國際政策、法規(guī)的現(xiàn)狀與趨勢

鑒于對交通安全、社會安全甚至國家安全的重要影響，汽車網(wǎng)絡(luò)安全、數(shù)據(jù)安全得到各相關(guān)國家和地區(qū)的高度重視，紛紛出臺相關(guān)法規(guī)、標(biāo)準(zhǔn)。

信息安全法規(guī)

2020 年 6 月，聯(lián)合國世界車輛法規(guī)協(xié)調(diào)論壇（簡稱為 UN/WP.29）發(fā)布了 3 項關(guān)于智能網(wǎng)聯(lián)汽車的重要法規(guī) R155/R156/R157，即信息安全（Cybersecurity）/ 軟件升級（Software updates）/ 自動車道保持系統(tǒng)（ALKS），其中有關(guān)汽車網(wǎng)絡(luò)安全、軟件升級的 2 項法規(guī) R155、R156，均涉及到對汽車基礎(chǔ)軟件的相關(guān)內(nèi)容，包括防止非特權(quán)用戶 root 用戶訪問權(quán)限、軟件更新、代碼安全、密碼安全、軟件錯誤或漏洞等。法規(guī)明確要求了整車企業(yè)內(nèi)部開發(fā)體系需滿足網(wǎng)絡(luò)安全管理體系的要求，以及獲得認(rèn)證的要求。在此基礎(chǔ)上，車型開發(fā)需滿足網(wǎng)絡(luò)安全管理體系的要求，包括開發(fā)、測試、運(yùn)維、報廢全生命周期的管理。R155 法規(guī)適用范圍覆蓋了乘用車及商用車，適用于 M 類、N 類車型，裝備了至少一個 ECU 的 O 類車型，以及具備 L3 及以上自動駕駛功能的L6 和L7 類車型。此法規(guī)適合于 1958 協(xié)議國（包括歐洲、日本、俄羅斯、澳大利亞等）。根據(jù)歐盟要求，從2022 年7 月起所有新車型必須滿足該法規(guī)，獲取了WVTA（Whole Vehicle Type Approval）證書才能在歐盟上市銷售。2024 年 7 月起制造的車輛必須滿足該法規(guī)要求方可出廠銷售。R155 法規(guī)框架如下圖所示：

圖2.1-1 R155法規(guī)框架VDA 黃皮書定義了評估 OEM 是否滿足 CSMS 合規(guī)要求的方法以及評級方案，以及達(dá)到 CSMS 最低要求的必要措施。CSMS 認(rèn)證審查車輛制造商是否在車輛完整生命周期的各個階段均制訂了網(wǎng)絡(luò)安全管理流程，以確保汽車全生命周期中都有對應(yīng)的流程措施，保證信息安全設(shè)計、實施以及響應(yīng)均有流程體系指導(dǎo)。R155 法規(guī)中 “7.2 網(wǎng)絡(luò)安全管理體系要求” 具體闡述了 OEM 應(yīng)該滿足的 CSMS 認(rèn)證的內(nèi)容要求。7.2.2 明確規(guī)定 OEM 需要提供證據(jù)證明在車輛整個生命周期中各個階段都制訂了網(wǎng)絡(luò)安全管理體系要求， 同時充分考慮了安全性以及風(fēng)險和減緩措施。CSMS 要求OEM 對網(wǎng)絡(luò)攻擊、威脅以及漏洞進(jìn)行持續(xù)監(jiān)測， 并對發(fā)現(xiàn)的網(wǎng)絡(luò)威脅和漏洞要在合理時間范圍內(nèi)響應(yīng)并得到緩解。此外還要求 OEM 證明對供應(yīng)商、服務(wù)提供商、子公司的管理均符合 7.2.2 要求，以保證車輛網(wǎng)絡(luò)安全開發(fā)的一致性。VTA 認(rèn)證則是進(jìn)一步針對在車型開發(fā)過程中具體工作進(jìn)行網(wǎng)絡(luò)安全審查，保證在進(jìn)行審查認(rèn)證時車輛的網(wǎng)絡(luò)安全技術(shù)已足夠完備。關(guān)于 VTA 認(rèn)證的要求內(nèi)容在R155 法規(guī)中 “7.3 車輛型式需求” 具體闡述。首先第一條就是 OEM 須持有與認(rèn)證車型相關(guān)的 CSMS 證書。此外還提出了 OEM 在車型開發(fā)過程中需進(jìn)行車型要素識別，做到詳盡的風(fēng)險評估，管理并實施對應(yīng)緩解措施來應(yīng)對評估出的風(fēng)險。同時在車輛認(rèn) 證之前，OEM 應(yīng)對這些安全措施進(jìn)行驗證來確保其有效性。此外，NHTSA（美國高速公路交通安全管理局）于 2020 年發(fā)布了更新版的《Cybersecurity Best Practices for the Safety of Modern Vehicles》，對于密碼、診斷、車輛內(nèi)部通信安全、事件日志、網(wǎng)絡(luò)端口 / 協(xié)議 / 服務(wù)、外部通信、路由變更、軟件更新等方面內(nèi)容；ENISA（歐盟網(wǎng)絡(luò)安全局）于 2019 年底發(fā)布的《ENISA GOOD PRACTICES FOR SECURITY OF SMART CARS》對于安全檢測、網(wǎng)絡(luò)和協(xié)議保護(hù)、軟件信息安全、云端信息安全、密碼技術(shù)、訪問控制等提出了要求。用于改進(jìn)和評估汽車機(jī)械系統(tǒng)開發(fā)過程的標(biāo)準(zhǔn)  ASPICE（Automotive  SPICE）目前廣泛應(yīng)用于汽車領(lǐng)域，它是一個適用于傳統(tǒng)和敏捷開發(fā)的框架，支持產(chǎn)品工程，與功能安全和信息安全息息相關(guān)。Automotive SPICE 第 3.x 版定義了 “插件概念” ，對于電子電氣部分的開發(fā)過程越來越受關(guān)注。ASPICE 定義了系統(tǒng)級別、領(lǐng)域子系統(tǒng)級別、組件級別以及單元級別的開發(fā)活動，明確了整車企業(yè)及供應(yīng)商在各階段開發(fā)活動中的職責(zé)，提出了包含過程 維度與能力維度的過程能力評估模型。汽車基礎(chǔ)軟件的開發(fā)也需要滿足  ASPICE  中提出的相關(guān)要求，包括信息安全方面的需求、設(shè)計、測試與驗證等環(huán)節(jié)的要求。

