ISO/SAE 21434:2021 道路車輛網路安全工程內部稽核員培訓課程
ISO/SAE 21434:2021 道路車輛網路安全工程內部稽核員培訓課程
ISO/SAE 21434 是道路車輛網路安全工程標準，協助企業管理車用電氣／電子（E/E）系統、零組件與介面的網路安全風險。其範圍涵蓋概念、開發、生產、使用維護及除役，適用於參與車用電子開發與供應的組織。
本課程適合車廠、零組件、車用軟體及半導體供應鏈的品質、研發、資安與專案人員。學員將練習檢查流程是否落實、工程證據是否完整，以及弱點發現後是否有人負責處理，協助企業準備客戶稽核與供應鏈審查。
課程採用哪些標準，目前是否已有新版？
截至本文更新日，ISO/SAE 21434:2021 仍是正式發布版本，第二版已啟動修訂。課程以正式發布文件為依據，並追蹤修訂進度，不將開發中的版本視為已生效要求。
| 文件 | 目前狀態 | 課程用途 |
|---|---|---|
| ISO/SAE 21434:2021 | 已發布，列入修訂 | 車輛網路安全工程與流程查核主體 |
| ISO/SAE AWI 21434 | 第二版開發中 | 追蹤改版方向，尚未取代 2021 版 |
| ISO/PAS 5112:2022 | 已發布，預定由新版取代 | 組織網路安全管理系統的稽核指引 |
| ISO/TS 5112 | 出版準備階段 | 正式發布後評估教材與稽核方法更新 |
ISO/PAS 5112 補充 ISO 19011 的稽核方法，涵蓋稽核方案、執行、稽核員能力與證據提供。其重點是組織層級的網路安全管理系統（CSMS），並不提供產品網路安全評估指引。
ISO/SAE 21434 與 UN R155 有何不同？
ISO/SAE 21434 提供工程與管理要求；UN R155 則涉及車輛網路安全及 CSMS 的法規核准。採用標準有助於準備相關證據，但不能直接等同取得 UN R155 核准。
| 比較項目 | ISO/SAE 21434 | UN R155 |
|---|---|---|
| 性質 | 國際工程標準 | 車輛網路安全與 CSMS 的聯合國車輛法規 |
| 關注對象 | 車廠及供應鏈承擔的網路安全活動 | 適用車型及車輛製造商的 CSMS |
| 企業應用 | 建立流程、風險管理與工程證據 | 依適用制度辦理 CSMS 合規證明及車型核准 |
| 完成培訓的效果 | 提升標準理解與稽核能力 | 不會自動取得法規核准 |
是否適用 UN R155，須依銷售市場、車輛類別、核准制度及適用修訂版本判定。供應商亦可能透過客戶要求承擔資料交付、弱點通報與風險管理責任；不能因為不生產整車就忽略相關要求。
哪些企業與人員適合參加，需要具備什麼基礎？
適合負責車用電子產品、嵌入式軟體或相關流程管理的人員。例如電子控制單元（ECU）、車載通訊、車用晶片及軟體供應商，以及負責供應商管理、品質保證與內部稽核的團隊。
建議學員具備產品開發、需求管理及基本資安概念。品質人員可先補足車用系統與風險分析基礎；技術人員則可透過課程加強稽核規劃、訪談與不符合事項撰寫能力。
課程範圍應依企業實際責任設定。只負責特定元件或製造活動的供應商，可聚焦自身交付內容及與客戶的責任介面，無須照搬整車廠的全部活動。
內部稽核與產品網路安全評估有何差異？
內部稽核主要判斷組織流程是否達成標準目標；網路安全評估則針對項目或零組件的網路安全作出判斷。兩者可以使用相關專案證據，但目的與能力需求不同。
| 活動 | 查核重點 | 典型證據 |
|---|---|---|
| 組織網路安全稽核 | 流程是否建立、執行並有效運作 | 職責、能力紀錄、程序及專案抽樣紀錄 |
| 網路安全評估 | 項目或零組件的網路安全是否有充分論證 | 風險分析、工程成果、驗證與確認證據、網路安全論證 |
ISO/SAE 21434 要求組織網路安全稽核獨立執行，稽核人員可以來自內部或外部。企業指派人員時，應同時確認其能力與獨立性，避免讓流程負責人自行判定自己工作的符合性。
課程會學到哪些標準內容與查核方法？
課程將標準要求轉成查核問題，並以專案資料驗證流程是否落實。下表為建議課綱，會依產品、開發責任與學員背景調整；實際查核仍須對照適用條文與客戶要求。
| 課程主題 | 對應章節 | 案例查核重點 |
|---|---|---|
| 組織及專案管理 | 第 5、6 章 | 職責、能力、網路安全計畫及活動調整依據 |
| 供應鏈責任介面 | 第 7 章 | 客戶與供應商的工作分工、交付及溝通安排 |
| 持續性網路安全活動 | 第 8 章 | 監控資訊、弱點分析與處理紀錄 |
| 概念與風險分析 | 第 9、15 章 | 項目定義、TARA 與網路安全目標 |
| 開發及網路安全確認 | 第 10、11 章 | 需求、設計、驗證與確認證據的對應 |
| 生產至停止支援及除役 | 第 12–14 章 | 生產控制、事件回應、更新及停止支援安排 |
