基于新數(shù)據(jù)安全法規(guī)的汽車企業(yè)數(shù)據(jù)安全建設(shè)探析

韋菊梅，張 亮，班定東，陳煉松

（上汽通用五菱汽車股份有限公司廣西汽車新四化重點(diǎn)實(shí)驗(yàn)室，廣西 柳州 545007）

1 當(dāng)前汽車數(shù)據(jù)安全現(xiàn)狀

隨著大數(shù)據(jù)時(shí)代的到來以及信息技術(shù)的高速發(fā)展，傳統(tǒng)汽車行業(yè)已逐漸向智能網(wǎng)聯(lián)汽車行業(yè)的方向邁進(jìn)。其較為顯著的特征就是汽車的電子化、網(wǎng)聯(lián)化和智能化，而一旦與互聯(lián)網(wǎng)交互，便不可避免地產(chǎn)生數(shù)據(jù)安全風(fēng)險(xiǎn)。當(dāng)前車聯(lián)網(wǎng)數(shù)據(jù)主要包含車輛運(yùn)行、交互環(huán)境和用戶使用等三類信息[1]。通過車輛運(yùn)行數(shù)據(jù)即可得到用戶的軌跡信息，通過交互環(huán)境數(shù)據(jù)即可得到用戶所經(jīng)路途所處位置的位置面貌，通過用戶使用即可得到用戶的基本個(gè)人信息，甚至是用戶綁定其他終端平臺(tái)的一些敏感信息，通過三類信息的交互，幾乎能得到用戶生活相關(guān)的所有關(guān)鍵數(shù)據(jù)。也正因如此，汽車信息安全問題日益嚴(yán)峻，近年來已發(fā)生了多起汽車信息安全召回事件，引發(fā)了行業(yè)的高度關(guān)注。而今年的焦點(diǎn)問題無疑是特斯拉事件，先是今年年初傳出國(guó)內(nèi)部分政府機(jī)關(guān)和園區(qū)禁止特斯拉進(jìn)入引發(fā)網(wǎng)友熱議，理由是“特斯拉裝有全方位攝像頭、超聲波雷達(dá)等一系列能暴露目標(biāo)位置的技術(shù)裝置”，涉及軍事秘密等方面的國(guó)家安全；再到上海車展期間發(fā)生的“剎車門”維權(quán)事件，特斯拉向有關(guān)部門提交了相關(guān)的行車數(shù)據(jù)，然而卻因此遭到車主的強(qiáng)烈譴責(zé)，稱該數(shù)據(jù)泄露了自己的個(gè)人隱私，更有質(zhì)疑者表示質(zhì)疑該數(shù)據(jù)的真實(shí)性，表明是否經(jīng)過篡改、加工等操作我們也無從得知等等，特斯拉“剎車門”維權(quán)事件引發(fā)全行業(yè)的熱議，而其涉及到的汽車數(shù)據(jù)安全問題也受到了廣泛關(guān)注，據(jù)國(guó)家工業(yè)信息安全發(fā)展研究中心發(fā)布的《自動(dòng)駕駛數(shù)據(jù)安全白皮書2020》顯示，從2015年開始全球范圍內(nèi)就發(fā)生過多起自動(dòng)駕駛數(shù)據(jù)安全事件，包括寶馬、大眾、豐田等，重者可以通過偽造指令，遠(yuǎn)程操控汽車。從此可以看出，汽車數(shù)據(jù)安全問題已經(jīng)成為汽車產(chǎn)業(yè)甚至全社會(huì)關(guān)注的焦點(diǎn)。

