智能汽車網(wǎng)絡安全政策和法規(guī)
來源 中車友 瀏覽 2498 發(fā)表時間：2022-10-11 09:52:35
隨著人工智能、信息通信技術加速發(fā)展和跨界融合，智能網(wǎng)聯(lián)汽車與外界交互手段不斷豐富，智能網(wǎng)聯(lián)汽車在積極融入網(wǎng)絡時代的同時，同樣不可避免地面臨信息安全問題，引發(fā)了行業(yè)高度關注。
智能網(wǎng)聯(lián)汽車信息安全問題不僅會造成個人隱私泄露、企業(yè)經(jīng)濟損失，還可能造成車毀人亡的嚴重后果，甚至會上升成為國家公共安全問題。
盡管當前智能網(wǎng)聯(lián)汽車的安全漏洞尚未被廣泛利用，但是據(jù)統(tǒng)計，約 56% 的消費者表示信息安全和隱私保護將成為他們未來購買車輛時主要考慮因素。
由此可見，智能網(wǎng)聯(lián)汽車信息安全已經(jīng)成為汽車產(chǎn)業(yè)甚至全社會共同關注的焦點，如何保障聯(lián)網(wǎng)信息安全成為車聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展過程中的重要議題。
為了更好地應對智能網(wǎng)聯(lián)汽車所面臨的網(wǎng)絡安全威脅，我國在《網(wǎng)絡安全法》《數(shù)據(jù)安全法》等上位法的基礎上，陸續(xù)出臺了多個智能網(wǎng)聯(lián)汽車網(wǎng)絡安全政策、法律和法規(guī)以及行業(yè)標準，以期加快建設智能網(wǎng)聯(lián)汽車網(wǎng)絡安全保障體系，進一步促進智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)可持續(xù)發(fā)展。
例如在 2022 年 3 月 7 日，工業(yè)和信息化部發(fā)布《車聯(lián)網(wǎng)網(wǎng)絡安全和數(shù)據(jù)安全標準體系建設指南》（以下簡稱《指南》），提出到 2023 年底，初步構建起車聯(lián)網(wǎng)網(wǎng)絡安全和數(shù)據(jù)安全標準體系；到 2025 年，形成較為完善的車聯(lián)網(wǎng)網(wǎng)絡安全和數(shù)據(jù)安全標準體系。
為了更方便地了解智能網(wǎng)聯(lián)汽車領域政策、法律法規(guī)，行業(yè)標準，筆者對此進行盤點與總結(jié)，希望能夠給讀者帶來幫助和啟發(fā)，起到”拋磚引玉“的效果。若有不足之處，敬請指出。
法律體系日漸完善，規(guī)范行業(yè)健康成長
法規(guī)體系是一個行業(yè)發(fā)展的基礎，是否完善決定了該行業(yè)未來的發(fā)展空間。近年來，我國依據(jù)智能汽車產(chǎn)業(yè)發(fā)展的現(xiàn)狀和趨勢，陸續(xù)出臺了多部法規(guī)，對于行業(yè)規(guī)范化發(fā)展有著極為重要的作用。總的來說，智能汽車法規(guī)體系主要集中在“網(wǎng)絡安全”和“數(shù)據(jù)安全”兩大方面。
1、網(wǎng)絡安全
解決汽車行業(yè)安全問題，可以從企業(yè)，民眾、社會以及政府機構幾個層面入手，其中民眾安全意識、企業(yè)網(wǎng)絡安全自覺性、社會對于信息安全容忍度都需要長時間培養(yǎng)，屬于不可控因素，真正能夠改善汽車工業(yè)帶來的信息安全問題，制定法律法規(guī)和行業(yè)標準當屬最好的選擇。
