合规 — 法规与审计就绪

概述

合规支柱为 ThreatZ 平台提供结构化的法规合规评估、证据管理和审计报告功能。它帮助汽车网络安全团队根据 ISO/SAE 21434:2021 和 UNECE R155/R156 评估其安全态势，跟踪工作产品完成情况，实时检测合规违规，并生成包含差距分析和建议的审计就绪报告。

支持的标准

合规结构

合规框架按层级组织：

标准
  → 条款（例如：条款 9：概念阶段）
    → 章节（例如：9.3：TARA）
      → 记录（例如：RQ-09-04：识别损害场景）
        • 回答（满足 / 不满足）
        • 备注（证据描述）
        • 工作产品（WP 链接）

需求 ID 格式：

• RQ-XX-YY — 需求（强制）
• RC-XX-YY — 建议（咨询）
• PM-XX-YY — 实践（指导）

ISO 21434 条款覆盖

工作产品跟踪

44 项工作产品映射到所有条款：

合规评分

评分自底向上计算：

• 记录级别： 二进制（满足 / 不满足）
• 章节级别： 章节内记录回答的平均值
• 条款级别： 条款内章节百分比的平均值
• 总体级别： 所有条款的平均值

状态解读

合规状态

• COMPLIANT（80%+）
• PARTIAL（50–79%）
• NON_COMPLIANT（< 50%）
• NOT_ASSESSED

违规检测

平台在项目实体变更时持续评估合规需求。检测到的违规包括：

• 威胁建模需求（RQ-15-01 至 RQ-15-15）：缺少资产、损害场景、威胁场景、攻击路径
• 风险评估需求（RQ-09-04 至 RQ-09-10）：不完整的风险计算、缺少可行性评级
• 风险处置需求（RQ-09-08 至 RQ-09-10）：缺少目标、声明或控制措施实施

每个违规包含失败的需求 ID、导致违规的实体类型和 ID（资产、损害场景、威胁、攻击路径、风险、目标、声明）、描述性消息和修复建议。违规按合规模型（威胁建模、风险评估、风险处置）分组，便于针对性审查。

报告生成

ISO 21434 报告

• 总体合规状态（合规 / 部分合规 / 不合规）
• 总体覆盖百分比
• 逐条款覆盖分析
• 测试摘要（总运行次数、渗透测试、模糊测试、一致性测试）
• 按严重级别的发现摘要（严重、高、中、低）
• 差距分析（含严重级别和建议）
• 证据包（工件数量、大小、类型）

UNECE R155 报告

• 包含所有 ISO 21434 报告字段，另外还包括：
• 车辆类型信息（类别、制造商、型号）
• 按威胁类别的分类覆盖
• 威胁覆盖（已解决 / 部分解决 / 未解决）

差距类型

证据管理

证据通过多种机制收集和关联：

• 声明证据媒体： 直接附加到声明的文件
• 测试工件： 渗透测试报告、模糊测试报告、扫描报告、PCAP 文件、一致性报告、覆盖率报告
• 合规记录备注： 每项需求的自由文本证据描述
• 工作产品交付物： 关联到工作产品 ID 的文档和报告

与其他支柱的集成

合规模型

三个合规模型将需求映射到特定工程领域：

这些模型支持有针对性的违规检查 — 当资产被修改时，只重新评估威胁建模需求；当风险评分变化时，只检查风险评估需求。