2 數(shù)據(jù)安全建設(shè)對(duì)于汽車企業(yè)發(fā)展的重要性

數(shù)據(jù)泄露有無心之失，更有有意竊取之勢(shì)。網(wǎng)聯(lián)汽車的出現(xiàn)實(shí)現(xiàn)了用戶線上和線下生活的有機(jī)結(jié)合，這種有機(jī)結(jié)合而來的數(shù)據(jù)不僅涵蓋了與車輛安全運(yùn)行關(guān)聯(lián)的數(shù)據(jù)，同時(shí)也包括了用戶個(gè)人信息（甚至涉及用戶敏感信息）、車聯(lián)網(wǎng)應(yīng)用服務(wù)相關(guān)的數(shù)據(jù)，這些數(shù)據(jù)信息相結(jié)合，幾乎可以得出個(gè)人生活相關(guān)的所有關(guān)鍵數(shù)據(jù)，一旦這些數(shù)據(jù)被泄露，所有的個(gè)人隱私也將無所遁形，暴露在大眾視角中；同時(shí)，更為嚴(yán)重的是，若車輛或車聯(lián)網(wǎng)平臺(tái)被黑客非法入侵，可能會(huì)面臨車輛被遠(yuǎn)程解鎖、遠(yuǎn)程開車門、啟動(dòng)，甚至是轉(zhuǎn)向系統(tǒng)、動(dòng)力系統(tǒng)等被非法控制，造成車輛被盜取的財(cái)產(chǎn)損失甚至車輛行駛安全事故。更有甚至，汽車數(shù)據(jù)安全甚至對(duì)國(guó)家安全帶來威脅，較為典型的無疑是前段時(shí)間的滴滴被審查整改下架事件，其造成的數(shù)據(jù)安全問題已對(duì)國(guó)家安全造成了一定影響。對(duì)于企業(yè)來說，若不處理好汽車數(shù)據(jù)安全問題，不僅無法得到消費(fèi)者的信任，甚至無底線的過度收集用戶數(shù)據(jù)，還會(huì)受到來自國(guó)家層面的監(jiān)督和“叫停”，據(jù)統(tǒng)計(jì)，約56%的消費(fèi)者表示信息安全和隱私保護(hù)將成為他們未來購(gòu)車時(shí)的主要考慮因素[2]，由此可見，數(shù)據(jù)安全建設(shè)對(duì)于汽車企業(yè)未來發(fā)展的好與壞，無疑占有極其重要比重。

3 新數(shù)據(jù)安全法規(guī)對(duì)數(shù)據(jù)信息安全建設(shè)提出的要求

隨著數(shù)字經(jīng)濟(jì)日益成為國(guó)際競(jìng)爭(zhēng)的制高點(diǎn)，數(shù)據(jù)安全治理、數(shù)據(jù)安全保護(hù)立法也成為大國(guó)競(jìng)爭(zhēng)和爭(zhēng)奪數(shù)字經(jīng)濟(jì)領(lǐng)先地位的重要標(biāo)志。我國(guó)也十分重視信息安全的發(fā)展，從此前出臺(tái)的《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《中華人民共和國(guó)電子簽名法》等一系列法律法規(guī)對(duì)信息安全相關(guān)的規(guī)范引導(dǎo)，再到今年以來陸續(xù)施行的《中華人民共和國(guó)數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》兩部關(guān)于數(shù)據(jù)安全信息安全的律法，可以看到國(guó)家對(duì)信息安全保護(hù)的重視，其中，《數(shù)據(jù)安全法》是我國(guó)第一部有關(guān)數(shù)據(jù)安全保護(hù)的律法，將改變長(zhǎng)期以來對(duì)數(shù)據(jù)的“重搜集、輕保護(hù)”現(xiàn)象，更加注重?cái)?shù)據(jù)收集方式的嚴(yán)厲管控，從數(shù)據(jù)的收集到開發(fā)利用，再到開展數(shù)據(jù)相關(guān)活動(dòng)等方面都進(jìn)行了嚴(yán)厲約束，同時(shí)在制度制定、數(shù)據(jù)安全保護(hù)義務(wù)、政務(wù)數(shù)據(jù)的開放和發(fā)展都做出了明確的指示，對(duì)并對(duì)違反數(shù)據(jù)安全保護(hù)相關(guān)條例的行為列出具體法律責(zé)任，其數(shù)據(jù)保護(hù)范圍涵蓋個(gè)人隱私、企業(yè)數(shù)據(jù)安全乃至國(guó)家數(shù)據(jù)安全，樹立起全民數(shù)據(jù)安全保護(hù)的理念，為企業(yè)數(shù)據(jù)安全“保駕護(hù)航”，保障國(guó)家安全有序發(fā)展；《個(gè)人信息保護(hù)法》則是針對(duì)個(gè)人信息保護(hù)的法規(guī)條律，涉及敏感個(gè)人信息的處理規(guī)則、國(guó)家機(jī)關(guān)處理個(gè)人信息的特別規(guī)定、個(gè)人信息跨境提供規(guī)則、個(gè)人信息處理者的義務(wù)、法律責(zé)任等相關(guān)規(guī)定，為個(gè)人信息保駕護(hù)航。