2021 年 7 月，工業(yè)和信息化部在發(fā)布的《關于加強智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準入管理的意見》中明確提出，企業(yè)必須建立內(nèi)部自查機制，及時發(fā)現(xiàn)生產(chǎn)、銷售的汽車產(chǎn)品中是否存在安全漏洞，以免帶來數(shù)據(jù)泄露、網(wǎng)絡安全、駕駛輔助和自動駕駛安全等嚴重問題。
一旦發(fā)現(xiàn)應當依法依規(guī)立即停止相關產(chǎn)品的生產(chǎn)、銷售，并立即采取措施進行整改，及時向工業(yè)和信息化部及所在地工業(yè)和信息化、電信主管部門報告，從源頭上”掐滅“數(shù)據(jù)信息危害的苗頭。
此外，工信部組織推出《車聯(lián)網(wǎng)（智能網(wǎng)聯(lián)汽車）網(wǎng)絡安全標準體系建設指南》并面向社會公開征求意見。
《指南》中針對基礎設施、車載終端設備、個人數(shù)據(jù)信息、網(wǎng)絡通信、車載平臺應用軟件、車聯(lián)網(wǎng)服務等一些關鍵環(huán)節(jié)，提出涵蓋總體與基礎共性、終端與設施安全、網(wǎng)聯(lián)通信安全、數(shù)據(jù)安全、應用服務安全、安全保障與支撐等六個方面的標準體系，見下圖：
值得注意的是，國家出臺的《智能汽車創(chuàng)新發(fā)展戰(zhàn)略》（以下簡稱《戰(zhàn)略》）中，已經(jīng)明確提出智能汽車網(wǎng)絡安全體系建設是重中之重。
《戰(zhàn)略》中明確指出在智能化汽車發(fā)展時，必須搭建軟硬件結(jié)合的安全防護體系，加強車機系統(tǒng)，車載芯片、操作系統(tǒng)、應用軟件等安全可靠性設計，開展車載信息系統(tǒng)、服務平臺及關鍵電子零部件安全檢測， 強化遠程軟件更新、監(jiān)控服務等安全管理，實施統(tǒng)一身份權限認證管理。
按照國家網(wǎng)絡安全等級保護相關標準規(guī)范，建設智能汽車網(wǎng)絡安全態(tài)勢感知平臺，提升應急處置能力。
現(xiàn)階段的汽車日漸智能化，車輛自身已經(jīng)形成了一個完整網(wǎng)絡結(jié)構，接口設備、中央網(wǎng)關、域控制器等互聯(lián)互通，汽車再操作過程中訪問點多、結(jié)構復雜、代碼量大，導致智能汽車的網(wǎng)絡安全防護難度越來越大。
因此汽車生產(chǎn)商應當引入態(tài)勢感知、風險評估、監(jiān)測預警和應急響應等，硬軟件結(jié)合，牢筑汽車安全防線，爭取在 2025 年，圍繞智能汽車網(wǎng)絡安全，建設形成相對完善的政策標準體系。
汽車生產(chǎn)制造時，即便軟件開發(fā)人員打起”十二分精力“，但車載智能平臺動輒過億級別的代碼量，安全漏洞依舊會成為“漏網(wǎng)之魚”。
此外，部分汽車廠商將主要精力投放到外觀設計以及乘駕舒適上，對于網(wǎng)絡安全并沒有那么在意。
《智能汽車創(chuàng)新發(fā)展戰(zhàn)略》、《車聯(lián)網(wǎng)（智能網(wǎng)聯(lián)汽車）網(wǎng)絡安全標準體系建設指南》和《關于加強智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準入管理的意見》等法律標準的頒布為汽車企業(yè)如何保證汽車產(chǎn)品安全提供了指導性意見。
2、數(shù)據(jù)安全
除了網(wǎng)絡安全方面，數(shù)據(jù)安全同樣是汽車產(chǎn)業(yè)必須解決的問題。在工信部發(fā)布的《車聯(lián)網(wǎng)安全標準體系建設指南》中，對數(shù)據(jù)做出了明確規(guī)范。數(shù)據(jù)安全標準主要規(guī)范智能網(wǎng)聯(lián)汽車、車聯(lián)網(wǎng)互通平臺、車載應用程序等數(shù)據(jù)安全和個人信息保護要求，包括通用要求、分類分級、出境安全、個人信息保護、應用數(shù)據(jù)安全等5類標準，其中后三類尤其值得重視。
