汽车网络安全的系统和流程的落地，是整车厂、一级供应商和大股东们目前关注的重点。在需要维持汽车整个生命周期的安全时，上述问题便越发突出。汽车技术日益成熟，汽车架构日益复杂，供应链环节增多，新规定也已出台。面对这些因素，简化网络安全沟通无比重要。
整个汽车生态系统面临相同的痛点：缺乏协调。要想实现有效的汽车网络安全，其中一个关键因素就是行业相关各方需要协调行动。C2A Security副总裁、李尔公司功能安全负责人Andre Weimerskirch在C2A Security的行业讨论小组活动中说道： “我们必须放弃个人的模式和需求，互相协调，因为个人的模式会对所有人产生不利影响。举例说，汽车制造商需要适应多种不同的工作方式，供应商也是如此。”
汽车行业普遍认为协调一致非常重要。这一观点理由充分：如果没有协调的网络安全沟通和项目管理，那么风险评估等任务会更加复杂耗时，驾驶员和公司的安全都会受到危害。
网络安全生命周期管理——谁拥有？
汽车企业必须有能力拥有汽车网络安全生命周期管理流程。“拥有”一词指：面对日益复杂的汽车和零散的供应链，培养在整个汽车生命周期内顺利、彻底、快速、透明地解决网络安全问题的能力。整车厂和一级供应商需要有能力理解汽车的漏洞所在，并部署相应的安全措施、持续进行风险评估，维护网络安全。只有做到这个程度，才能在网络安全方面快速进步，从设计到报废全程监测、保护汽车。
以风险评估为例，汽车企业并未拥有所需能力。C2A Security近日的一份行业报告显示，56%的汽车从业人员表示，所在公司完成全面的网络安全风险评估至少需要三周时间。对于现代网联汽车来说，这样的速度是远远不够的。风险评估是基础性、重复性的工作，需要持续不断地快速进行。目前大多数整车厂和供应商的风险评估能力尚有不足，不能满足未来CASE汽车（网联汽车、自动驾驶汽车、共享汽车、电动汽车）先进基础设施的需要，很多时候甚至不能满足目前网络安全的监管要求。
*基于2020年9月C2A的行业报告
可视性也关乎能否拥有这种能力。C2A的报告发现，超半数的受访者无法追踪市场上汽车的软硬件的物料清单、车辆识别号码等信息。可视性是能否拥有这种能力的基础：360度的安全监管使相关信息更易获取、更易管理、更易实行。
但显而易见的是，汽车制造链和供应链中，目前没有任何一方拥有整个网络安全生命周期管理方案。这对汽车行业提高适应力、解决不断出现的汽车网络安全问题构成挑战。
无法拥有网络安全生命周期管理方案，关键在于缺乏协作
若想拥有网络安全生命周期管理，则需保证汽车网络安全相关各方的协调沟通合作。供应链上的每一环节都需要不断发送和接收信息，保证部署的解决方案要与不同团队和流程相兼容。这一程度的协作能让整个生态系统一致行动和反应，有效避免攻击。目前的汽车行业仍旧缺失这一协作方式。C2A市场调研显示，半数的受访者认为，及时进行网络安全风险评估的最大障碍就是各相关方的交流和协调不够。
*基于2020年9月C2A的行业报告
今年，ISO 21434标准和UNECE WP.29法规将会生效，而在整车厂、供应商吸收理解新规政策的过程中，协作同样至关重要。62%的受访者表示，公司内外都有团队负责在整个汽车生命周期内实施不同层面的标准，他们之间的协作是汽车生命周期中实施新标准的核心挑战。
对于整车厂来说，管理参与汽车生产的各方之间的沟通，包括组织内部和外部，以及整个汽车生命周期内，是近乎不可能的任务。网络安全架构师、事件响应工程师、集成工程师、系统所有者、网络安全验证工程师等所有的团队和参与方，不仅要能够与组织内的同事沟通，还要能和供应链上的对应方沟通。如果实现这种协作，就能保证每辆汽车在20年的生命周期内的有效网络安全。
从一级供应商的角度看，在网络安全方面与整车厂合作很难，要求模糊、让人沮丧。有时，整车厂提出的网络安全要求不清晰、范围不明，因此一级供应商很难在汽车生命周期中实施、交付、支持整车厂。哈曼国际的前副总裁兼网络安全业务总经理Asaf Atzmon解释道： “事情非常复杂，我们需要对接很多整车厂，每家都有自己独特的要求。同时，我们也给许多供应商提出要求。整个过程就像多维矩阵一样复杂。”
纵观整个安全生命周期，内部和外部团队中的很多活动的时间跨度都超过了20年，例如概念阶段的威胁和风险评估、同一级和二级供应商一起制定和实施安全策略、事故报告、包括减少攻击在内的安全系统运营。若想确保端对端、全面的、结构化的组织流程，拥有网络安全生命周期，那么不同团队、知识和解决方案之间的协调是唯一的方法。整个生态系统同样需要一致行动，抵御攻击。
如何改进行业？
为了实现协调并拥有安全生命周期，供应商、整车厂和技术供应商需要建立一个中心平台，对所有汽车网络安全活动进行管理和标准化。这样的网络安全支柱能使整车厂和一级供应商与所有的供应商有效地沟通合作，实时监测并应对网络安全威胁。这是将不断变化的网络安全挑战和快速部署能力相联系的唯一方法。不同的整车厂和一级制造商在应对上文中挑战时，可能采取自己的方法。ISO/SAE 21434风险管理项目组主席John Krzeszewski表示：“每个人自有一套方法，但我们需要统一的方法。”
汽车企业若想拥有网络安全生命周期，就应该形成一个端对端的、全面和结构化的组织流程。换句话说，就是协调整个生命周期。要面对快速变化的汽车网络安全挑战，我们就必须为制造商、零件供应商和技术商建立一个完整的“村落”，提供可视性，以协调的方式满足所有网络安全需要。只有一致反应，我们才能安全应对当前及未来的汽车行业中的挑战。
Nathaniel Meron
首席产品兼营销官
