4. ISO 21434 与合规体系高频问题
第4章：ISO 21434 与合规体系高频问题
标准框架 · TARA · CSMS · 考察点 · 回答框架
车载网络安全面试中，ISO/SAE 21434 是必考标准。面试官不仅考察你对标准条款的记忆，更关注你能否将 TARA、CSMS 落地到实际项目中。本章通过 3 个高频问答卡片和 1 个真实项目模板，帮你建立结构化回答路径。
Q1
请简述 ISO/SAE 21434 的核心框架，以及它与 ISO 26262 的主要区别。
面试官考察点
- 对标准整体结构的理解，是否只停留在“网络安全”四个字
- 能否区分功能安全（ISO 26262）与网络安全（ISO 21434）的边界
- 是否具备体系化思维，而非零散知识点
回答框架
- 标准定位：ISO 21434 是道路车辆网络安全工程标准，覆盖概念、开发、生产、运维、报废全生命周期。
- 核心模块：组织级网络安全管理、项目级网络安全管理、TARA、漏洞管理、事件响应。
- 与 26262 区别：26262 关注功能安全（避免系统失效导致危害），21434 关注网络安全（防止恶意攻击导致危害）。两者互补，需协同。
示例回答：ISO 21434 是车辆网络安全全生命周期标准，核心包括组织级 CSMS、项目级管理、TARA、漏洞管理和事件响应。与 ISO 26262 的区别在于：26262 防系统失效，21434 防恶意攻击，两者需协同，共同保障车辆安全。
可能追问：“TARA 在 21434 中处于什么位置？”“CSMS 和项目级网络安全管理是什么关系？”
避坑提醒：不要只背条款编号，要讲清楚标准之间的逻辑关系；避免把 21434 和 26262 混为一谈。
Q2
请详细说明 TARA 的步骤，并举例说明如何评估威胁和风险。
面试官考察点
- 是否真正做过 TARA，还是只了解概念
- 对资产识别、威胁场景、攻击路径、风险值的理解深度
- 能否结合具体案例（如 CAN 总线、OTA）说明
回答框架
- 资产识别：识别需要保护的资产（如 ECU、CAN 报文、密钥、固件）。
- 威胁场景：分析可能被攻击的路径（如 CAN 注入、OTA 篡改、诊断接口滥用）。
- 攻击可行性：评估攻击复杂度、时间、知识、设备等。
- 影响分析：从安全（S）、财务（F）、运营（O）、隐私（P）四个维度评估。
- 风险值计算：风险 = 攻击可行性 × 影响，确定风险等级并制定处置策略。
示例回答：以 CAN 总线为例，资产是报文和 ECU。威胁场景包括伪造报文、重放攻击。攻击可行性中等，影响涉及安全（S3）和运营（O2）。风险值较高，处置策略为增加 SecOC 和 IDS 检测，并定期审计。
可能追问：“风险处置策略有哪些？”“如何验证 TARA 的结果？”
避坑提醒：不要只列步骤，要结合具体项目案例；避免忽略攻击可行性评估，只谈影响。
Q3
什么是 CSMS？在项目中如何建立和运行 CSMS？
面试官考察点
- 对 CSMS 的理解是否停留在“流程文件”层面
- 能否说明 CSMS 的组成要素和运行机制
- 是否具备从 0 到 1 搭建或参与运行的经验
回答框架
- 定义：CSMS 是网络安全管理体系，覆盖组织、项目、运维全生命周期。
- 核心要素：安全策略、角色职责、TARA 流程、漏洞管理、事件响应、审计与改进。
- 建立步骤：差距分析 → 制定策略 → 定义流程 → 工具落地 → 培训与审计。
- 运行机制：持续监控、定期 TARA 更新、漏洞闭环、事件响应演练。
示例回答：CSMS 是覆盖全生命周期的网络安全管理体系。建立时先做差距分析，再制定策略和流程，定义角色职责，引入 TARA 和漏洞管理工具。运行中持续监控、定期审计、闭环漏洞，并通过事件响应演练验证有效性。
可能追问：“CSMS 审计需要准备哪些证据？”“如何衡量 CSMS 的有效性？”
避坑提醒：不要只谈流程文件，要强调持续运行和闭环管理；避免忽略组织级与项目级的衔接。
真实项目模板：某主机厂 CSMS 落地与 TARA 实践
项目名称
智能网联汽车 CSMS 体系搭建与 TARA 实施
业务背景
为满足 WP.29 R155 法规要求，需建立企业级 CSMS 并通过车型 TARA 认证。
规模指标
覆盖 3 个平台、12 款车型、200+ ECU
技术栈
ISO 21434
TARA
SecOC
IDS
PKI
核心难点
- 跨部门协作：研发、质量、IT、法务对 CSMS 理解不一致，需统一语言和流程。
- TARA 落地：资产识别颗粒度难统一，威胁场景库不完善，风险值计算主观性强。
- 工具链整合：漏洞管理、TARA 工具与现有研发流程（如 ASPICE）集成困难。
面试高频追问
- “你们 TARA 的资产识别粒度是怎么定的？”
- “CSMS 审计时，如何证明流程有效运行？”
- “遇到跨部门阻力时，你是怎么推动的？”
- “漏洞管理闭环的周期是多久？如何度量？”
可迁移回答话术
- “在 CSMS 落地中，我采用‘先试点、后推广’策略，先在一个车型上跑通 TARA 和漏洞管理流程，再复制到其他平台。”
- “针对 TARA 主观性问题，我们建立了威胁场景库和评分校准机制，定期组织跨团队评审，确保一致性。”
- “为了推动跨部门协作，我牵头制定了网络安全角色职责矩阵（RACI），并定期向管理层汇报风险与进展。”
✅ 本章重点：掌握 ISO 21434 框架、TARA 五步法、CSMS 建立与运行，并能结合项目案例说明落地经验。