中国信通院魏亮：种好种实车联网保安全、促发展的“责任田”，开创车联网安全管理新局面
近日，工业和信息化部印发了《关于加强车联网网络安全和数据安全工作的通知》（以下简称《通知》），标志着我国车联网网络安全和数据安全工作进入了落地实施新阶段。《通知》立足于车联网产业快速发展、网络安全和数据安全保护需求，统筹发展和安全，强化车联网安全工作落地部署，加快构筑车联网产业安全发展、行稳致远的“基线”和“防线”，为统筹推进全方位、多层次车联网安全管理和防护工作提出了重要政策要求和实践指引，对全面提升车联网安全保障能力、有力促进车联网产业规范健康发展具有重大而深远的意义。
一、车联网的发展和安全是驱动之双轮，新形势下加强车联网安全工作必要及时、意义重大
一是贯彻落实国家政策部署和法律法规必然要求、规范车联网网络安全和数据安全工作的关键抓手。《网络安全法》《数据安全法》《关键信息基础设施保护条例》作为我国网络空间安全领域的基本法律法规，同样是开展车联网网络安全和数据安全工作的根本依据。《新能源汽车产业发展规划（2021-2035年）》《汽车数据安全管理若干规定（试行）》等国家政策部署也进一步强化车联网网络安全和数据安全保护相关要求。《通知》作为推进我国车联网网络安全和数据安全工作的一项关键举措，强化与相关法律法规及政策要求的有效衔接，为车联网安全工作落地和保障能力提升提供了重要的政策保障和行动要义。
二是应对日益复杂的车联网安全形势，保障智能网联汽车安全和车联网产业健康发展的客观要求。近年来，网络安全不确定性、不稳定性要素明显增加。全球汽车智能化、网联化深入推进，车联网发展逐步呈现“人-车-路-网-云”全方位跨域互联和融合开放的特点，网络安全风险威胁进一步蔓延至智能网联汽车内外网络及通信、车联网平台及应用、车载联网设备、数据等更大范围、更多对象和环节，“易攻难守”态势不断加剧。《通知》聚焦车联网融合发展过程中的安全风险与挑战，明确六方面要求，细化十七条任务，督促指导智能网联汽车生产企业、车联网服务平台运营企业等产业多方主体，明确规范车联网应用侧、企业侧和产业侧的网络安全和数据安全要求，进一步保障车联网全产业、全链条安全健康发展，促进车联网发展和安全协调一致、齐头并进。
三是提升车联网安全防护能力，健全车联网安全保障体系的重要举措。《通知》充分把握车联网发展和安全的“一体两翼”、“驱动双轮”关系，坚持“关口前移、底线思维”，压实网络安全主体责任和管理重点，细化强化智能网联汽车安全以及车联网网络与通信、平台、数据等精细化、差异化安全防护要求，进一步构建完善适应车联网产业稳健发展、行稳致远的更高安全保障能力，加速健全车联网安全长效工作机制和保障体系，增强车联网安全发展韧性。
二、体系化联动部署，强化车联网安全保障的行动措施
《通知》明确了“落实安全主体责任、全面加强安全保护”的基本要求，细化了汽车、网络、平台、数据等多层面的安全防护要求，为车联网安全工作提供了系统性指引。
（一）压实安全主体责任。《通知》明确了智能网联汽车生产企业、车联网服务平台运营企业、基础电信企业等相关车联网企业的安全主体责任，从管理制度和责任制、明确负责人和管理机构、内部监督管理、资源保障，以及安全宣传、教育和培训等多个层面提出了明确要求，引导企业全方位构建车联网络安全和数据安全工作的长效机制和多方面手段。
（二）细化安全防护要求。《通知》立足汽车、信息通信等网络安全和数据安全管理的工作实际，明确了多方面多层次的任务及措施。一是强化车联网网络安全和数据安全全局管理，注重管理与技术并重，强调安全管理制度、工作机制、防护措施、技术手段、标准规范等体系化工作的落实落地。二是细化落实车联网不同主体、不同防护要素等的安全要求，覆盖汽车、网络、平台、数据等安全防护对象，明确了定级备案、防护检测、检查评估、监测预警、应急处置、漏洞管理等闭环机制及要求，是指引车联网网络安全和数据安全工作全面、系统、有效开展的重要依据。
（三）加强汽车安全防护和漏洞管理。汽车网络及软硬件系统的设计缺陷、安全漏洞等风险隐患突出。例如，车载CAN总线存在的设计缺陷可导致汽车拒绝服务攻击，威胁汽车功能安全。当前联网汽车市场渗透率不断提升，单个联网车型的市场保有量普遍过万，汽车产品漏洞一旦被恶意利用，可能引发规模化网络攻击或入侵，影响公共安全，甚至是国家安全。《通知》强化了汽车安全防护和漏洞管理要求。在安全防护方面，明确了整车网络安全架构设计、车内通信系统安全和网络攻击防范等要求。尤其是针对车载关键设备及部件应进行安全检测，保障汽车系统安全运行。在漏洞管理方面，重点面向智能网联汽车生产企业，明确了漏洞发现、验证、分析、报送、修补、报告等工作要求。
（四）强化网络和通信全链条、多场景安全防护。《通知》强化了建立车联网身份认证和安全信任机制建设的重要性，提出应采取必要技术措施，防范通信信息伪造、重放攻击等安全风险，并加快推进跨车型、跨设施、跨企业的互联互认互通，保障车联网网络和通信安全。
