韓國汽車網(wǎng)絡(luò)安全法規(guī)已正式施行。該法規(guī)自2025年8月起適用于新注冊車型，現(xiàn)有量產(chǎn)注冊車型（量產(chǎn)車）則需在2027年8月前完成合規(guī)方可繼續(xù)銷售。也就是說，對于計劃進(jìn)入韓國市場的汽車制造商而言，應(yīng)對網(wǎng)絡(luò)安全監(jiān)管已不再是可選項，而是必備條件。

然而，整個行業(yè)正面臨著“如何解讀韓國法規(guī)、又該如何應(yīng)對”的現(xiàn)實難題。為填補(bǔ)這一空白，飛斯柯羅策劃了《汽車網(wǎng)絡(luò)安全法規(guī)應(yīng)對指南系列》，該系列將為正在準(zhǔn)備應(yīng)對監(jiān)管要求的企業(yè)提供戰(zhàn)略性的方向指引。

法規(guī)確立原則，技術(shù)落實原則。本篇的主角，是一位同時深諳法律與技術(shù)的人物。曾在韓國汽車安全研究院（KATRI）任職30余年、并親身參與韓國汽車網(wǎng)絡(luò)安全法規(guī)制定的前自動駕駛本部處長金城範(fàn)，接受了本次專訪。

作為推動韓國立法進(jìn)程的核心人物之一，他目前已加入致力于為法規(guī)合規(guī)提供技術(shù)解決方案的“飛斯柯羅”，擔(dān)任技術(shù)顧問。本次訪談將帶您走進(jìn)他連接法律與技術(shù)的深度洞察。

金城範(fàn) 飛斯柯羅技術(shù)顧問（來源：飛斯柯羅）

01

韓國已開始實施汽車網(wǎng)絡(luò)安全法規(guī)，其背景是什么？

隨著車輛從以硬件為中心向以軟件為中心轉(zhuǎn)型，隨著車聯(lián)網(wǎng)時代的全面到來，全球范圍內(nèi)汽車網(wǎng)絡(luò)安全強(qiáng)制化正在加速擴(kuò)散。聯(lián)合國歐洲經(jīng)濟(jì)委員會（UNECE）下設(shè)的世界車輛法規(guī)協(xié)調(diào)論壇（WP.29）于2020年6月制定了《UN R155》。韓國則在此基礎(chǔ)上，于2024年2月依據(jù)《汽車管理法》建立了網(wǎng)絡(luò)安全制度。

該制度的目的在于，確保車輛在外部通信環(huán)境下也能安全行駛。因此，車輛制造商必須在組織內(nèi)部建立可抵御網(wǎng)絡(luò)攻擊和威脅的“網(wǎng)絡(luò)安全管理體系（以下簡稱CSMS）”，并通過相關(guān)認(rèn)證。這不僅要求具備技術(shù)層面的能力，也需要在組織架構(gòu)和整體流程層面做好全面準(zhǔn)備。

政府有權(quán)要求制造商提交資料以確認(rèn)車輛的安全性與可靠性，如違反規(guī)定，將采取撤銷認(rèn)證、暫停效力、責(zé)令停止銷售等措施。

02

韓國《汽車管理法》與 UN R155 的主要差異是什么？

網(wǎng)絡(luò)安全管理體系（CSMS）認(rèn)證用于評估制造商在車輛開發(fā)、生產(chǎn)、運(yùn)行、報廢等全生命周期中，是否建立并運(yùn)行了完善的網(wǎng)絡(luò)安全組織與流程；車輛型式認(rèn)證（VTA）則用于驗證在CSMS中定義的安全對策是否已正確應(yīng)用到實際車輛中。不同之處在于，UN法規(guī)與《汽車管理法》在汽車制造商取得認(rèn)證的時間點上存在差異。

UN R155 采用“事前認(rèn)證制度”，要求在車輛銷售前同時取得兩項認(rèn)證。

而《汽車管理法》原則上采取自我認(rèn)證制度，即由制造商自行確認(rèn)車輛是否符合安全標(biāo)準(zhǔn)后銷售，政府再進(jìn)行事后檢查。但在CSMS認(rèn)證方面，《汽車管理法》例外地引入了事前審批制度。也就是說，CSMS必須在車輛銷售前取得認(rèn)證，而VTA則由制造商自行確保并證明合規(guī)后銷售，銷售后再接受政府的不定期抽查。

現(xiàn)有的汽車安全標(biāo)準(zhǔn)，如碰撞測試、制動測試等項目，都具有明確的量化基準(zhǔn)。以制動測試為例，制動距離是否超過標(biāo)準(zhǔn)值，即使在上市之后也可以進(jìn)行客觀評估。

