強標《汽車整車信息安全技術要求》（以下簡稱GB整車強標）
5.2條款中要求OEM：
“建立識別、評估、分類、處置車輛信息安全風險及核實已識別風險得到處置的過程，并確保車輛風險評估保持最新狀態。”
6.4 條款要求：
“車輛制造商應采取基于第7章要求的處置措施保護車輛不受風險評估中已識別的風險影響。若處置措施與所識別的風險不相關，車輛制造商應說明其不相關性。若處置措施不足以應對所識別的風險，車輛制造商應實施其它的措施，并說明其使用措施的合理性。”
由于GB整車強標沒有明確的網絡安全風險處置的方式論，我們可以參考ISO/SAE21434標準以及GB整車強標其他地方中提到的相關內容來探討一下網絡安全風險的處置方法。
風險的識別
無論是GB整車強標還是R155均提到了要求OEM識別、評估車輛所面臨的風險，根據ISO21434的推薦方法，汽車網絡安全風險是通過威脅分析和風險評估（TARA）來確定的。TARA的具體方法論我們已在上一期文章中討論了。
詳情點擊：智能網聯汽車合規課堂（四） | 淺析強標《汽車整車信息安全技術要求》汽車威脅分析與風險評估
經過TARA識別，結合資產的損害影響、攻擊可行性，可以得出最后的網絡安全風險等級。
ISO21434 給出的參考風險矩陣如下：
注意，上圖只是一個示例，OEM可以根據自身的實際情況調整矩陣內容和形式。本文后續討論將依據此圖進行。
風險處置決策
在完成風險分析后, 我們需要針對每一個識別到的風險來做處置決策，風險處置方法包括以下幾種：
·消除風險
·緩解風險
·轉移風險
?·保留風險
我們具體看一下各種處置的內容：
消除風險
消除風險是指通過技術手段完全消除風險，依據經驗，在實際項目中，消除風險并不是很常用。
適用場景：2-5分
實現方式：可以達到消除風險的控制措施包括停用相關功能、移除敏感數據等。
案例：從系統硬件上移除JTAG口可以消除JTAG口未授權訪問風險、 程序設計上不使用敏感個人信息可以消除敏感個人信息泄露風險。
緩解風險
緩解風險（有時稱降低風險）是指通過控制措施的實施，將風險等級降低到可接受的范圍。在實際項目中，緩解風險是最常用的風險處置策略。
適用場景：2-5分
實現方式：由于風險是由資產的損害影響、攻擊可行性兩個因素結合計算的，要降低風險的值，也可以從降低損害影響、降低攻擊可行性兩個角度開展。
案例：
·降低損害影響：降低GPS定位信息的精度可以緩解敏感車輛坐標信息帶來的影響。
·降低攻擊可行性：通過啟用UDS 27服務降低UDS未授權訪問的可行性，通過實施SecOC來降低SecOC消息偽造攻擊可行性。
轉移風險
轉移風險是指將車輛風險轉移至第三方，由第三方承擔風險帶來的后果。
適用場景：2-5分，僅限于只對資產的經濟影響（Financial）的風險，涉及功能安全、隱私、操作等方面的風險不適合進行轉移。
實現方式：通過與三方簽訂相關的協議來實現。
案例：通過保險來轉移車輛/零部件盜竊風險。
保留風險
適用場景：1-5分，從合規角度來說，各個風險等級均可以在特定情況下進行保留，但是涉及到4、5分的功能安全（Safety）風險，不能采用保留風險的方式進行處置。
實現方式：
·對所有采用保留方式進行處置的風險進行網絡安全聲明。
·對3分以上的風險，如果需要采用保留風險，則應需要相關的安全負責人/安全小組進行審批。
·對保留的風險應部署相應的監控手段，防止風險被攻擊者利用。
案例：
·所有評分為1的風險，可以依據策略進行保留；
·涉及到非定制芯片的風險，由于芯片廠商不會因為OEM的需求而改變芯片設計，因此也只能保留相關風險。
結論
風險處置策略是OEM進行網絡安全開發的關鍵需求來源，雖然保留的風險越多則后續的開發工作量越低，但是車輛上市后所面臨的風險也就越高，因此一個具備良好的網絡安全文化的車企，應該盡可能全面的去緩解、消除所有識別到的風險。
更多細致解讀，且聽下回分解
INCHTEK·云馳未來
云馳未來秉承著“讓人與機器安全和諧相處”的理念，專注于為未來的智能汽車提供全生命周期的信息安全解決方案和產品。具備ECU/DCU信息安全開發、整車信息安全正向開發能力，并結合自動駕駛和軟件定義汽車等關鍵技術，基于軟硬結合、車云一體思路，構建智能汽車縱深防御的信息安全體系。
作為智能汽車信息安全技術的引領者，云馳未來已為寶馬、東風汽車、賽力斯、金龍等OEM主機廠和保隆霍富、海拉、恩井汽車、億緯鋰能等Tier1，百度Apollo、京東物流、滴滴、圖森未來、阿里達摩院、三一智礦、文遠知行、輕舟智航、九識智能、云創智行等自動駕駛公司，以及智能網聯示范區提供信息安全整體解決方案。已累計為超過20家OEM及Tier1、20余家自動駕駛公司提供產品與服務。
圍繞智能汽車信息安全產業，公司積極參與國家智能網聯汽車標準體系和產業生態建設，先后成為汽標委、信安標委、通標委會員單位，入選工信部車聯網安全工作專班，承擔國家級車聯網安全試點項目；與CICV創新中心、芯馳科技、地平線、TUV萊茵、曹操出行、易咖智車、北京交通大學等行業伙伴達成深度戰略合作；與CICV創新中心、東風商用車成立車路云一體化聯合創新實驗室。
