標準政策下智能網聯汽車信息安全發展思考

谷陽陽，王 磊,2，劉鵬飛

（1.中國汽車技術研究中心有限公司，天津 300300；2.中汽研軟件測評（天津）有限公司，天津 300300）

1 背景介紹

隨著汽車工業的不斷發展，汽車與信息、通信等產業跨界融合，智能網聯汽車已經成為現代汽車產業發展的主要組成部分，代表著汽車產業未來的發展方向。智能網聯汽車在傳統的汽車領域上融合多種現代技術，包括計算機技術、互聯網技術、傳感器技術、自動化控制技術、語音識別技術、圖像識別技術、輔助駕駛技術和無人駕駛技術等，這些技術都高度依賴網絡作為信息傳輸的載體。智能網聯汽車將通信功能與網絡技術深度融合，具有諸如復雜的環境融合感知、智能決策和協作控制等功能。網絡和數據等安全問題隱含重大安全風險，信息安全漏洞已經危及用戶的數據安全、個人隱私、通信安全甚至車輛的功能安全，導致用戶群體的切身權益面臨被侵害的風險。

通過對智能網聯汽車的信息安全進行監控，及時發現智能網聯汽車運行網絡中存在的威脅，可以有效保障智能網聯汽車的信息安全和可靠性。近年來，國家密集出臺了大量針對智能網聯汽車的網絡安全和數據安全相關政策法規，立足總體國家安全觀，落實企業主體責任，加強全方位信息安全監管，進行全生命周期信息安全管理，從而促進新技術、新應用發展。

2 標準政策現狀

2.1 國內智能網聯汽車相關政策

為推動車聯網創新發展、強化信息安全風險評估，國家發展和改革委員會、中共中央網絡安全和信息化委員會辦公室、工業和信息化部、交通運輸部、公安部等各主管部委紛紛發布管理政策，協同制訂智能網聯汽車信息安全管理領域的頂層設計與規劃，積極推動智能交通和車聯網發展。

2007年6月22日，公安部、國家保密局、國家密碼管理局、原國務院信息化工作辦公室聯合印發了《信息安全等級保護管理辦法》，標志著等級保護制度正式開始實施。2020年9月，公安部制定出臺《貫徹落實網絡安全等級保護制度和關鍵信息基礎設施安全保護制度的指導意見》（以下簡稱指導意見），進一步健全完善國家網絡安全綜合防控體系，有效防范網絡安全威脅，有力處置重大網絡安全事件，切實保障關鍵信息基礎設施、重要網絡和數據安全。

2016年8月，國家發展改革委員會和交通運輸部發布《推進“互聯網+”便捷交通，促進智能交通發展的實施方案》，提出加快車聯網、船聯網建設，發展車聯網和自動駕駛技術，構建國家級車聯網無線技術驗證平臺等，以推動構建下一代交通信息基礎網絡。交通運輸部通過《關于加強道路運輸車輛動態監管工作的通知》積極推動“兩客一危”聯網聯控并取得積極成效，2016 年發布的《網絡預約出租汽車經營服務管理暫行辦法》也對車聯網產業的發展產生重要影響。交通運輸部所建立的交通的基礎設施、交通的環境、智能交通的環境建設，對于后續智能網聯汽車在大范圍的國際應用非常關鍵。

2021年7月5日中共中央網絡安全和信息化委員會辦公室聯合國家發展和改革委員會、工業和信息化部、公安部、交通運輸部發布《汽車數據安全管理若干規定（試行）》，自2021年10月1日起施行，明確了汽車數據、汽車數據處理以及汽車數據處理者的定義和范圍、個人信息采集處理要求、汽車數據處理的原則、汽車數據出境管理、數據安全審查備案等。

2021年7月30日工業和信息化部印發《關于加強智能網聯汽車生產企業及產品準入管理的意見》（以下簡稱意見），從加強數據和網絡安全管理、規范軟件在線升級、加強產品管理、保障措施等方面提出 11 項具體意見。《意見》要求加強汽車數據安全、網絡安全、軟件升級、功能安全和預期功能安全管理，保證產品質量和生產一致性，推動智能網聯汽車產業高質量發展。2021年9月16日工業和信息化部發布《關于加強車聯網網絡安全和數據安全工作的通知》，從網絡安全和數據安全基本要求、加強智能網聯汽車安全防護、加強車聯網網絡安全防護、加強車聯網服務平臺安全防護、加強數據安全保護以及法律責任六個方面提出了相關要求。

2.2 國內智能網聯汽車信息安全相關標準

全國汽車標準化技術委員會基于汽車信息安全風險危害及誘因，圍繞智能網聯汽車部署縱深防御、韌性防御等系統性防御策略，從保護對象的真實性、完整性、可用性、可控性、可預防性等多維度開展研究分析，開展標準化工作，加快組織制定汽車信息安全測試、車聯網防護定級、服務平臺防護、汽車漏洞分類分級、通信交互認證、數據分類分級、事件應急響應等標準規范及相關檢測評估、認證標準，智能網聯汽車信息安全標準體系逐步完善。

2021年4月，正在撰寫的《汽車整車信息安全技術要求與試驗方法》立項為強制性標準，同年11月發布的《電動汽車遠程服務與管理系統信息安全技術要求及試驗方法》（GB/T 40855—2021）、《車載信息交互系統信息安全技術要求及試驗方法》（GB/T 40856—2021）、《汽車網關信息安全技術要求及試驗方法》（GB/T 40857—2021），涉及車載信息交互系統、汽車網關和電動汽車車載終端三個部件，對于關鍵零部件的信息安全提出了較為具體的要求。此外，《電動汽車充電系統信息安全技術要求》《車聯網信息服務平臺安全防護檢測要求》等標準正在陸續制定，還有涉及車聯網密碼應用、車載操作系統、車用安全芯片、車聯網數據安全等多項標準正在預研中。