個人信息保護標準主要規(guī)范車聯(lián)網(wǎng)用戶個人信息保護機制及相關技術要求，明確用戶敏感數(shù)據(jù)和個人信息保護的場景、規(guī)則、技術方法，包括匿名化、去標識化、數(shù)據(jù)脫敏、 異常行為識別等標準。
應用數(shù)據(jù)安全標準主要規(guī)范車聯(lián)網(wǎng)相關應用所開展的數(shù)據(jù)采集和處理使用等活動，包括車聯(lián)網(wǎng)平臺、網(wǎng)約車、車載應用程序等數(shù)據(jù)安全標準。
一旦有企業(yè)或個人利用這些敏感數(shù)據(jù)，便可以輕松描繪出詳細用戶畫像，用戶的工作地址、居住場所等隱私便被公之于眾。
更有甚者，大量用戶個人隱私數(shù)據(jù)及國內(nèi)高精度地圖數(shù)據(jù)若是通過非法手段跨境傳播，國家安全也勢必受到嚴重威脅。滴滴事件已經(jīng)早已證明汽車運營產(chǎn)生的信息安全問題不可忽視。
緊接著滴滴遭受安全審查，國家互聯(lián)網(wǎng)信息辦公室會議審議通過，并經(jīng)國家發(fā)展和改革委員會、工業(yè)和信息化部、公安部、交通運輸部同意，《汽車數(shù)據(jù)安全管理若干規(guī)定》頒布，并將于 2022 年 10 月 1 日開始實行。
《規(guī)定》總共有 21 條，其中第三條對敏感的個人信息（是指以電子或者其他方式記錄的與已識別或者可識別的車主、駕駛?cè)?、乘車人、車外人員等有關的各種信息，不包括匿名化處理后的信息。）和重要數(shù)據(jù)（指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、公共利益或者個人、組織合法權益的數(shù)據(jù)）做了明確規(guī)范，
敏感數(shù)據(jù)主要包括以下幾類：
（一）軍事管理區(qū)、國防科工單位以及縣級以上黨政機關等重要敏感區(qū)域的地理信息、人員流量、車輛流量等數(shù)據(jù)；
（二）車輛流量、物流等反映經(jīng)濟運行情況的數(shù)據(jù)；
（三）汽車充電網(wǎng)的運行數(shù)據(jù)；
（四）包含人臉信息、車牌信息等的車外視頻、圖像數(shù)據(jù)；
（五）涉及個人信息主體超過10萬人的個人信息；
（六）國家網(wǎng)信部門和國務院發(fā)展改革、工業(yè)和信息化、公安、交通運輸?shù)扔嘘P部門確定的其他可能危害國家安全、公共利益或者個人、組織合法權益的數(shù)據(jù)。
《規(guī)定》在第五條中明確指出，企業(yè)利用互聯(lián)網(wǎng)等信息網(wǎng)絡開展汽車數(shù)據(jù)處理活動，應當落實網(wǎng)絡安全等級保護等制度，加強汽車數(shù)據(jù)保護，依法履行數(shù)據(jù)安全義務。滴滴無疑是撞到槍口上。神州出行、高德打車、曹操專車、貨拉拉、滴滴出行、互聯(lián)網(wǎng)浪潮下，打車軟件“層出不窮”，《規(guī)定》的出臺劃定了一條出行運營商收集、使用用戶信息的紅線。
此外，人臉信息、車牌號碼、車輛軌跡都是智能汽車要收集的數(shù)據(jù)，這個過程中會存在個人信息泄露的風險，尤其是采集到用戶數(shù)據(jù)后，傳輸、存儲、跨境等數(shù)據(jù)處理活動的安全問題，也是社會關注的焦點。
2021年1月，全國信息安全標準化技術委員會發(fā)布《信息安全技術汽車采集數(shù)據(jù)的安全要求》（征求意見稿）（以下簡稱《安全要求》）。
