的！因此，我们将首先完成体系结构，然后引入安全性以供审查。正确的?”
A：工程师A：“不，现在做任何重大改变都太晚了。到那时，安全约束可能与核心设计决策发生冲突。重新设计整个体系结构或改进安全性要比在设计时考虑到这一点花费更多。最好从概念阶段就包括TARA和安全审查，这将有助于架构团队从一开始就设计安全方面。”
Q：工程师B：“好的！我明白你的意思，但是安全小组处理ISO 21434。我们的重点是系统开发。”
A：工程师A：“安全团队处理ISO 21434任务是正确的，但安全不是副业。”它需要跨系统、软件和硬件团队的协作。否则，我们将错过关键的集成点。因此，我们需要跨职能的工作小组，并为此共同承担责任。”
Q：工程师B：“好的！我同意！我想从你那里得到更多的信息！我们可以重用通用的TARA模板来节省时间吗？你知道时间表是很严格的。”
A：工程师A：“不！该模板无法捕捉到我们的架构所面临的独特威胁。我们需要识别特定的资产、攻击路径和威胁参与者。我们需要按照ISO21434中给出的结构化TARA方法。”
Q：工程师B：“但如果我们的Tier-1符合ISO 21434标准，我们就很好了，对吗？”
A：工程师A：“不完全是。漏洞通常通过第2层、第3层或开源组件进入。每一层都很重要。我们可以要求SBOM，他们的评估，我们也在合同中指定我们的安全要求。记住每一层对安全都很重要。”
Q：工程师B：“好的！我们会处理好的！一旦我们把车送过去，我们的工作就完成了，对吗？”
A：工程师A：“不，我的朋友！这是一个新阶段的开始。车辆在现场停留10年。您需要监视、修补和响应事件。为此，我们需要建立符合UNECE R155的网络安全管理系统（CSMS），这对每个OEM都至关重要。”
Q：工程师B：“现在我明白为什么大家都在谈论它了！谢谢你的解释。但是，我们真的需要记录每一个决策和威胁分析步骤吗？”
A：工程师A：“是的，对于可追溯性、审计和学习。文档是安全状态的一部分。它将维护可追溯性矩阵、安全案例文档、版本控制的TARA，最重要的部分是监控网络安全事件和我们对此的反应。”
Q：工程师B：“最后一个问题，我刚刚想到，因为我也在功能安全方面工作过，功能安全是ISO 26262的问题，不是我们的问题，对吗？还是说我们之间有什么联系？”
A：工程师A：“是的，我们有线路。安全漏洞可能引发安全故障。它们是相互关联的，必须一起进行评估。ISO21434包括安全分析以及TARA影响分析。”
Q：工程师B：“感谢这次启发性的对话，我之前没意识到我们做了多少假设。让我们用这个视角重新审视当前的项目。也许下周我们可以从一场TARA研讨会开始？”
A：工程师A：“完美。同时让软件和安全团队也参与进来。网络安全不再是一个人的任务，它是一项团队运动。”
在这里，我们看到了9个主要的错误，它们如下：
网络安全不仅仅是安全团队的工作，它是工程、供应链、测试和管理部门的共同责任。ISO 21434给出了框架，但成功的实现需要协作、迭代和文化采用。让我们构建基于设计的安全方法，而不仅仅是基于默认的兼容检查。
DQS是德国第一家获得政府认可的认证机构，成立于1985年，在全球60多个国家设有办公室，拥有3000余名专业审核员，已颁发超过65000份证书。并在中国设有本地团队，为企业提供全流程本地化支持。
