道路车辆信息安全活动、接口协议模版、保障等级、影响评级准则、攻击可行性评级指南、TARA方应用

GB/T XXXXX—XXXX/ISO/SAE 21434:2021 40 A A 附录A （资料性） 信息安全活动和工作成果摘要 A.1综述 表A.1提供了信息安全活动及其相应工作成果的摘要，可以帮助组织管理这些活动，确保信息安全 活动的覆盖面并了解项目的潜在工作量。 概念和产品开发阶段的活动是在信息安全计划中确定的， 因此 这些活动的工作成果都在信息安全评估的范围内。 第16章列出的所有工作成果在其他章节中被记录为工 作成果。 表 A.1 本文件的信息安全活动和工作成果 子章工作成果 组织的信息安全管理 5.4.1 信息安全治理[WP-05-01]信息安全方针、规则和过程 5.4.2 信息安全文化 [WP-05-01]信息安全方针、规则和过程 [WP-05-02]能力管理、意识管理和持续改进的证据 5.4.3 信息共享[WP-05-01]信息安全方针、规则和程序 5.4.4 管理体系[WP-05-03]组织管理体系的证据 5.4.5 工具管理[WP-05-04]工具管理的证据 5.4.6 信息安全管理[WP-05-03]组织管理体系的证据 5.4.7 组织层面的信息安全审核[WP-05-05]组织层面的信息安全审核报告 项目相关的信息安全管理 6.4.1 信息安全职责及其分配[WP-06-01]信息安全计划 6.4.2 信息安全计划[WP-06-01]信息安全计划 6.4.3 裁剪[WP-06-01]信息安全计划 6.4.4 复用[WP-06-01]信息安全计划 6.4.5 独立于环境的组件[WP-06-01]信息安全计划 6.4.6 现成组件[WP-06-01]信息安全计划 6.4.7 信息安全档案[WP-06-02]信息安全档案 6.4.8 信息安全评估[WP-06-03]信息安全评估报告 6.4.9 后续开发的发布[WP-06-04]后开发阶段的发布报告 分布式信息安全活动 7.4.1 供应商的能力无 7.4.2 询价无 7.4.3 职责的协调[WP-07-01]信息安全接口协议 持续的信息安全活动 8.3 信息安全监测 [WP-08-01]信息安全情报来源 [WP-08-02]触发器 [WP-08-03]信息安全事态 8.4 信息安全事态评估[WP-08-04]来自信息安全事态的弱点 GB/T XXXXX—XXXX/ISO/SAE 21434:2021 41 子章工作成果 8.5 漏洞分析[WP-08-05]漏洞分析的结果 8.6 漏洞管理[WP-08-06]漏洞管理证据 概念阶段 9.3 相关项定义[WP-09-01]相关项定义 9.4 信息安全目标[WP-09-02]TARA [WP-09-03]信息安全目标 [WP-09-04]信息安全声明 [WP-09-05]信息安全目标的验证报告 9.5 信息安全概念[WP-09-06]信息安全概念 [WP-09-07]信息安全概念的验证报告 产品开发阶段 10.4.1 设计 [WP-10-01]信息安全规范 [WP-10-02]开发后的信息安全需求 [WP-10-03]建模、设计或编程语言和编码指南的文件 [WP-10-04]信息安全规范的验证报告 [WP-10-05]产品开发过程中发现的弱点 10.4.2 集成和验证 [WP-10-05]产品开发过程中发现的弱点 [WP-10-06]集成和验证规范 [WP-10-07]集成和验证报告 11 信息安全的确认[WP-11-01]确认报告 后开发阶段 12 生产[WP-12-01]生产控制计划 13.3 信息安全事件应对[WP-13-01]信息安全事件响应计划 13.4 更新无 14.3 信息安全支持终止[WP-14-01]信息安全支持终止沟通程序 14.4 报废无 威胁分析和风险评估方法 15.3 资产识别 [WP-15-01]危害场景 [WP-15-02]具有信息安全属性的资产 15.4 威胁场景识别[WP-15-03]威胁场景 15.5 影响评级[WP-15-04]相关影响类别的影响等级 15.6 攻击路径分析[WP-15-05]攻击路径 15.7 攻击可行性评级[WP-15-06]攻击可行性等级 15.8 风险值确定[WP-15-07]风险值 15.9 风险处置决策[WP-15-08]风险处置决策 GB/T XXXXX—XXXX/ISO/SAE 21434:2021 42 B B 附录B （资料性） 信息安全文化示例 B.1薄弱的和强大的信息安全文化示例 表B.1提供了一个薄弱的信息安全文化示例和强大的信息安全文化示例。 表 B.1 薄弱的和强大的信息安全文化示例 表明信息安全文化薄弱的示例表明信息安全文化强大的示例 与信息安全相关的决策责任不可追溯。有过程确保信息安全的决策责任是可追溯的。 性能 （所实施的功能或特性）、 成本或进度优先于信息安全。 信息安全和功能安全具有最高优先权。 相较于信息安全，奖励制度更偏向于成本和进度。 奖励制度支持和鼓励有效实现信息安全，并处罚因走捷径而 危害信息安全的人。 信息安全人员强制对信息安全进行不适用地、非常严格的遵 守，而不考虑项目/活动的特殊需求。 信息安全人员以身作则，以良好的适用性和实际执行力获取 整个组织对其行为的信任。 评估信息安全及其管理过程受到执行过程人员的不当影响。过程提供了适当的制衡，例如：信息安全评估中适度的独立 性。 应对信息安全的消极态度，例如： ——严重依赖研发结束时的测试； ——没有为在用车上潜在的弱点或事件做好准备； ——只有当在产车、在用车发生信息安全事件，或当媒体对 竞争对手的产品给与大量关注时，管理层才会做出反应。 应对信息安全的积极态度，例如： ——在产品生命周期的最初阶段就能发现和解决信息安全 问题（设计中的信息安全）； ——组织已准备好对在用车的漏洞和事件做出快速反应。 信息安全所需的资源未进行分配。 信息安全所需的资源已分配。 技术资源拥有与指定活动相对应的能力。 应对信息安全的薄弱现象，例如： ——“群体思维”确认偏差（即不加批判的接受或遵从主流 观点）； ——组建审查小组时“暗中布局” （即选择成员以确保预期 结果），以防止可能出现的异议； ——排斥提出异议的人或将贴上 “没有团队精神” 的标签 （例 如：不合作、不妥协、有害的人）； ——提出异议会对绩效评估产生负面影响； ——少数提出异议的人被视作或被贴上 “麻烦制造者” ， “没 有团队精神”或“内部举报者”（即煽动者、不受欢迎者或 告密者）的标签； ——员工害怕因为表达担忧而受到影响。 过程利用了多样性优势： ——在所有过程中寻求、重视和整合知识多样性； ——反对使用多样性的行为是被阻止和惩罚的。 存在相应的沟通和决策渠道，并且管理层鼓励使用： ——鼓励自我披露； ——鼓励任何人（内部或外部）负责任的披露潜在的漏洞； ——在用、在产和开发其他产品中持续进行发现和解决过 程。 没有成体系的持续改进过程、学习周期或者其他形式的经验 总结。 持续改进是所有过程的必要条件。 过程是临时的或不明确的。遵循明确的、可追踪的和可控的过程。 C C GB/T XXXXX—XXXX/ISO/SAE 21434:2021 43 附录C （资料性） 信息