《安全要求》共計8節(jié)15條， 規(guī)定了對汽車采集數(shù)據(jù)進行傳輸、存儲和出境等處理活動的安全要求，既為汽車制造商保障汽車數(shù)據(jù)處理活動安全提供了指引，也為主管監(jiān)管部門、第三方評估機構等對機車采集數(shù)據(jù)處理活動的監(jiān)督、管理和評估提供了參考。
近些年，網(wǎng)約車出現(xiàn)的數(shù)據(jù)泄露問題屢見不鮮，網(wǎng)約車行業(yè)的規(guī)范標準也逐漸完善。《信息安全技術網(wǎng)絡預約汽車服務數(shù)據(jù)安全要求》標準適用于提供網(wǎng)絡預約汽車服務的網(wǎng)絡運營者加強數(shù)據(jù)安全保護，也適用于主管監(jiān)管部門、第三方評估機構對網(wǎng)絡預約汽車服務數(shù)據(jù)活動進行監(jiān)督、管理、評估時參考。
主要內(nèi)容包括：
界定網(wǎng)絡預約汽車服務數(shù)據(jù)收集范圍、研究網(wǎng)絡預約汽車服務典型場景的告知同意安全實踐、研究網(wǎng)絡預約汽車服務數(shù)據(jù)使用共享與披露安全實踐、研究網(wǎng)絡預約汽車服務中收集的行程音視頻數(shù)據(jù)的安全保護實踐。
《信息安全技術網(wǎng)絡預約汽車服務數(shù)據(jù)安全要求》旨在網(wǎng)絡預約汽車服務行業(yè)落實國家數(shù)據(jù)安全、個人信息保護等要求，堅持標準制定與實踐應用緊密結(jié)合的原則，研究網(wǎng)絡預約汽車服務行業(yè)的數(shù)據(jù)安全保護實踐指南，對平衡用戶行程安全與個人信息權利保障有重要意義。
行業(yè)指南逐漸豐富，指導產(chǎn)業(yè)安全發(fā)展
上文中，陳述了汽車行業(yè)的法律法規(guī)以及處置辦法，如果說法律法規(guī)的硬性規(guī)定給汽車行業(yè)安全構筑了一道堅實圍墻，那么規(guī)范標準則為汽車安全提出了指導意見。
其中最為引起大家關注的莫過于 202 2年 9 月工信部發(fā)布的《國家車聯(lián)網(wǎng)產(chǎn)業(yè)標準體系建設指南（智能網(wǎng)聯(lián)汽車）（2022 年版）》（以下簡稱《指南》）。
《指南》明確提出，到 2025 年，系統(tǒng)形成能夠支撐組合駕駛輔助和自動駕駛通用功能的智能網(wǎng)聯(lián)汽車標準體系。制修訂100項以上智能網(wǎng)聯(lián)汽車相關標準，涵蓋組合駕駛輔助、自動駕駛關鍵系統(tǒng)、網(wǎng)聯(lián)基礎功能及操作系統(tǒng)等標準，并貫穿功能安全、預期功能安全、網(wǎng)絡安全和數(shù)據(jù)安全等安全標準，滿足智能網(wǎng)聯(lián)汽車技術、產(chǎn)業(yè)發(fā)展和政府管理對標準化的需求。
由于汽車網(wǎng)絡安全標準基于車聯(lián)網(wǎng)復雜環(huán)境，以車端為核心運用縱深防御理念保護其免受網(wǎng)絡攻擊或緩解網(wǎng)絡安全風險，主要包括安全保障類與安全技術類標準。其中，安全保障類標準主要規(guī)范了企業(yè)及產(chǎn)品相關的體系管理和審核評估方法；安全技術類標準主要包括車用數(shù)字證書、密碼應用等底層支撐類技術要求，元器件級、關鍵系統(tǒng)部件級、整車級安全技術要求及測試評價方法，以及態(tài)勢感知和入侵檢測等綜合安全防護技術要求、軟件升級技術要求等。