（五）紧抓平台及应用整体性、分层次安全防护。经评估发现，目前车联网服务平台安全防护能力普遍不足，存在一定程度的未修复中高危漏洞，且因服务平台自身网络安全问题隐患可导致车辆远程控制失效、用户敏感信息和重要数据泄露等级联风险。《通知》强调了应全面提升车联网平台及应用安全防护能力，从平台接入安全、设施安全、平台及OTA升级服务安全，以及应用程序安全等方面提出了具体要求。对涉及在线数据处理与交易处理、信息服务业务等电信业务的，企业应依法取得电信业务经营许可。尤其是对于被纳入关键信息基础设施安全保护管理的车联网服务平台，应严格落实国家有关规定，强化安全防护，可依托第三方商用密码检测机构开展商用密码应用安全评估。
（六）明晰数据安全管理、技术、使用和出境等多层面要求。当前，联网汽车数据采集范围、类型日趋扩大，规模乘数增长，采集数据涵盖了可能关乎国家安全的道路、车流等环境数据，以及可能影响个人隐私和安全的录音录像、生物特征、位置轨迹等用户相关数据，且基于车联网数据的处理、分析及应用趋于深层次和多样化。总体来看，当前车联网数据安全保障能力仍不足，数据处理活动不规范，车联网数据安全问题日益突出。《通知》立足车联网数据安全管理和保护的焦点、难点，明确了具体要求：一是加强车联网数据分类分级管理，明确了“谁主管、谁负责，谁运营，谁负责”的数据安全管理原则。二是强调了数据开发利用和共享使用的安全管理和责任，明确定期开展数据安全风险评估，以及对数据合作方的安全能力审核评估和监督管理、数据出境安全管理等具体要求。三是确立了工业和信息化主管部门、地方通信管理局的车联网数据安全监督检查，以及数据出境备案、安全评估等工作职责。企业数据安全评估、数据出境安全评估等落实情况均应向地方通信管理局和工业和信息化主管部门报备。
三、找准关键，筑牢车联网安全防线
《通知》着力强化了车联网安全定级备案、监测预警、应急处置等重点要求，以标准体系建设和实践应用为牵引，建立健全闭环管理机制和手段。
（一）规范引领，加快车联网安全标准体系建设。一是强化标准体系的顶层规划设计，依据2021年6月已发布的《车联网（智能网联汽车）网络安全标准体系建设指南（征求意见稿）》，加快标准体系制定完善和发布。二是依托全国通信标准化技术委员会、全国汽车标准化技术委员会等组织，结合已发布的车联网服务平台安全防护、数据安全、个人信息保护等标准，加快组织研制防护定级、汽车漏洞分类分级、通信交互认证，以及检测、评估、认证等重点急需的行标和国标。三是强化智能汽车生产企业、车联网服务平台运营企业与第三方机构、安全企业等交流合作，推动企业宣标贯标和应用试点，强化标准工作实际落地。四是鼓励车联网相关企业、联盟协会等积极推进企业标准、团体标准的制定。
（二）摸清底数，开展车联网网络安全防护定级备案工作。《通知》重点面向车联网网络设施和系统，明确智能网联汽车生产企业、车联网服务平台运营企业应按照车联网网络安全防护相关标准，对所属网络设施和系统开展网络安全防护定级工作，并向地方通信管理局备案。同时，针对新建网络设施和系统，应在规划设计阶段确定网络安全防护等级。地方通信管理局会同工业和信息化主管部门做好定级备案审核工作。
（三）强化保障，加快监测预警和应急处置能力建设。着眼车联网安全闭环长效管理，应强化国家、企业多层面的监测和应急能力建设。《通知》明确要建立车联网安全监测预警通报与应急响应处置机制。从国家层面，加强车联网网络安全监测平台建设，开展网络安全威胁、事件的监测预警通报和安全保障服务。从企业层面，应建立网络安全监测预警与应急响应机制，建设安全监测技术手段，对智能网联汽车、车联网服务平台及联网系统开展网络安全相关监测，及时发现网络安全事件或异常行为，制定网络安全事件应急预案，定期开展定急演练，及时处置安全威胁、网络攻击等网络安全风险。
四、车联网安全工作新阶段的几点思考
（一）技管融合、联动管理，促长效机制落地。建立有效机制手段，健全车联网网络安全和数据安全定级防护、监督检查、风险评估、信息共享和通报、应急处置等管理闭环和协同机制。促进管理有效落地，面向汽车、网络、平台、数据等安全防护对象，加快建设国家车联网安全定级备案、监测应急等管理服务手段，提高技术和管理协同联动能力，全面提升车联网安全保障水平。
（二）以评促防、以评促建，筑牢车联网安全防护基线。聚焦车联网相关主体和网络设施及网络系统、服务平台、车载联网关键设备、数据等重点对象，加快开展车联网网络安全和数据安全符合性评测和风险评估，建立健全检测、评估及认证体系。鼓励支持第三方专业机构打造车联网安全检测评估服务平台，以测评为手段，以服务为牵引，支撑行业及地方主管部门开展安全监督检查、检测和评估服务，促进车联网安全防护水平有效提升。
（三）强化供给、保障服务，持续强劲车联网安全产业发展活力。立足车联网安全保障和开放创新的需求，一方面，化风险为动力，提升车联网安全人才、技术、产品、方案等供给服务能力，促进我国车联网产业安全健康、高质量发展。另一方面，注重“应用导向、供给提升”，汇聚产业各方共建车联网安全创新服务平台和协同机制，培育最佳实践、优秀方案和协同服务能力，建立车联网安全自增强、自适应的产业和应用体系，为车联网安全产业发展持续注入活力。
校 审 | 陈 力、 珊 珊
编 辑 | 凌 霄
推荐阅读