分散式資安活動練習題

Cybersecurity Interface Agreement (CIA)。
它定義雙方的責任、共享 WP、介面流程。

C。
CIA 是工程文件（不僅是法務），需 CS 專業參與，包含具體技術介面。
參考 04-Distributed-CS-Activities/02-Cybersecurity-Interface-Agreement

相對概念。

• Tier-1 對 Tier-2 而言是客戶；
• Tier-1 對 OEM 而言是供應商。

同一組織在不同關係中扮演不同角色。CIA 需在每一對「客戶-供應商」關係中分別簽訂。

B。
RFQ 階段就應包含資安要求，作為供應商評選的維度之一。事後才談會造成價格、時程衝突。
參考 04-Distributed-CS-Activities/03-Supplier-Capability

B. ISO 27001。
27001 是 IT 資訊安全，不是車輛產品資安。
其他選項：

• A：UN R155 是直接相關（但仍需專案級評估）
• C：過去經驗是強證據
• D：直接展示能力

參考 04-Distributed-CS-Activities/03-Supplier-Capability、02-Organizational-Management/03-Management-Systems

依 CIA 約定流程處理（假設標準 CIA）：

1. 內部驗證（< 24 小時）
   • CSIRT 確認弱點真實性
   • 評估嚴重度（CVSS）與影響範圍
2. 通報 OEM（依 CIA SLA，通常 P1: 1 hr / P2: 4 hr）
   • 透過 CIA 約定的安全通報管道（PGP email / hotline）
   • 提供初步技術細節、影響範圍、緩解建議
3. 啟動 Joint Incident Response
   • 依 CIA 約定的聯合 IR Team 運作
   • 雙方共同擬定處置計畫
4. TARA 更新
   • 評估此弱點對 TARA 的影響（攻擊路徑、攻擊可行性可能變化）
   • 必要時更新 CS Case
5. 修補開發
   • Tier-1 開發修補
   • 雙方協調 OTA 部署計畫（涉及 UN R156 SUMS）
6. 協調揭露
   • 與研究者協調 CVD 流程（通常 90 天揭露窗口）
   • 與 OEM 協調對外公告時機
7. Lessons Learned
   • 更新內部流程
   • 評估其他類似元件是否有相似弱點
8. CSMS 紀錄
   • 事件、處置、結果寫入 CSMS 紀錄（Clause 8）

關鍵原則：

• 不可單方面對外揭露
• 不可拖延 OEM 通報
• 不可只修補不更新 CS Case

參考 04-Distributed-CS-Activities/02-Cybersecurity-Interface-Agreement、10-Operations-Maintenance/01-Incident-Response

B。

• CIA = Cybersecurity Interface Agreement（資安）
• DIA = Development Interface Agreement（功能安全）
• 兩者獨立但可整合為 IDIA（Integrated DIA），避免雙文件

參考 04-Distributed-CS-Activities/02-Cybersecurity-Interface-Agreement

正確觀點：Tier-1 的描述更接近實務，但雙方都需明確界定。

依 ISO 21434 + 業界實務：

• 元件層級 TARA：Tier-1 主責（最了解元件內部）
• 車輛層級 TARA：OEM 主責（最了解整車情境與其他 ECU 互動）
• 介面層級 TARA：通常 OEM 主導，Tier-1 配合

解決方案：

1. 在 CIA 中明確切分 TARA 範圍：

   Tier-1 負責：
     - TCU 內部威脅情境
     - TCU 介面（CAN/Ethernet/Cellular）的元件視角
     - HSM 整合層
   
   OEM 負責：
     - 車輛級 Asset 識別
     - 車輛級 Threat Scenarios（含跨 ECU）
     - 車輛級 Impact Rating（含 SFOP）
     - 整合所有 ECU TARA 為車輛級 TARA
   

2. 交付介面：

   • Tier-1 提供 TCU TARA Report 給 OEM
   • OEM 在車輛級 TARA 中引用 + 檢視

3. 共同 Review：

   • 雙方對齊 Threat Scenarios（避免遺漏或重複）

4. 變更觸發：

   • 任一方 TARA 變更 → 通知對方 → 影響評估

5. 責任最終仲裁：

   • 若仍有歧見，由 OEM 作為車輛級總負責裁決（OEM 擁有 UN R155 認證責任）

保守原則：CIA 不明確時，雙方都應假設自己負責——避免責任真空。

參考 04-Distributed-CS-Activities/02-Cybersecurity-Interface-Agreement、00-Dashboard/Exam-Traps#Trap 6