4 新數(shù)據(jù)安全法規(guī)給汽車企業(yè)帶來的影響

一系列法規(guī)的出臺(tái)，可以看到國(guó)家對(duì)于數(shù)據(jù)安全建設(shè)工作重視程度，汽車企業(yè)無疑也受到了一定影響，甚至作為涉及國(guó)家經(jīng)濟(jì)、裝備制造、金融、交通運(yùn)輸、生產(chǎn)生活等諸多領(lǐng)域制造企業(yè)，汽車企業(yè)在新法規(guī)要求下面臨的考驗(yàn)更加嚴(yán)峻。2021年8月16日，國(guó)家互聯(lián)網(wǎng)信息辦公室、國(guó)家發(fā)展和改革委員會(huì)、工業(yè)和信息化部、公安部、交通運(yùn)輸部聯(lián)合發(fā)布《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》（以下簡(jiǎn)稱《規(guī)定》），對(duì)汽車數(shù)據(jù)處理活動(dòng)以及汽車數(shù)據(jù)的開發(fā)利用都做出了明確規(guī)定，同時(shí)《規(guī)定》也是第一次對(duì)“特定行業(yè)”中的“重要數(shù)據(jù)”進(jìn)行了定義，并以列舉的方式對(duì)汽車行業(yè)中的“重要數(shù)據(jù)”進(jìn)行規(guī)定，這就要求汽車企業(yè)對(duì)于數(shù)據(jù)安全管理工作提出了更高的要求。一方面，對(duì)于汽車數(shù)據(jù)處理，企業(yè)需對(duì)數(shù)據(jù)收集方式進(jìn)行管控，只有在駕駛?cè)嗽O(shè)定的收集方式下才能進(jìn)行自動(dòng)獲取，非必要數(shù)據(jù)只能在車內(nèi)進(jìn)行處理，無需對(duì)外面進(jìn)行提供；同時(shí)企業(yè)需在所提供功能服務(wù)對(duì)數(shù)據(jù)精度的要求確定攝像頭、雷達(dá)等的覆蓋范圍、分辨率；對(duì)于數(shù)據(jù)要盡可能進(jìn)行脫敏處理方能向外公布等；另一方面，對(duì)于個(gè)人信息處理，要求企業(yè)必須進(jìn)行告知義務(wù)，如告知駕駛?cè)藬?shù)據(jù)收集的具體情境和用途等，同時(shí)應(yīng)對(duì)敏感信息進(jìn)行匿名化處理，對(duì)于應(yīng)刪除的信息，也需在規(guī)定時(shí)間內(nèi)進(jìn)行刪除。對(duì)于重要數(shù)據(jù)，企業(yè)有責(zé)任且有義務(wù)制定有力保護(hù)措施，強(qiáng)化數(shù)據(jù)保護(hù)力度，并對(duì)數(shù)據(jù)安全問題負(fù)責(zé)。《規(guī)定》等新法規(guī)的發(fā)布，對(duì)各行各業(yè)也敲起了一個(gè)響鐘，對(duì)于數(shù)據(jù)收集處理，企業(yè)將不再“俯首可得”，并且在收集、使用、開發(fā)和處理過程中都需制定嚴(yán)格的規(guī)定。對(duì)于汽車行業(yè)數(shù)據(jù)安全管理的合規(guī)工作，也需提出更高要求。

5 關(guān)于汽車企業(yè)數(shù)據(jù)安全建設(shè)的建議

新數(shù)據(jù)安全法規(guī)的出臺(tái)，表明了對(duì)于數(shù)據(jù)安全管理的管控工作，在未來只會(huì)越來越嚴(yán)，作為涉及國(guó)家經(jīng)濟(jì)、裝備制造、交通運(yùn)輸、生產(chǎn)生活等諸多領(lǐng)域制造企業(yè)，無論是傳統(tǒng)汽車企業(yè)，還是智能網(wǎng)聯(lián)汽車，對(duì)于數(shù)據(jù)安全管理工作的開展，都亟需開展，在此提出幾點(diǎn)建議：

