車両の開発では、リスクアセスメントを次の２つに分けて考えることが多い。
| 脅威分析 | 脆弱性分析 | |
|---|---|---|
| When | コンセントフェーズ | いつでもよい |
| Where | - | - |
| Who | OEMのサイバーセキュリティ主管部署 | だれでもよい（主にECUサプライヤ） |
| What | 車両全体のSFOPに係る資産 | システム/ECUのSFOPに係る資産＋副次資産 |
| Why | サイバーセキュリティコンセプトを導出するため | 自工程において脆弱性を生じさせないため |
| How | ISO/SAE21434にしたがったトップダウンアプローチ（演繹的手法）によるリスクアセスメント | トップダウンアプローチ（演繹的）であっても、ボトムダウンアプローチ（帰納的）であってもどちらでも可 |
さらに、脆弱性分析は大きく２種類の活動に分解することができる。
| 脅威分析から得られた攻撃経路を具体化する活動 | 過去の脆弱性情報（脆弱性データベース、脆弱性タイプ）をもとに、自工程での該否を確認する活動 | |
|---|---|---|
| How | トップダウンアプローチ（演繹的） | ボトムアップアプローチ（帰納的） |
| Why | 脅威分析によって導出した資産や攻撃経路は、抽象度が高い（例：個人情報、無線通信）。V字開発プロセスのいちばん左上で、車両全体に対してするするから。一方で開発プロセスが進み、ECUの設計をする際には、開発するECUの構成が詳しくわかっているので、攻撃経路をより具体化できる（例：位置情報、WiFi、Bluetooth）。 | 過去に起きたよく似た脆弱性を、自工程において作り込まないようにするため。（ことサイバーセキュリティになると、不思議とわからないような気がしてしまうが、実は特別なことでもなんでもなく、開発者がするべき当然のことである。） |
