强标《汽车整车信息安全技术要求》（以下简称GB整车强标）
5.2条款中要求OEM：
“建立识别、评估、分类、处置车辆信息安全风险及核实已识别风险得到处置的过程，并确保车辆风险评估保持最新状态。”
6.4 条款要求：
“车辆制造商应采取基于第7章要求的处置措施保护车辆不受风险评估中已识别的风险影响。若处置措施与所识别的风险不相关，车辆制造商应说明其不相关性。若处置措施不足以应对所识别的风险，车辆制造商应实施其它的措施，并说明其使用措施的合理性。”
由于GB整车强标没有明确的网络安全风险处置的方式论，我们可以参考ISO/SAE21434标准以及GB整车强标其他地方中提到的相关内容来探讨一下网络安全风险的处置方法。
风险的识别
无论是GB整车强标还是R155均提到了要求OEM识别、评估车辆所面临的风险，根据ISO21434的推荐方法，汽车网络安全风险是通过威胁分析和风险评估（TARA）来确定的。TARA的具体方法论我们已在上一期文章中讨论了。
详情点击：智能网联汽车合规课堂（四） | 浅析强标《汽车整车信息安全技术要求》汽车威胁分析与风险评估
经过TARA识别，结合资产的损害影响、攻击可行性，可以得出最后的网络安全风险等级。
ISO21434 给出的参考风险矩阵如下：
注意，上图只是一个示例，OEM可以根据自身的实际情况调整矩阵内容和形式。本文后续讨论将依据此图进行。
风险处置决策
在完成风险分析后, 我们需要针对每一个识别到的风险来做处置决策，风险处置方法包括以下几种：
·消除风险
·缓解风险
·转移风险
·保留风险
我们具体看一下各种处置的内容：
消除风险
消除风险是指通过技术手段完全消除风险，依据经验，在实际项目中，消除风险并不是很常用。
适用场景：2-5分
实现方式：可以达到消除风险的控制措施包括停用相关功能、移除敏感数据等。
案例：从系统硬件上移除JTAG口可以消除JTAG口未授权访问风险、 程序设计上不使用敏感个人信息可以消除敏感个人信息泄露风险。
缓解风险
缓解风险（有时称降低风险）是指通过控制措施的实施，将风险等级降低到可接受的范围。在实际项目中，缓解风险是最常用的风险处置策略。
适用场景：2-5分
实现方式：由于风险是由资产的损害影响、攻击可行性两个因素结合计算的，要降低风险的值，也可以从降低损害影响、降低攻击可行性两个角度开展。
案例：
·降低损害影响：降低GPS定位信息的精度可以缓解敏感车辆坐标信息带来的影响。
·降低攻击可行性：通过启用UDS 27服务降低UDS未授权访问的可行性，通过实施SecOC来降低SecOC消息伪造攻击可行性。
转移风险
转移风险是指将车辆风险转移至第三方，由第三方承担风险带来的后果。
适用场景：2-5分，仅限于只对资产的经济影响（Financial）的风险，涉及功能安全、隐私、操作等方面的风险不适合进行转移。
实现方式：通过与三方签订相关的协议来实现。
案例：通过保险来转移车辆/零部件盗窃风险。
保留风险
适用场景：1-5分，从合规角度来说，各个风险等级均可以在特定情况下进行保留，但是涉及到4、5分的功能安全（Safety）风险，不能采用保留风险的方式进行处置。
实现方式：
·对所有采用保留方式进行处置的风险进行网络安全声明。
·对3分以上的风险，如果需要采用保留风险，则应需要相关的安全负责人/安全小组进行审批。
·对保留的风险应部署相应的监控手段，防止风险被攻击者利用。
案例：
·所有评分为1的风险，可以依据策略进行保留；
·涉及到非定制芯片的风险，由于芯片厂商不会因为OEM的需求而改变芯片设计，因此也只能保留相关风险。
结论
风险处置策略是OEM进行网络安全开发的关键需求来源，虽然保留的风险越多则后续的开发工作量越低，但是车辆上市后所面临的风险也就越高，因此一个具备良好的网络安全文化的车企，应该尽可能全面的去缓解、消除所有识别到的风险。
更多细致解读，且听下回分解
INCHTEK·云驰未来
云驰未来秉承着“让人与机器安全和谐相处”的理念，专注于为未来的智能汽车提供全生命周期的信息安全解决方案和产品。具备ECU/DCU信息安全开发、整车信息安全正向开发能力，并结合自动驾驶和软件定义汽车等关键技术，基于软硬结合、车云一体思路，构建智能汽车纵深防御的信息安全体系。
作为智能汽车信息安全技术的引领者，云驰未来已为宝马、东风汽车、赛力斯、金龙等OEM主机厂和保隆霍富、海拉、恩井汽车、亿纬锂能等Tier1，百度Apollo、京东物流、滴滴、图森未来、阿里达摩院、三一智矿、文远知行、轻舟智航、九识智能、云创智行等自动驾驶公司，以及智能网联示范区提供信息安全整体解决方案。已累计为超过20家OEM及Tier1、20余家自动驾驶公司提供产品与服务。
围绕智能汽车信息安全产业，公司积极参与国家智能网联汽车标准体系和产业生态建设，先后成为汽标委、信安标委、通标委会员单位，入选工信部车联网安全工作专班，承担国家级车联网安全试点项目；与CICV创新中心、芯驰科技、地平线、TUV莱茵、曹操出行、易咖智车、北京交通大学等行业伙伴达成深度战略合作；与CICV创新中心、东风商用车成立车路云一体化联合创新实验室。