1）建立健全汽車數(shù)據(jù)安全管理制度，所謂國(guó)有國(guó)法，家有家規(guī)，無規(guī)矩不成方圓，對(duì)于企業(yè)管理來說同樣如此，數(shù)據(jù)管理，制度先行，只有明確了數(shù)據(jù)安全管理的工作職責(zé)，明確責(zé)任部門和負(fù)責(zé)人，確定數(shù)據(jù)保護(hù)范圍，規(guī)定數(shù)據(jù)處理工作開展的方式，才能更好的開展數(shù)據(jù)保護(hù)工作。

2）對(duì)汽車數(shù)據(jù)安全嚴(yán)格管控和保護(hù)，從源頭管理到數(shù)據(jù)安全售后負(fù)責(zé)形成一條數(shù)據(jù)安全管理鏈路。具體可以表現(xiàn)為數(shù)據(jù)收集有原則，數(shù)據(jù)利用有方式，數(shù)據(jù)保護(hù)有技術(shù)（可通過定期備份、信息加密等方式對(duì)數(shù)據(jù)進(jìn)行保護(hù)），同時(shí)需建立數(shù)據(jù)資產(chǎn)管理臺(tái)賬，實(shí)施數(shù)據(jù)分級(jí)分類管理工作，汽車數(shù)據(jù)量動(dòng)輒幾百上千萬，包含個(gè)人信息、車輛數(shù)據(jù)、行程數(shù)據(jù)等多種數(shù)據(jù)，若企業(yè)建立數(shù)據(jù)資產(chǎn)管理臺(tái)賬，對(duì)數(shù)據(jù)進(jìn)行分類分級(jí)管理，對(duì)于不同安全級(jí)別的數(shù)據(jù)應(yīng)制定不同的安全管理措施，將能更好進(jìn)行數(shù)據(jù)安全管理。

3）建立汽車網(wǎng)絡(luò)安全管理制度，隨著汽車智能化網(wǎng)聯(lián)化的發(fā)展，汽車也離不開網(wǎng)絡(luò)的掣肘。汽車網(wǎng)絡(luò)系統(tǒng)由使用平臺(tái)、互聯(lián)網(wǎng)車載系統(tǒng)和終端等多個(gè)子系統(tǒng)組成，平臺(tái)層還與其他應(yīng)用服務(wù)商的子系統(tǒng)連接。龐大的參與主體使得網(wǎng)絡(luò)安全的鏈條更為脆弱，網(wǎng)絡(luò)風(fēng)險(xiǎn)激增[3]。因此，企業(yè)需建立汽車網(wǎng)絡(luò)安全管理制度，采取技術(shù)措施和其他必要措施，保障網(wǎng)絡(luò)安全、穩(wěn)定運(yùn)行，有效應(yīng)對(duì)網(wǎng)絡(luò)安全事件，防范網(wǎng)絡(luò)違法犯罪活動(dòng)，維護(hù)網(wǎng)絡(luò)數(shù)據(jù)的完整性、保密性和可用性。

4）樹立外防內(nèi)管的信息安全防御觀[4]。定期對(duì)企業(yè)員工進(jìn)行信息安全培訓(xùn)，樹立全員信息安全保護(hù)意識(shí)，不斷完善智能網(wǎng)聯(lián)汽車安全管理和信息保密制度，建立包括汽車制造企業(yè)、零部件供應(yīng)商等關(guān)鍵要素的安全責(zé)任體系。同時(shí)建立自查機(jī)制，加強(qiáng)自查工作的開展，在發(fā)現(xiàn)存在數(shù)據(jù)安全、網(wǎng)絡(luò)安全等嚴(yán)重問題的，需及時(shí)進(jìn)行整改，從安全管理、數(shù)據(jù)安全等方面，將安全工作貫穿行業(yè)全鏈條全環(huán)節(jié)。構(gòu)建防管結(jié)合、軟硬件結(jié)合的安全防護(hù)體系，注重攻擊防御、企業(yè)商業(yè)秘密保護(hù)、個(gè)人隱私保護(hù)。