汽车数据安全新规满月 产业链公司忙于合纵连横

《数据安全法》出台后，汽车行业的数据安全规定率先落地。由国家互联网信息办公室、国家发展改革委、工业和信息化部、公安部、交通运输部发布的《汽车数据安全管理若干规定（试行）》（下称《规定》）10月1日起正式施行。如今，《规定》施行满月，作为汽车数据安全管理的主体，包括汽车制造商、信息服务商、安全厂商在内的产业链上下游公司已成联动之势，相关投入力度进一步加大。

　推进汽车数据安全合规

随着网络与信息安全建设的提速，车联网数据安全愈发受到关注。

今年4月，全国信息安全标准化技术委员会发布《信息安全技术网联汽车采集数据的安全要求（草案）》。6月，工业和信息化部发布《车联网（智能网联汽车）网络安全标准体系建设指南》并公开征求意见。8月12日，工业和信息化部发布《关于加强智能网联汽车生产企业及产品准入管理的意见》。8月16日，《规定》出台，并于10月1日正式实施。10月8日，全国信息安全标准化技术委员会发布《汽车采集数据处理安全指南》（TC260-001），对汽车采集数据进行传输、存储和出境等活动进行规范。

在全国信息安全标准化技术委员会秘书长，中国电子技术标准化研究院党委书记杨建军看来，开展汽车数据处理活动的组织，包括汽车制造商、零部件和软件供应商、经销商、维修机构及出行服务企业等，无论是单独处理、协同处理，都应严格遵守法律法规。

不同于个人移动终端，汽车运转产生的数据量非常大，未来一辆车产生的数据都将以“G”甚至“T”为单位。但是，如此庞大的数据应如何进行合理开发利用？行业认知和探索仍处于起步阶段。

在今年6月的一起信息安全事件中，约330万部汽车的车主和潜在客户的个人信息遭泄露，具体信息包括姓名、地址、手机号码、邮件，以及部分驾照号码、车牌号码、贷款号码等。工业和信息化部在一项调研中发现，85%的关键汽车部件存在安全漏洞，近六成企业缺乏自动化网络安全检测响应能力。

“此前，车联网安全还处于行业教育阶段，更多是事件驱动，只有发现漏洞或发生安全事故时，相关方才会采取行动。《规定》的施行，让行业转变为合规驱动。”腾讯安全车联网安全专家张康表示，今年是车联网安全元年，汽车安全已不是“大厂”才关注的问题，各类车企出于合规的需求，已开始成立信息安全相关部门。

《规定》还落实了年度报告制度，汽车数据处理者应按时主动报送年度汽车数据安全管理情况，这意味着监管力度更强，向系统化管理迈出重要一步。

　产业链上下游联动

随着车联网安全建设的推进和《规定》的施行，产业链上下游企业又有哪些新动向？

今年4月，上汽集团和腾讯宣布共建网络安全联合实验室。双方将打造网络安全产品，建立覆盖智能网联汽车全生命周期的网络安全运营体系。2020年5月，威马汽车EX5-Z正式上市，腾讯安全科恩实验室与其在系统安全、网络通信安全、权限管理安全、密码学应用安全等九大安全领域进行合作及开发，特别是对用户最常用的远程控制及蓝牙钥匙功能进行优化和提升。

上汽集团赤霄网络空间信息安全实验室负责人陈宁坦言，目前，车厂正不断加大数据安全方面的投入。上汽集团成立了分级安全管理体系，包含对智能网联汽车的要求，如总体安全管理要求、测试要求、运营要求、风险评估方法等。技术团队建设方面，建立了云端纵深防御的体系，从接入层、运营层、主机层、数据层到物理层，形成了每层对应的防护体系，确保云上应用尤其是汽车相关应用的安全可靠。检测方面，基于全生命周期管理流程，建立相关的技术平台，如应急响应中心平台，覆盖了上汽大概100家下属企业的相关网站、应用的安全监测，每天自动化执行扫描，发现漏洞。同时，结合车辆工具化检测，重点关注车辆安全运营及售后市场应用的安全问题。

在2021国家网络安全宣传周汽车数据安全论坛上，广汽研究院智能网联中心网联技术部专业总师黄敬透露：“通过在信息安全方面加大投入，我们的安全体系覆盖了车端、云端、通信管道及移动端。我们不仅建立了汽车安全运营平台，还形成了信息安全应对体系。”

华为智能汽车解决方案BU标准总监高永强表示，公司在2019年成立了智能汽车解决方案BU，提供智能网联、智能座舱、智能驾驶、智能车控、智能电动及数据平台等解决方案和产品。公司还借助ICT系统建立网络安全治理体系，从战略、治理和管控、流程和人力资源等九方面保障智能汽车网络安全。

造车“新势力”小鹏汽车，也与绿盟科技在车联网领域的网络安全产品及解决方案方面多有交流。

针对汽车数据安全保护体系建设，政府仍在逐步补齐和完善汽车数据监管体系和方法，在《数据安全法》《个人信息保护法》的框架下，进一步推动完善相关实施细则，明确企业的数据安全保护责任。

腾讯安全数据安全专家刘海洋表示，车联网数据量级大、主体多、链条长，单点风险解决方式收效甚微。通过车联网安全技术的联合深度共建，形成全流程一体化的解决方案，能有效、全面地提升车企安全能力。