2. 汽车网络安全合规基础概念
第 2 章 · 合规基础概念
UN R155/R156 · ISO 21434 · GDPR · 数据安全法
高频面试题 · 回答框架 · 公司侧重点
📌 本章核心： 汽车网络安全合规面试中，法规与标准是必考基础。面试官不仅考察你能否准确说出 UN R155/R156、ISO 21434、GDPR 和数据安全法的核心要求，更关注你如何将这些要求映射到实际开发流程、风险管理与数据治理中。以下 3 个问答卡片覆盖最高频考点，并附回答框架与避坑提醒。
请简述 UN R155 和 UN R156 的核心要求，以及它们对车企的影响。
🎯 面试官考察点 法规理解 · 业务影响
- 能否准确区分 R155（网络安全）与 R156（软件更新）的管辖范围
- 是否理解 CSMS（网络安全管理体系）和 SUMS（软件更新管理体系）的强制认证要求
- 能否结合整车开发流程说明合规落地节点
🧩 回答框架 定义 → 要求 → 影响
- 定义： UN R155 针对车辆网络安全，要求建立 CSMS；UN R156 针对软件更新，要求建立 SUMS。
- 核心要求： 车企需通过体系认证，证明具备风险识别、漏洞管理、更新安全等能力。
- 业务影响： 车型准入欧洲市场必须合规，推动 TARA、安全编码、OTA 安全流程落地。
UN R155 要求车企建立网络安全管理体系（CSMS），覆盖风险评估、漏洞响应等；UN R156 则针对软件更新管理体系（SUMS），确保 OTA 安全可靠。两者共同构成欧盟整车型式认证的强制门槛，直接影响车型能否进入欧洲市场，也倒逼研发流程嵌入安全活动。
🔍 可能追问： CSMS 和 ISO 21434 是什么关系？—— 答：ISO 21434 提供工程实施标准，CSMS 是法规要求的体系框架，二者互补。
⚠️ 避坑提醒： 不要混淆 R155 和 R156 的适用范围，R156 侧重软件更新，R155 侧重网络安全整体管理。
ISO 21434 与 UN R155 如何协同？在项目中如何落地？
🎯 面试官考察点 标准融合 · 工程实践
- 是否理解 ISO 21434 是 R155 的技术支撑标准
- 能否描述 TARA、安全概念、验证确认等关键活动
- 是否具备将标准要求映射到 V 模型开发流程的能力
🧩 回答框架 关系 → 落地 → 证据
- 关系： R155 是法规目标，ISO 21434 是达成目标的方法论。
- 落地： 在概念阶段做 TARA，设计阶段定义安全需求，测试阶段验证，量产阶段监控。
- 证据： 输出网络安全案例、安全需求规范、测试报告等，支撑 CSMS 审核。
ISO 21434 为 UN R155 提供工程落地路径。项目中我们会在概念阶段执行 TARA，识别资产与威胁；设计阶段将安全需求分配到软硬件；测试阶段进行渗透测试与漏洞扫描；量产阶段持续监控并响应。所有活动输出文档，作为 CSMS 认证证据。
🔍 可能追问： TARA 在概念阶段具体怎么做？—— 答：先定义资产和边界，再分析威胁场景，评估影响与攻击可行性，最后确定风险等级与处置措施。
⚠️ 避坑提醒： 不要只谈标准条款，要结合具体项目阶段说明输入输出物，体现工程化思维。
GDPR 与数据安全法在汽车数据合规中的主要差异是什么？
🎯 面试官考察点 数据合规 · 域外效力
- 能否对比 GDPR 与数据安全法的核心原则与管辖范围
- 是否理解汽车数据（如位置、车况、用户画像）的合规要求
- 能否说明跨境数据传输的合规路径
🧩 回答框架 管辖 → 原则 → 汽车场景
- 管辖： GDPR 保护欧盟境内数据主体，具域外效力；数据安全法侧重中国境内数据处理活动。
- 原则： GDPR 强调用户同意、最小化、被遗忘权；数据安全法强调数据分类分级、重要数据保护。
- 汽车场景： 车外视频、位置轨迹等属敏感数据，需单独授权；跨境传输需通过安全评估或标准合同。
GDPR 与数据安全法都强调数据保护，但 GDPR 以个人权利为中心，要求明示同意和可携带权；数据安全法更侧重数据分类分级和国家安全。在汽车场景中，车外视频、位置轨迹等敏感数据需单独授权，跨境传输需通过安全评估或标准合同，两者合规要求需同时满足。
🔍 可能追问： 汽车数据出境如何合规？—— 答：需进行数据出境安全评估，或签订标准合同并备案，同时满足个人信息保护认证等要求。
⚠️ 避坑提醒： 不要将 GDPR 与数据安全法混为一谈，注意两者在立法目的、管辖范围和执行机制上的差异。
🏢 公司侧重点 · 面试风格差异
| 公司类型 | 侧重法规/标准 | 面试风格 |
|---|---|---|
| 外资 Tier1 / 主机厂 | UN R155/R156、ISO 21434、GDPR | 深挖标准条款与流程落地，常问 TARA 细节与 CSMS 审核经验 |
| 国内新势力 / 自主品牌 | 数据安全法、汽车数据安全规定、ISO 21434 | 关注数据分类分级、跨境合规、OTA 安全与用户授权设计 |
| 检测认证机构 | UN R155/R156、ISO 21434、GDPR | 考察法规解读能力、审核经验与测试方法，强调证据链完整性 |
| 安全方案供应商 | ISO 21434、数据安全法、GDPR | 侧重技术方案与合规结合，如 IDS、HSM、安全更新架构 |
《汽车网络安全合规面试实战题库》· 第 2 章 · 共 30 章