年來電動車日漸普及，大量資料從汽車產業至供應鏈隨時進行交換傳輸，道路車輛整體性安全考量不僅止於技術、機械或功能安全層面，而是延續至資訊安全領域。電動車搭載的電子、電機系統及其元件的安全性愈發受到重視，更是車輛整體安全核心之一。
由於電動車製造產業獨特性，ISO/IEC 27001國際資安管理系統不敷使用，故衍伸出ISO 21434、TISAX與ASPICE三大國際標準，兼顧道路車輛資訊安全工程、汽車安全評估訊息交換，及汽車產業軟體流程改進與能力測定標準等。
車載資安常見攻擊
SGS台灣檢驗科技股份有限公司車載資安協同產品經理吳安忠表示，車載資安攻擊有不同類型，這些類型分別對應到這三大國際標準。
第一類是有關機密資料洩漏。他舉例某汽車廠商交付設計圖給零件商，這些設計圖尚未公開，卻因資訊洩漏被競爭對手拿到。另一情況較常發生在歐洲車廠擁有大量客戶資料，委託行銷公司進行市場行銷時，行銷公司疏忽將個資洩漏。
這些情況，與TISAX標準有關。TISAX是由德國汽車工業協會（VDA）根據ISO 27001標準規範訂出的汽車安全評估訊息交換平台，確保汽車製造商、服務提供商與供應商間資訊安全統一標準。
ISO 21434為道路車輛—資通訊安全工程，提供道路車輛產業上、中、下游業者風險管理標準。吳安忠說，傳統的汽車安全指車輛本身功能，如煞車是否失靈等。而電動車上市後，則出現透過車內電子系統被駭入侵等問題，兩者層面不同。
他舉例某些電動車會自動偵測開遠光燈、近光燈時機，當對面來車交會時會自動切換近光燈，若該功能被駭客入侵失效，便是因資安造成的車禍，這就是ISO 21434關注面向。
ASPICE則適用於汽車產業評估，並持續改善軟體及其相關元件，也就是車載系統軟體開發過程的成熟度。吳安忠說，若成熟度不足，有潛在弱點在其中，駭客便有機可乘。他以某電影情節舉例說，駭客利用導航系統弱點入侵後竄改地圖，將本來的目的地導引至錯誤地點，就可能發生人身安全。
吳安忠表示，ISO 27001並未特別局限於特定產業，大部分來驗證的單位多為資訊單位。而上述三大標準：TISAX、ISO 21434及ASPICE則專門針對車載資安。
他認為ISO 27001適用範圍很廣，但最大的瓶頸是「過於通用」，小至三人公司，大至5000人公司都可以此進行驗證，無法因應特定產業。因此與車輛有關的資安標準，從ISO 27001衍伸出TISAX，電信業衍伸出ISO 27011、雲服務產業有了ISO 27018，醫療產業有ISO 27799等。
台灣車廠如何面對
吳安忠指出，台灣企業主已開始重視車載資安，特別是今年許多客戶直接要求提出導入這些車載資安標準的時程，主要以歐洲車廠為主，SGS觀察到汽車零組件相關產業現在的壓力，比要求ISO 27001時更大。
車載資安不僅限於電子廠，一些傳統產業也開始收到下游車廠客戶要求導入的要求，「比如輪胎廠」。吳安忠說，輪胎安置於電動車上，電動車驅動輪胎的方式也透過電子指令，而非機械操作，「可想而知車子零件、元件，都會被要求符合這些標準。」
車載資安驗證經驗與挑戰
至於企業整體統籌由哪個單位主導，端看企業如何成立資安組織。他說，當前資安層級，需從過去由資訊（IT）、網管（MIS）單位扮演支援的角色提升至策略面，公司要投入多少資源，需考量企業未來五至十年的經營方向，要將資安看成投資，才能將其完備。
雖然導入ISO 27001在車載資安上並非必要，但吳安忠說，以SGS 經驗來看，該標準是個基礎。
以TISAX來說，裡面有部分參照ISO 27001條文，在ISO 21434同樣也會提到部分內容。他說，ASPICE闡述的軟體開發，類似內容也出現於ISO 27001內，只是ASPICE更為深入。因此，若組織連ISO 27001架構程序都未成形，流程還未建置，直接導入車載資安，恐可能出現差距。
「車載資安是跨部門的事。」吳安忠坦言，如何讓各部門參與、投入車載資安，是目前看到的挑戰之一。他說，法規中許多條文並非僅針對IT單位，如TISAX要求對產品原型進行保護，涵蓋RD、生產、總務、…等部門，導入車載資安需跨單位參與，高階主管、老闆需出面協調各平行單位，避免由單一部門主導恐造成「推不動」的局面。
SGS 管理學院