然而，CSMS 涉及制造商的組織、流程、政策等大量定性要素。例如，法規(guī)中明確要求“應(yīng)設(shè)立專門的安全組織”，但由于各制造商在治理結(jié)構(gòu)、組織形態(tài)及生產(chǎn)規(guī)模等方面存在差異，要對“安全專門組織”設(shè)定統(tǒng)一的量化或具體標(biāo)準(zhǔn)并不容易。因此，CSMS 采用了事前審批制度，在認(rèn)證階段對相關(guān)流程是否已被妥善構(gòu)建進(jìn)行預(yù)先審查。

03

鑒于 UN R155 已率先實施，應(yīng)該已經(jīng)有企業(yè)取得了相關(guān)認(rèn)證。那么，針對韓國《汽車管理法》，還需要補(bǔ)充或完善哪些方面？

UN R155 的 CSMS 認(rèn)證主要圍繞12個核心項目進(jìn)行評估?！镀嚬芾矸ā吩诖嘶A(chǔ)上，將這12個項目細(xì)化為多個子項目，并針對每一項都明確要求制造商提交具體意見與證明材料。因此，即便企業(yè)已經(jīng)取得 UN R155 認(rèn)證，也必須按照韓國標(biāo)準(zhǔn)進(jìn)行額外補(bǔ)充與完善。

這并非簡單翻譯現(xiàn)有文件或形式化提交即可，而是需要準(zhǔn)確理解各項條款的立法意圖，并系統(tǒng)性準(zhǔn)備能夠加以證明的資料。若要“一次性”順利通過認(rèn)證，前期的精細(xì)化籌備與周密規(guī)劃是不可或缺的。

04

尚未取得 UN R155 認(rèn)證的進(jìn)口商或中小型制造商，應(yīng)從哪里著手？

首先應(yīng)從構(gòu)建 CSMS 開始。CSMS 并非單純的技術(shù)要求，而是一套涵蓋整個組織安全治理的管理體系。最重要的是打造“可持續(xù)運(yùn)作的體系”。只要明確建立以下基本結(jié)構(gòu)——組織與流程建設(shè) → TARA（Threat Analysis and Risk Assessment，威脅分析與風(fēng)險評估）→ 安全功能應(yīng)用與驗證 → 事后監(jiān)測與應(yīng)對，無論是在認(rèn)證準(zhǔn)備階段，還是在應(yīng)對外部審查時，都能夠?qū)崿F(xiàn)一致且有序的應(yīng)對。

首先，應(yīng)明確組織內(nèi)部的角色與責(zé)任，制定網(wǎng)絡(luò)安全政策與運(yùn)營流程，并在開發(fā)、生產(chǎn)及售后階段全生命周期內(nèi)持續(xù)維持。隨后，需建立 TARA 流程，系統(tǒng)性識別安全威脅與漏洞，并將相應(yīng)的應(yīng)對策略進(jìn)行文檔化。由于這是認(rèn)證的核心基礎(chǔ)，即便安全組織規(guī)模較小，也必須具備這一體系。

此外，還需建立持續(xù)監(jiān)測與事故響應(yīng)體系，以便在發(fā)生網(wǎng)絡(luò)攻擊或異常征兆時能夠迅速應(yīng)對。進(jìn)一步而言，還應(yīng)構(gòu)建覆蓋多家合作伙伴的供應(yīng)鏈管理體系，從而確保相互關(guān)聯(lián)的整個生態(tài)系統(tǒng)層面的安全可信性。

05

汽車制造商在應(yīng)對韓國《汽車管理法》時需要注意哪些要點？

目前，大多數(shù)汽車制造商都將重心放在 CSMS 認(rèn)證上，但必須同時把 VTA 一并納入考量。正如前面所說，CSMS評估的是組織與流程，而 VTA 則用于確認(rèn)網(wǎng)絡(luò)安全措施是否在實際車輛中得到有效落實。僅憑完善文檔并不足以取得認(rèn)證。為應(yīng)對 VTA，必須在控制器與整車層面開展多種安全測試，從多個維度驗證網(wǎng)絡(luò)安全的穩(wěn)健性與有效性。

歸根結(jié)底，只有從政策與流程到實際車輛落地實現(xiàn)進(jìn)行一體化推進(jìn)，汽車網(wǎng)絡(luò)安全體系才算真正構(gòu)建完成，這一點務(wù)必要牢記。

此外，網(wǎng)絡(luò)安全絕不止于取得認(rèn)證。企業(yè)應(yīng)將網(wǎng)絡(luò)安全內(nèi)嵌于整體運(yùn)營中，在全生命周期內(nèi)持續(xù)迭代升級。如果還能具備在突發(fā)事故中迅速恢復(fù)的“網(wǎng)絡(luò)韌性”，企業(yè)的未來競爭力將得到進(jìn)一步強(qiáng)化。

審核編輯 黃宇