數(shù)據(jù)安全法規(guī)

隨著智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)競爭加劇，各國均希望在數(shù)據(jù)安全規(guī)則層面占領(lǐng)制高點(diǎn)，全球范圍數(shù)據(jù)安全領(lǐng)域進(jìn)入立法高峰期，汽車數(shù)據(jù)安全相關(guān)法規(guī)明顯增多。2016 年德國發(fā)布了《使用聯(lián)網(wǎng)和非聯(lián)網(wǎng)車輛時的數(shù)據(jù)保護(hù)》，要求 “在車輛使用過程中產(chǎn)生的數(shù)據(jù)， 如果與車輛識別號碼或車牌有聯(lián)系，就可以被視為《德國聯(lián)邦數(shù)據(jù)保護(hù)法》意義上的個人數(shù)據(jù)” ，提高了車輛使用過程中產(chǎn)生數(shù)據(jù)的保護(hù)等級。2017 年英國《智能網(wǎng)聯(lián)汽車網(wǎng)絡(luò)安全關(guān)鍵原則》提出了保障數(shù)據(jù)存儲和傳輸安全可控等在內(nèi)的八大原則、二十九項細(xì)則，將網(wǎng)絡(luò)數(shù)據(jù)安全責(zé)任拓展到車聯(lián)網(wǎng)產(chǎn)業(yè)鏈的每個主體，并強(qiáng)調(diào)應(yīng)在汽車生命全周期內(nèi)納入網(wǎng)絡(luò)數(shù)據(jù)安全問題。2017 年，美國出臺了《汽車安全與隱私法案》，對車聯(lián)網(wǎng)相關(guān)數(shù)據(jù)的收集和產(chǎn)生提出了兩大原則： 透明和消費(fèi)者所有，即要求廠商在數(shù)據(jù)采集的范圍和內(nèi)容上必須透明，告訴消費(fèi)者采集了哪些數(shù)據(jù)；在 數(shù)據(jù)的使用上必須得到消費(fèi)者的許可。2020 年 1 月美國《自動駕駛汽車準(zhǔn)則 4.0》確立了自動駕駛十大原則，強(qiáng)調(diào)了安全和網(wǎng)絡(luò)安全，特別是確保隱私和數(shù)據(jù)安全。2016 年 4 月，歐盟議會批準(zhǔn)發(fā)布 GDPR 通用數(shù)據(jù)保護(hù)條例，是一項對歐洲自然人數(shù)據(jù)的管理和安全問題進(jìn)行規(guī)范的歐盟新法規(guī)，用于取代 1995 年發(fā)布的數(shù)據(jù)保護(hù)指令 (DPD)。GDPR 于 2018 年 5 月25 日正式生效，包含 11 章共 99 條要求。條例對個人數(shù)據(jù)、個人敏感數(shù)據(jù)等進(jìn)行了定義，違反 GDPR 的行為，可處 2000 萬歐元行政罰款或集團(tuán)全球前一年營業(yè)額 4%（最高）。（根據(jù) TUV SUD 的相關(guān)統(tǒng)計， 至 2020 年 10 月，在歐洲各國的執(zhí)法機(jī)構(gòu)已處罰 48 例，約 51,800,000 歐元。）目前，GDPR 監(jiān)管和執(zhí)行的邏輯日益清晰，以風(fēng)險為導(dǎo)向的數(shù)據(jù)合規(guī)管控方式日益深化。2016 年 11 月，歐盟發(fā)布了《歐盟網(wǎng)聯(lián)汽車戰(zhàn)略》，表明了個人數(shù)據(jù)和隱私保護(hù)對于自動駕駛汽車能否成功落地應(yīng)用起著決定性作用。在該戰(zhàn)略中，歐盟認(rèn)為所有車聯(lián)網(wǎng)產(chǎn)生數(shù)據(jù)都是用戶個人數(shù)據(jù)，因此歐盟區(qū)域內(nèi)車聯(lián)網(wǎng)產(chǎn)生的數(shù)據(jù)同樣屬于消費(fèi)者。歐盟數(shù)據(jù)保護(hù)委員會（EDPB）發(fā)布了《車聯(lián)網(wǎng)個人數(shù)據(jù)保護(hù)指南》。2021 年 3 月歐洲《車聯(lián)網(wǎng)個人數(shù)據(jù)保護(hù)指南 2.0》指出 “聯(lián)網(wǎng)車輛下任何涉及處理個人數(shù)據(jù)的數(shù)據(jù)處理情形均適用 GDPR” ，在 GDPR 規(guī)范的個人數(shù)據(jù)保護(hù)框架下進(jìn)一步細(xì)化了汽車數(shù)據(jù)治理規(guī)則。