模擬試題 1：基礎觀念 + 生命週期

C. 2021（2021 年 8 月聯合發布）

B. 5-15。Clause 1-3 為範圍/參考/術語，Clause 4 為一般考量，Annex 多為 informative。

C. HARA（Hazard Analysis and Risk Assessment）是 ISO 26262 概念。

B。CIA 是工程文件，需 CS 專業參與，加上適當層級權威。

C. 3 年

C. Vehicle-level

B。CAL（21434 Annex E）與 ASIL（26262）獨立。

B. Medium。
0-13: High / 14-19: Medium / 20-24: Low / ≥25: Very Low
18 落於 14-19 → Medium

D。Objectives 不可裁適——必須達成。

B. Road User

A, B, C, D（Safety 也是 SFOP 的 S，但題目沒打星號因排版）。
正確答案：A, B, C, D（SFOP = Safety, Financial, Operational, Privacy）。
E. Performance 不在 SFOP 中。

A, B, C, D。
「Ignore」不是合法處置——所有風險都需被有意識地決策（即使 Retain 也需文件化）。

A, B, C, D。E 屬於設計階段。

1. Asset Identification：識別「有價值」需保護的對象
2. Threat Scenario Identification：識別「如何威脅」這些 asset
3. Impact Rating：評估若被威脅實現的「後果嚴重度」(SFOP)
4. Attack Path Analysis：分析「攻擊者要走哪些步驟」實現威脅
5. Attack Feasibility Rating：評估「最容易那條 path」的可行性
6. Risk Value Determination：結合 Impact × Feasibility 得「風險值」
7. Risk Treatment Decision：決定處置策略（Avoid/Reduce/Share/Retain）
8. 持續監控與更新：TARA 是 living document

比較	CS Plan	CS Case
時序	事前計畫	事後 / 進行中累積證據
內容	將做什麼、誰做、何時做	已做什麼 + 達成證據
結構	活動清單、RASIC、時程	Claim - Argument - Evidence
階段	Clause 6 制定，持續更新	Clause 6 持續累積至 Release

關係：CS Plan 規範 CS Case 將如何被論證。執行 Plan 過程中累積證據填入 Case。

兩者都是 Living Document，且都會被 Cybersecurity Assessment 檢視。

涵蓋四個子活動：

1. Cybersecurity Monitoring（8.3）：內外部情報蒐集
2. Event Assessment（8.4）：Triage，判斷是否為事件/弱點
3. Vulnerability Analysis（8.5）：對弱點深度分析
4. Vulnerability Management（8.6）：決定處置並追蹤完成

生命週期範圍：

• 從：CSMS 在組織內生效之時
• 到：產品除役（Decommissioning）為止

是橫貫活動，不專屬任何單一階段或專案。

必須全部滿足：

1. Cybersecurity Case 完成
2. Cybersecurity Validation 通過（Clause 11）
3. Cybersecurity Assessment 通過（獨立評估）
4. 所有 TARA 風險已處置或明確接受
   • 未處置的 High/Very High 風險 → 不可 Release
5. 殘餘風險已被適當層級接受 + 文件化
6. 後開發工件已準備：
   • Incident Response Plan
   • Update Management Plan
   • EoS Plan（初稿）
   • Operational Monitoring Plan
7. CIA 已關閉所有 open items（分散開發情境）
8. 法規文件齊備（如 UN R155 對應）

通過後責任移轉至 Operations & Maintenance 團隊。

兩組標準/法規處理不同主題：

組	主題	範圍
ISO 21434 + UN R155	整體資安 + CSMS	全生命週期、所有資安活動
ISO 24089 + UN R156	軟體更新工程 + SUMS	專注軟體更新流程（含 OTA + 非 OTA）

不是從屬：

• 一個產品可能符合 R155 但不需 R156（無更新功能）
• 一個產品可能符合 R156 但屬於 R155 範圍外（如 non-vehicle）

重疊處：

• OTA 更新的資安面（R155 + R156 都涉及）
• 變更管理 → CS Case 更新

認證分別進行：R155 CSMS 認證 + R156 SUMS 認證。

步驟：

1. 觸發 Clause 8 流程：
   • Monitoring 蒐集到此新技術
   • Event Assessment → Vulnerability Analysis
2. TARA 更新（Clause 15）：
   • 重評該 Threat Scenario 的 Attack Feasibility
   • 重新計算 Risk Value
3. Risk Treatment 重評：
   • Low Risk 時可能 Retain
   • High Risk 時通常需 Reduce
4. CS Case 更新：
   • 加入此次重評紀錄
   • 加入修補措施證據
5. 若已 Release：
   • 啟動 Clause 13 弱點管理
   • OTA 修補（依 UN R156 SUMS）
   • 通知客戶、監管機構（視嚴重度）
6. 跨組織通報（依 CIA）：
   • 通知 OEM
   • 評估其他類似元件
7. CSMS 紀錄：
   • Lessons Learned
   • 更新 Monitoring 過程（為何先前未發現）

Internal 來源：

1. 內部 IDS / SIEM
2. 客戶服務回饋 / 保固紀錄
3. 內部 Pen Test / Bug Bounty 結果
4. Incident Response 紀錄
5. 開發過程的 SAST / DAST 發現

External 來源：6. CVE 資料庫（MITRE、NIST NVD）7. CERT 通告（CERT-EU、JPCERT 等）8. ISAC（如 Auto-ISAC）9. 學術研究（Black Hat、DEF CON）10. 供應商安全公告 11. 政府 / 監管警示（NHTSA、ENISA、UN）12. 公開的競爭者召回 / 公告

關鍵：不只技術監控（IDS），還含情報蒐集。