最新资讯
本系列文章是亚远景科技结合ASPICE for Cybersecurity Guideline，对ASPICE for Cybersecurity进行的一些标准解读和应用说明，希望向更多的人明晰化标准的一些要求，也帮助推动标准在行业的发展。
当前推出的ASPICE for Cybersecurity标准中新增加了6个过程，分别是
ACQ.2 Supplier Request and Selection
供应商要求与选择;
MAN.7 Cybersecurity Risk Management
网络安全风险管理;
SEC.1 Cybersecurity Requirements Elicitation
网络安全需求获取;
SEC.2 Cybersecurity Implementation
网络安全实施;
SEC.3 Risk Treatment Verification
风险处理的验证;
SEC.4 Risk Treatment Validation
风险处理的确认。
目前已经解读了：
ACQ.2 Supplier Request and Selection供应商要求与选择；
MAN.7 Cybersecurity Risk Management 网络安全风险管理。
还没有看过的朋友可以点击链接前往阅读。
本篇要讲解的过程是：
SEC.1.Cybersecurity Requirements Elicitation
网络安全需求获取
网络安全需求获取
网络安全需求获取过程的目的是从风险管理的结果中得出网络安全目标和需求，并确保风险评估、网络安全目标和网络安全需求之间的一致性。
本过程使用了由网络安全风险管理过程(MAN.7)相关工作产出物作为输入，典型如网络安全目标，安全需求等。
定义网络安全目标(Cybersecurity Goal)主要是为了确保流入到产品的网络风险需要被处理到一个可被接受的水平，而为了实现网络安全目标，在项目中将会制定一系列功能性及非功能性网络安全需求进行开发到测试的闭环，网络安全目标的定义并不仅限于产品的开发。在适当情况下，还应确定为开发后阶段，如生产阶段。
网络安全需求(Cybersecurity Requirement)往往不能一次成型，而是经过一个迭代过程，逐步明晰，在开发和验证过程中，如果新发现了某些漏洞，这可能会改变某些威胁场景的风险值，并引发网络安全需求获取过程的迭代工作。
网络安全声明(Cybersecurity Claim)指的是对风险等级已被评估为可接受的风险决定不进行风险处理而进行了特殊声明。但当新的漏洞被发现，或者攻击路径的可行性增加时，网络安全声明可能会被重新评估与制定。
在项目，当网络安全目标和利益相关方的需求出现了相互矛盾的场景，例如，当一个已上线服务方案的威胁场景存在的高风险，基于网络安全的考虑可能需要这个服务的改进或下线，这会引发冲突与矛盾。这种情况通常需要与对应的利益相关者沟通以达成功能需求和网络安全目标之间的权衡，而没有非常绝对的要求。
评级建议
（1）网络安全目标Cybersecurity goals
网络安全目标是解决威胁场景的最高级别需求。在开发过程中，将对集成系统进行安全目标的确认(Validation)。
（2）网络安全需求Cybersecurity requirements
网络安全需求定义的是系统或软件需要的实现的特性，包括功能特性与非功能特性。它们与网络安全目标是需要保持一致(Consistent)。它们的实现将在相应的集成级别上进行验证(Verification)。
Validation与Verification的概念讲在SEC.3/4过程进行详细的解释。
网络安全需求可以包括：
在结构、硬件或软件中实现的功能，或这些元素的组合子系统；
处理来自其他系统的信号；
非功能性需求；
系统级别的非功能需求可能可以分解为某些组件级别上的功能需求——例如，当系统的网络安全为非功能需求时，这种非功能需求可以详细描述为硬件和软件组件的功能需求。
建议和规则：
[SEC.1.RC.1]If unclear or inconsistent requirements are not clarified with the individual stakeholders, indicator BP1 should be downrated.
解读：如果不明确或不一致的需求没有与对应的利益相关者进行明晰，则应下调指标BP1。
[SEC.1.RC.2]If the cybersecurity requirements specification does not reflect the results of the risk assessment, BP1 should not be rated higher than L.
