ISO/SAE 21434 标准共由15个章节组成，其中主体部分为 4-15章 。
第4章 概述 ： 包含本文件中采用的道路车辆网络安全工程方法的背景和总体信息。
第5章 组织级网络安全管理 ： 包含组织层级网络安全方针、规则和流程的规定和管理要求。
第6章 基于项目的网络安全管理 ： 包含项目层级的网络安全活动和管理要求。
第7章 分布式网络安全活动 ： 包含客户与供应商之间网络安全活动的职责确认的要求。
第8章 持续的网络安全活动 ： 包含对项目生命周期中，需持续实施的风险分析和E/E系统的漏洞管理活动的要求.
第9-14章 描述了从概念设计到产品 开发 、 验证 、 生产 及后期 运维 和 退役 全生命周期的网络安全活动和相关要求。
第15章 威胁分析和风险评估方法 ： 提供了一套网络安全威胁分析、风险评估及处置的方法论。
ISO/SAE 21434标准采用了基于“V模型”的总体思路，重点放在了安全性组织建设上，并在车辆的整体生命周期中具有适当的流程体系，以保护它们免受信息安全攻击。 组织建设包括文化建设、安全意识培养、团队建设等。 流程管理覆盖了整车开发流程的各个阶段，概念阶段，产品开发阶段，验证阶段，生产阶段，运维阶段和报废阶段，包括网络安全风险管理、信息共享、漏洞披露、网络安全监控和事件响应。 该标准DIS版本弱化了CD版本中对硬件开发要求的内容，没有针对硬件开发要求进行详细阐述，不过这并不代表硬件安全不重要，可能是由于对硬件的安全要求目前还存在比较大的分歧。 同时，强调了针对软件方面的信息安全设计要求，遗憾的是没有提出对失效或风险的软件的处理和设计方法建议。 UNECE CSMS(联合国欧洲经济委员会，网络安全管理系统)法规中，针对7大类安全威胁，给出了潜在薄弱环节点分析和对应的防控手段或者设计方法，简要归纳如下表所示：
整体而言，从ISO/SAE 21434标准来看，当下汽车信息安全重点需要关注的问题如下:
1. 概念阶段的威胁分析和评估；
2. 设计开发阶段的安全产品部署；
3. 验证阶段的符合性测试和渗透测试；
4. 生产阶段的密钥管理体系；
5. 运维阶段的应急响应。
概念阶段的威胁分析和评估采用的方法是明确的，常用的方法有微软的STRIDE、EVITA、HEAVENS，但是由于汽车电子电器架构的复杂性以及信息安全威胁的多样性，具体的实施却是较复杂的，需要有汽车和信息安全行业的专家共同完成。 整车厂可能需要同第三方信息安全机构进行合作，共同完成TARA，为后续的产品开发奠定基础。
颐卓咨询管理集团-广州总部
总部地址：广州市海珠区琶洲数字科技产业园A15-2栋
联系方式：13622221264（张小姐）
邮 箱：eyzo@chinakec.com
公司官网：www.chinakec.com
集团分支机构：深圳、成都、重庆、佛山、东莞、长沙、武汉、北京、昆山、厦门等