3 應對建議

3.1 建設智能網聯汽車安全團體及國家聯合標準體系

當前，汽車信息安全類標準體系仍屬前期階段，已經發布的國家標準與團體標準偏少，還需要加強標準研制工作，為產業發展提供可靠依據。建議加強相關國家與團體標準的統籌協調工作，制定符合汽車產業發展的政策標準，避免標準的重復建設和資源浪費，為汽車信息安全產業發展提供全局性的標準化支撐。

加強智能網聯汽車信息安全測試驗證標準的制定，為行業安全監管提供有力抓手，可以為智能網聯汽車信息安全的測試驗證工作提供統一的標準基線，促進智能網聯汽車信息安全的橫向流程體系與縱向防護技術的能力提升，從而加速實現信息安全與汽車電子系統全生命周期各階段的深度融合。

3.2 以數據推動運營模式創新

數據是智能網聯汽車中最有價值的資產，如何充分利用數據很大程度上決定了企業在智能網聯汽車建設中的競爭力。要想真正釋放數據的價值，必須實現數據在智能網聯汽車建設的內部乃至生態系統伙伴之間的順暢流動與高效共享，打造完整的數據供應鏈。隨著數據量和數據種類的不斷增加，傳統的數據分析技術已經不能完全滿足從數據中發掘洞見的需求，這對人工智能等更先進的技術提出了更多需求。

智能網聯汽車企業和服務機構在平臺上產生的互動將積累大量有價值的數據資產，通過對這些數據的有效洞察，將幫助其在智能網聯汽車的建設中更好地了解一級供應商（TIER1）與原始設備制造商（Original Equipment Manufacturer, OEM）的需求，并提供個性化服務，進而提升客戶體驗。這些數據還能提高運營效率，例如通過了解參與者的供應和需求，讓互動與資源共享更智能和高效。最重要的是，這些數據經過分析整理，能衍生出新的商業模式，促進產業轉型升級。

3.3 國家監管與企業建設

智能網聯汽車信息安全所建設的基礎數據庫與技術能力，需要在滿足TIER 1和OEM技術需求的基礎上，進一步滿足國家監管要求。在國家監管體系建設過程中，要積極發揮行業的優勢，為國家提供決策的數據支持和監管的技術手段，輔助政府相關部門保障國家安全。

首先，政府主管部門應加強頂層設計，構建國家信息安全認證體系。政府部委統一監管，采用行業公認的認證標準，授權具有資質和檢測認證能力的認證機構開展認證工作，認證結果在可供全社會查詢的平臺發布。國家級智能網聯汽車信息安全認證體系的建設，可避免重復認證帶來的資源浪費、在全行業內建立統一的信息安全基準。推動汽車信息安全標準頂層設計工作，加快相關政策法規、國家與行業標準研究與落地。

其次，企業應按照標準要求研發產品，積極獲得信息安全認證。汽車主機廠需要根據車輛產品應用場景和生命周期關鍵環節明確汽車信息安全需求，在汽車產品研發的不同階段進行管理約束和測試評價，最后進行整體安全驗證以及信息安全認證，并強化零部件供應商產品的信息安全管理，明確信息安全防護理念。

最后，第三方機構應加強能力建設，為行業提供多維度服務。第三方檢測認證機構作為汽車信息安全檢測認證的主要實施單位，需要著力于突破安全檢測核心技術，充分挖掘創新資源，大力開展智能網聯汽車的車端安全、外接終端安全、平臺安全、通信安全以及數據安全等前瞻技術研究。同時要加強跨部門、跨領域測試評價機構協同配合，建立權威的車聯網安全測試評價體系，重點研發零部件級、系統級、整車級的安全測試評價體系。

3.4 推廣應用

智能網聯汽車信息安全作為一個全行業的基礎共性問題，應該嚴格遵循國家法規政策，同時承接國家的監督管理要求。因此，智能網聯汽車信息安全的技術發展可以借助國家縱向課題和企業橫向課題的模式推進，一方面從國家角度明確政策、提出技術方向指導，另一方面從企業角度開展符合國家技術要求的產品技術研究和開發工作，承接國家課題技術研究任務，協助企業內部完善技術開發能力。

聚焦智能網聯汽車信息安全的核心關鍵技術研發，并選擇龍頭企業進行試點示范，從技術可行性、應用性、平臺化適應性等角度論證技術的成熟度，為進一步推進技術的產業應用推廣奠定良好基礎。同時在試點示范的過程中，技術成果往往可以為整車廠、檢測機構、監管部門等行業機構提供技術服務和運行數據支撐。從點到面，從行業的一個分支拓展到全行業供應鏈，增進技術的推廣和行業交流，更有效地推動智能網聯汽車信息安全核心關鍵技術的應用落地。

4 結語

智能網聯汽車是未來汽車發展的重要陣地，其伴隨而來的信息安全風險甚至已經上升到國家公共安全問題。從國家層面來講，在國家法律法規制度的基礎上，應該建立統一可行的智能網聯汽車產品準入與測試評價規范，促進智能網聯汽車的信息安全防護能力的進一步提升，保障智能網聯汽車信息安全科學發展。從企業層面來講，建立健全汽車全生命周期的信息安全風險評估和測試驗證體系，是智能網聯汽車信息安全的重要保障。