隨著設備間的互聯互通在我們的生活中無處不在，使安全達到標準至關重要，在汽車工業中，這一點尤其困難，因為它有許多獨特的特性，使安全問題成為行業特有的問題。
汽車安全保障框架無疑是一個挑戰，汽車領域可以從中受益匪淺，從而使最終用戶更加安全，并推動整個行業的發展。
考慮到汽車領域與其他領域有多大的不同，很難想出一個適合整個生命周期的安全保障框架。我們不能直接應用其他領域的可用方法，但是仍然可以借鑒其他領域的一些核心思想。讓我們看看這些想法可能是什么，以及如何將它們應用到可能的汽車信息安全框架中。
隨著現代汽車的互聯性、移動集成和互聯網的使用，可以肯定地說，汽車中的私有網絡很快將不再存在，它增加了功能性、成本效益和舒適性，但也對功能安全性產生了新的影響。在這種情況下，很明顯我們需要定義特定行業的汽車安全標準，但要做到這一點，我們必須借鑒其他行業現有的安全框架。
任何安全標準的主要優先事項都是使安全成為開發過程的核心部分。汽車系統需要受到保護，因此應該通過擴展現有的質量系統來做到這一點，這包括識別和管理風險，以及允許對信息安全實踐進行獨立審查。
在構建安全框架時，一些與It相關的實踐很可能被應用到汽車環境中。然而，我們需要考慮到這兩個領域之間的差異。由于汽車和IT系統的特點，它們面臨著不同的威脅。在汽車領域，黑客可以物理地訪問設備。此外，在汽車系統上有一些特定的資源限制，而這些限制在IT系統中不是一個問題。此外，汽車系統持續工作的時間更長，必須以最少的維護可靠地工作長達20年。
汽車領域的獨特性提出了許多需要解決的有趣問題。即，我們如何處理安全流程？該解決方案可以是公司級的實現，這意味著每個公司都必須確保其產品開發過程對安全性的關注相同。但是，每種產品的保護級別可能會有所不同。因此，確保跨不同產品類別的行業范圍內的安全要求級別成為一項挑戰。
我們從應用于IT產品的通用標準框架中學到了很多東西。它在金融和政府信息技術采購等領域取得了成功。考慮到產品生命周期的迅速發展和商業運作的靈活性，目前正在采取措施改進現有的概念。考慮到這一點，有效的汽車安全保障框架的要素應具有以下特性：
安全配置文件應概述汽車產品類別的安全目標（例如強認證、固件完整性和人身安全）。這些必須基于深思熟慮的安全風險分析，包括風險所有者、開發人員和網絡安全專家。將這些標準化將為每個給定的產品類提供一個行業范圍的通用安全目標應用程序。
與安全配置文件一起工作，這些文件將定義側重于控制級別的安全要求（例如，防篡改安全存儲、認證RNG和安全事件日志記錄）。每個產品都將至少滿足這些安全需求，從而為它應該擁有的安全級別建立一個期望。
過程要求定義了與產品開發和操作階段相關的所有活動，以符合安全概要文件的安全級別要求（例如ISO 26262、SDLC、GDPR、ISO 27000等）。
確定每個內部或外部評估者應采取的措施的可選步驟，以確定產品是否滿足安全配置文件的需要。
對于安全專家和汽車專家來說，提出一個汽車安全保證框架無疑是一個挑戰。然而，汽車領域可以從中受益匪淺，使最終用戶更加安全，推動整個行業的發展。
轉載車聯網相關文章
轉自車聯網周刊