如何查核 TARA 的分析依據？
TARA 是威脅分析與風險評估。課程會以模擬案例練習檢查資產、威脅情境及風險處理決定之間的關係，並追問假設、判斷理由與審查紀錄是否清楚。
例如，產品增加新的通訊介面後，稽核員應追查變更是否觸發風險分析更新，以及相關需求與測試是否同步調整。對於超出自身能力的技術判斷，應安排具備相應專長的人員參與。
如何查核弱點通報與後續處理？
課程可使用一筆模擬弱點通報，檢查企業是否確認受影響版本、評估風險、指定處理責任並留下結案依據。這能幫助學員辨識「已收到資訊，但沒有後續處置」的流程缺口。
如何把發現寫成可改善的不符合事項？
學員將練習依「適用要求、客觀證據、實際差距」撰寫發現。報告應讓受稽核部門知道缺少哪項證據或哪個活動未執行，便於分析原因與驗證改善效果。
課程如何安排，建議需要多少時間？
已有相關基礎的團隊，可規劃三天、共 21 小時的內訓。以下為建議安排，並非 ISO 統一規定的取證時數；初學者可另外安排基礎補強。
| 安排 | 建議時數 | 學習與實作內容 |
|---|---|---|
| 課前基礎補強，視需要選配 | 7 小時 | 車用 E/E 系統、資安概念、生命週期與工程文件 |
| 第一天 | 7 小時 | 標準架構、UN R155 關係、組織管理與稽核範圍 |
| 第二天 | 7 小時 | TARA 判讀、開發證據、供應鏈介面及弱點管理 |
| 第三天 | 7 小時 | 模擬稽核、訪談、不符合事項、報告及改善追蹤 |
稽核課程以流程查核與證據判讀為主。完整 TARA 建置、安全架構設計、滲透測試或產品評估能力，需要另外安排專題訓練及專案實務。
學員如何完成演練，能帶回哪些成果？
建議以一組連貫案例完成稽核演練，讓學員熟悉查核與改善追蹤的完整流程。企業可提供經授權及去識別化的資料，作為客製化案例。
| 步驟 | 練習工作 | 預期產出 |
|---|---|---|
| 1. 規劃 | 界定範圍、準則、角色與抽樣方式 | 稽核計畫草案 |
| 2. 準備 | 把要求轉成訪談問題與證據清單 | 稽核查檢表 |
| 3. 執行 | 比對程序、訪談與專案紀錄 | 客觀證據及發現 |
| 4. 報告 | 說明差距、依據與受影響範圍 | 稽核報告草案 |
| 5. 追蹤 | 檢查原因、措施及有效性 | 改善追蹤紀錄 |
學習評量可結合測驗、案例討論與報告審查。正式獨立執行稽核前，企業仍應確認學員的技術背景、實務表現及稽核能力。
報名前，費用、難度與認證風險有哪些常見疑問？
培訓費用如何計算？
依班級人數、時數、授課語言、方式及案例深度評估。報價前應確認交付內容，避免把課程、顧問輔導與第三方評估混為一筆費用。
| 費用項目 | 詢價時應確認 |
|---|---|
| 授課與教材 | 時數、人數、語言及是否包含測驗 |
| 案例客製化 | 是否包含需求訪談與企業文件預審 |
| 現場服務 | 地點、差旅及場地設備 |
| 額外資源 | 正版標準、軟體工具及課後輔導是否另計 |
| 外部評估或認證 | 是否另案辦理，以及接受方的要求 |
沒有程式設計或滲透測試經驗，可以參加嗎？
可以，但應具備或先補足基本資安與產品開發概念。稽核員不一定親自執行所有技術測試，但必須能理解查核範圍、辨識證據不足，並知道何時需要技術專家支援。
完成課程就能取得國際認證稽核員資格嗎？
課程結業證明不等同第三方人員認證。如安排發證，應依約定的出席與評量條件辦理；是否符合客戶或特定認證方案的資格要求，須另外確認。
有 IATF 16949 或 ISO/IEC 27001，能直接符合本標準嗎？
不能直接推定符合。既有管理制度可以作為基礎，但仍需查核車用產品的網路安全活動、工程證據與供應鏈責任是否到位，並補足相關缺口。
課程能保證通過客戶稽核或 UN R155 核准嗎？
不能保證。培訓提升的是人員能力；外部接受與法規核准仍取決於實際流程、產品證據、適用要求及核准機構的審查結果。
還有哪些主題值得延伸閱讀？
可依團隊職責搭配以下主題，深化課後應用：
車用 TARA 威脅分析與風險評估實務：練習風險分析及處理決定。
UN R155 與 CSMS 導入準備：理解法規核准、供應鏈資料及持續監控要求。
車用軟體更新與 UN R156：了解更新管理與網路安全的介面。
ISO 26262 道路車輛功能安全：建立功能安全與網路安全團隊的協作。
下一步如何執行，ODI MORGAN 能提供哪些服務？
先提供產品類型、供應鏈角色、開發責任、客戶要求及參訓人員背景。如已有網路安全計畫、TARA 或客戶稽核缺失，可提供經授權的資料，協助確認課程深度與優先改善項目。
ODI MORGAN 可依需求整合 ISO/SAE 21434 內部稽核員培訓、TARA 專題課程、CSMS 差距分析、供應鏈責任介面梳理、模擬稽核與改善追蹤服務。
聯繫 ODI MORGAN，先確認培訓目標與稽核範圍，再安排適合團隊的課程及實作，將學習成果落實到工程紀錄、風險管理與客戶交付。