解读：如果网络安全需求规范没有反映风险评估的结果，则BP1的评级不应高于L。
往往在TARA完成之后所有网络安全相关风险的处理措施都会与相关方达成一致，对于其中需要进行控制处理的风险往往会产生产品级的网络安全目标，进而分析出相应系统，子系统或组件相应承载的网络安全需求，这些需求也同步需要与相关方进行确认以达成一致。
而对于已经具备ASPICE能力的实施团队，可以直接理解SEC.1过程主要是期望对TARA的成果进行项目开发导入，相关的工作完全可以分解到ASPICE的SYS.1/2与SWE/1（HW SPICE与ME SPICE导入之后也会存在硬件与结构相关的需求过程可以作为网络安全需求的导入对象），当某个网络安全目标的实现需要依赖某些系统功能或者软件能力去实现时，自然导出了网络安全相关的系统需求与软件需求，包括对应的非功能需求，这些系统/软件需求同样需要依赖于对应过程BP进行相应的工作，如需求的描述，结构化，验证准则定义，追踪建设并保持一致，基于这些工作，SEC.1的各BP也就被达成了。
对于评估活动，考虑SEC.1过程的特性与项目实施的办法，如果实施团队的对网络安全需求的开发与管理都融合到系统及软件需求工作中了，SEC.1过程的评估可以考虑和各个需求相关过程联合在一个访谈环节中一起进行评估；如果实施团队设计并实施了独立的网络安全需求管理或开发工作（类比现在行业里面常见功能安全需求的管理方式），那么SEC.1的过程评估建议还是单独设计专属的时间和访谈进行证据收集与评级。
相关内容：
BP1：Derive cybersecurity goals and cybersecurity requirements 推导出网络安全目标和网络安全需求。
Output WP15-01：Analysis Report 分析报告
Output WP17-51：Cybersecurity goals 网络安全目标。
Output WP17-11：Software requirements specification 软件需求规范。
Output WP17-12：System requirements specification系统需求规范
评级一致性
下图显示了SEC.1各BP与其他流程之间的关系：
这些关系被用作在以下子章节中定义的评级规则和建议的基础。
关于可追溯性和一致性、总结和沟通、策略和计划的一般要求也应考虑进行评级，在此不再重复。请参考VDA ASPICE GUIDELINE（第一版）了解更多信息。
（1） SEC.1中的评级一致性Rating consistency within SEC.1
以下评级规则与系统要求的规范有关，因此影响了该过程的几个BP：
[SEC.1.RL.1]If BP1 is downrated, PA 1.1 shall be downrated as all indicators(BP2, BP3 and BP4) are affected.
解读：如果BP1被下调，则本过程整个PA1.1应被下调，因为所有指标(BP2、BP3和BP4)都受到影响。
（2）对其他流程的评级一致性Rating consistency to other processes at Level 1
SEC.1的以下BP与其他过程有一定相关关系。
BP1：制定网络安全目标和网络安全需求
[SEC.1.RL.2]If BP6 for MAN.7 is downrated, this shall be in line with the rating of the indicator BP1.
解读：如果MAN.7的BP6被下调了，这应该与SEC.1的BP1的评级形成一致。
[SEC.1.RC.3]If BP1 for SYS.2 is downrated, this should be in line with the rating of the indicator BP1.
解读：如果SYS.2的BP1被下调了，这应该与SEC.1的BP1的评级形成一致。
[SEC.1.RC.4]If BP1 for SWE.1 is downrated, this should be in line with the rating of the indicator BP1.
解读：如果SWE.1的BP1被下调了，这应该与SEC.1的BP1的评级形成一致。
BP2：建立和维护双向可追溯性
[SEC.1.RC.5]If BP6 for MAN.7 is downrated, this should be in line with the rating of the indicator BP2.
解读：如果MAN.7的BP6被下调了，这应该与SEC.1的BP2的评级形成一致。
关于亚远景科技
上海亚远景信息科技有限公司是国内汽车行业咨询及评估领军机构之一，深耕于汽车ASPICE、ISO26262功能安全、ISO21434网络安全领域，拥有10年以上的行业经验，专精于咨询、评估及培训服务，广受全球车厂及供应商赞誉，客户好评率行业领先。坚持以“探索、研发、融合”引领创新发展，秉持“用心服务、专业技术、合作发展”的理念，不断以新技术新模式为客户提供更有效更敏捷的服务。
