ISO 21434 精讲（五）：TARA 风险评估八步法与四大处置策略（第 15 章）

作者：信安擎科技 / 2026年9月26日

【编者按】本篇是”ISO 21434 精讲”系列第五篇，解读标准中 TARA（Threat Analysis and Risk Assessment，威胁分析与风险评估）方法论。它是整套标准的技术核心，也是企业落地时最花工夫的一块。

一、TARA 是什么

TARA 建立了一条从”资产梳理”到”处置决策”的完整闭环，用来系统识别与管控网络安全风险，需要在产品全生命周期中持续迭代执行。它回答四个问题：要保护什么、怕什么、有多严重、怎么办。

二、八步流程

资产识别：定位核心数据、系统与服务，明确安全保护的基线对象；
损害场景：推演威胁事件发生后，对业务运营与资产造成的潜在负面影响；
威胁识别：结合内外部情报，识别可能触发损害场景的具体攻击行为与来源；
影响评级：从安全、财务、运营、隐私等维度，量化评估损害发生后的严重程度；
攻击路径分析：梳理攻击者可能利用的技术漏洞、配置缺陷及人员操作薄弱点；
可行性评级：评估攻击者利用现有条件实施攻击的技术门槛、成本与成功概率；
风险确定：综合”影响程度”与”攻击可行性”，计算并确定风险等级；
处理决策：基于风险等级，制定规避、降低、转移或接受的最终处置方案。

三、影响评级：四个维度

安全（Safety）：对人员的直接伤害程度，从轻微不适到致命伤害，是判定风险等级的核心基石；
财务（Financial）：直接经济损失，包括车辆维修成本、用户赔偿以及品牌声誉受损带来的潜在价值流失；
运营（Operational）：对车辆关键功能的破坏，以及由此引发的业务中断、服务暂停；
隐私（Privacy）：个人敏感数据的泄露、篡改或非法访问程度，以及相应的合规风险。

其中安全影响的分级沿用 ISO 26262 的框架，便于与功能安全协同：

S3 严重（Severe）：危及生命的伤害，包括导致人员死亡或造成永久性、不可逆的严重身体损伤；
S2 主要（Major）：造成严重伤害，通常为危及生命但非致命的重大损伤；
S1 中等（Moderate）：引发中等或轻微程度的伤害，如骨折、严重挫伤，通常可完全恢复；
S0 可忽略（Negligible）：无实质性伤害，仅可能出现轻微擦伤、划伤或短暂不适。

四、攻击路径分析与可行性评级

攻击路径分析是基于威胁场景，完整推演攻击者从初始访问到达成目标的全链路逻辑，通常采用两个方向：

自上而下：以攻击目标为终点，反向推导所需条件（如攻击树模型）；
自下而上：从已知漏洞或弱点出发，正向构建利用链条。

常见的推演结果形如：攻击者先攻陷导航 ECU → 发送恶意控制信号 → 由网关转发 → 最终导致执行器误操作。这种可视化的攻击树能清晰呈现威胁的传导逻辑与关键节点。

攻击可行性则量化为四个等级，评估维度包括攻击者所需的时间成本、专业技术门槛、专用工具设备需求，以及获取关键权限的难易程度：

高（High）：极易实现，仅需基础工具与少量时间，无特殊技能；
中（Medium）：较可行，需一定专业知识、定制工具或多人配合；
低（Low）：可能性低，需极高深的专业技能、昂贵设备或长期潜伏；
非常低（Very Low）：几乎不可行，需国家级资源或存在极高的实施门槛。

五、风险确定与四大处置策略

风险值由两个维度共同决定：横轴为攻击可行性、纵轴为影响程度，交叉点即为风险等级（通常划分为 1~5 级），作为决策的关键依据。其中等级 5 属于极高风险，必须立即缓解或重新设计；等级 3 为中等风险，需要制定明确的行动计划。

风险评估输出的结论，最终落到四类处置策略上：

避免风险（Avoid）：通过取消或修改业务流程、禁用高风险功能等方式，彻底消除风险源；
降低风险（Reduce）：实施加密、权限管控等技术与管理措施，将风险降至可接受水平；
分担风险（Share）：通过网络安全保险、外包服务协议等方式，将风险转移给第三方；
接受风险（Accept）：在成本效益分析后，若处理成本高于风险损失，可保留风险并制定应急预案。

六、TARA 不是一次性工作

这一流程是动态且持续的：不仅要在产品设计初期执行，更需在开发、测试及运维阶段定期复盘。通过反复的评估与更新，才能确保安全策略始终适应业务变化与新兴威胁，形成闭环的风险管理体系。

关于攻击面的具体分析方法，可延伸阅读《TARA 六步法》相关文章。

本系列其他文章

需要合规支持？

如果您的企业正在推进 ISO 21434 / CSMS 合规，欢迎联系我们获取免费合规诊断。信安擎科技深耕汽车信息安全咨询，为您提供从差距分析、风险评估到体系落地与认证支持的全流程服务。