汽車數(shù)據(jù)安全標準用于確保智能網(wǎng)聯(lián)汽車數(shù)據(jù)處于有效保護和合法利用的狀態(tài)并具備保障持續(xù)安全狀態(tài)的能力，對重要數(shù)據(jù)和個人信息提出明確的安全保護要求，主要包括數(shù)據(jù)通用要求、數(shù)據(jù)安全要求、數(shù)據(jù)安全管理體系規(guī)范、數(shù)據(jù)安全共享模型和架構等標準。
除此之外，以下《信息安全技術汽車電子系統(tǒng)網(wǎng)絡安全指南》也對于產(chǎn)業(yè)發(fā)展有重要的指導作用。
汽車行業(yè)正處于變革的關鍵時期，汽車正在迅速向 IT 化、智能化邁進。智能化的過程中，汽車涉及到的電子設備必然會逐漸增多，涉及到整車廠、零部件供應商、軟件供應商和芯片供應商等各產(chǎn)業(yè)鏈環(huán)節(jié)。
因此，如何規(guī)范汽車車載系統(tǒng)的網(wǎng)絡安全、如何從網(wǎng)絡安全的角度對汽車軟件的開發(fā)過程進行指導、約束，對提升汽車電子系統(tǒng)的網(wǎng)絡安全防護水平、確保汽車產(chǎn)品符合國家網(wǎng)絡安全要求具有重要意義。
《信息安全技術汽車電子系統(tǒng)網(wǎng)絡安全指南》的出臺車載電子系統(tǒng)網(wǎng)絡安全建設提供了指導性意見，適用于目前車聯(lián)網(wǎng)背景，要求包括汽車電子系統(tǒng)的安全防護要求、網(wǎng)絡安全體系參考架構、保障網(wǎng)絡安全的指導原則、現(xiàn)有技術與方法，以及汽車電子產(chǎn)品網(wǎng)絡安全的生命周期過程框架等方面的內(nèi)容，為開發(fā)具有網(wǎng)絡安全要求的汽車電子產(chǎn)品提供統(tǒng)一的規(guī)范，為汽車電子的產(chǎn)業(yè)鏈環(huán)節(jié)提供基于標準的活動指南。
法規(guī)體系賦能智能汽車奔向未來
現(xiàn)階段，從汽車行業(yè)趨勢來看，國內(nèi)汽車廠商企圖從智能汽車賽道實現(xiàn)彎道超車的“野心”已經(jīng)愈發(fā)明顯。隨著汽車智能化程度不斷提高，對車載系統(tǒng)和車聯(lián)網(wǎng)技術的要求會“無限”拔高，汽車軟件和汽車網(wǎng)絡也緊跟著變得愈發(fā)復雜，因此想要取得長足發(fā)展，必須正視智能汽車車聯(lián)網(wǎng)的安全性。
無可爭議，網(wǎng)絡信息安全已經(jīng)成為智能汽車發(fā)展道路上不得不越過的障礙，如何應對愈發(fā)復雜車機系統(tǒng)帶來的安全漏洞，以及智能信息收集手段帶來的安全風險將成為汽車制造商和汽車運營商迫切解決的問題。
鑒于此，汽車制造商不能僅僅追求外觀、操縱性、智能化等外在“噱頭”，必須將企業(yè)資源投入到更加重要的軟硬件設備制造上，在汽車行業(yè)政策標準的引領下，最大程度的做到合規(guī)、安全。
而國家層面出臺的汽車行業(yè)法律法規(guī)給行業(yè)帶來一定的威懾，從而規(guī)范汽車行業(yè)的網(wǎng)絡安全標準。汽車行業(yè)依托《中華人民共和國網(wǎng)絡安全法》、《中華人民共和國數(shù)據(jù)安全法》、《中華人民共和國個人信息保護法》這三項“上位法”，車聯(lián)網(wǎng)安全政策法規(guī)不斷完善細化，開枝散葉，逐漸形成了車聯(lián)網(wǎng)安全體系，為車聯(lián)網(wǎng)產(chǎn)業(yè)安全健康發(fā)展提供支撐。
未來，我國現(xiàn)行汽車法律法規(guī)還需根據(jù)智能網(wǎng)聯(lián)汽車特點進行創(chuàng)新，根據(jù)智能網(wǎng)聯(lián)汽車技術發(fā)展進度，應統(tǒng)籌推進相關法律法規(guī)的修訂或進行專項司法解釋，并以完善的法律體系為基礎，切實夯筑網(wǎng)絡安全的底座，為智能汽車騰飛打下基礎。
