DSS 2023 | 车联网行业安全专家孙权 ：车联网供应链数据安全思考与实践

8月10日，由悬镜安全主办、以“开源的力量”为主题的DSS 2023数字供应链安全大会在北京·国家会议中心隆重召开。某车联网云服务提供商信息安全负责人孙权出席并发表了《探索车联网供应链被忽视的数据安全意识应对思考与实践》主题演讲。

图1 某车联网云服务提供商信息安全负责人孙权发表主题演讲

以下为演讲实录：

感谢邀请我参加DSS 2023数字供应链安全大会。我今天主要从四个方面跟大家分享的是关于应对车联网供应链中往往被忽视的数据安全问题的思考与实践。  

车联网产业生态体系构成复杂，因而业形成了较长的产业链。车联网产业链跨越了服务业与制造业两大领域，相互渗透，跨界融合特点突出。车联网产业跨界渗透融合性强，其产业链构成也区别于传统的上、中、下游的产业链构成方式。因此车联网产业链的构成可以结合车联网系统结构进行分析。车联网的系统结构包括“端、管、云”三个系统，车联网产业链也可以这三个角度来进行分析。

在智能化、网联化高速发展的背景下，车辆生产的过程从人工发演进到自动化，从汽车生产制造到下线、4S店、终端用户手里、网约车，车的全生命周期非常长，在这一过程中会产生很多数据。2023年6月底，全国机动车保有量达4.26亿辆，车联网用户增长很快。一辆智能网联汽车每天至少收集10TB的数据，不仅数量极大，而且涉及驾乘人员的出行轨迹、习惯、语音、视频等等，一旦遭受侵害会泄露个人隐私。

汽车行业与金融行业一样属于强监管行业，都是在标准层面对数据以及相关安全问题有一定的认知。我有幸参与汽车行业数据相关标准制定，基于终端用户产生的数据可以被行业内产业链所应用，也能够被交通主管部门用来解决智慧交通问题。将数据作为要素、资产应用从而产生价值，需要有对应的步骤，把数据标准化、结构化，这样才能形成最终有用的产品，帮助用户提供更好的体验。然而在数据应用的同时，数据安全问题却并没有得到重视。

汽车电动化、网联化、智能化和共享化等新四化的发展趋势下，增加了被攻击的风险。汽车网络安全挑战包括：软件定义汽车，车内代码数量激增；车云通信和短距通信等，攻击面扩大；零件功能增强、“黑盒”属性，供应链安全隐患巨大；自动驾驶等智能功能，安全攻击危害越来越大。整个攻击面涵盖车端威胁、管端威胁、云端威胁和人员威胁四个部分。

其中，车端威胁包括IVI安全、T-BOX安全、OBD安全、网关安全、CAN总线安全、ECU安全、手机终端安全、智能钥匙安全、OTA安全、行车记录仪Carlog安全、传感器安全、自动驾驶域控制器安全等；管端安全包括无线充电桩安全、智能语音安全、蜂窝网络安全和WIFI安全等；云端威胁包括TSP平台安全、租车平台安全等；人员威胁包括汽车供应链员工信息泄露、办公内网安全等。

图2 孙权分享汽车行业数据安全相关研究成果和实践经验

接下来对部分汽车数据相关标准进行解读。

第一个，汽车数据安全管理。2021年9月，工信部发布《关于加强车联网网络安全和数据安全工作的通知》（工信部网安〔2021〕134号），要求落实安全主体责任，全面加强安全保护。明确要求加强智能网联汽车安全防护、加强车联网网络安全防护、加强车联网服务平台安全防护、加强数据安全保护、健全安全标准体系。2022年3月7日，工信部发布《车联网网络安全和数据安全标准体系建设指南》，将车联网网络安全和数据安全标准体系划分为6 大部分共20 类标准，其中重点涉及到的安全领域包括为数字证书、密码应用、物联网安全、通信安全、身份认证、数据安全等。国家在数据安全方面要求加强数据分类分级管理，强化数据安全监测预警和应急处置能力建设，提升异常流动分析、违规跨境传输监测、安全事件追踪溯源等水平，规范数据开发利用和共享使用，强化数据出境安全管理。

第二个，汽车数据分类分级。在完成数据盘点后，需要根据数据属性，综合考虑数据保护事件影响对象和影响程度两方面因素制定数据分级指标,识别出“重要数据”和“一般数据”（并区分个人信息与非个人信息），将数据分类中的第四层级给与特定数据等级。2023年3月发布的《智能网联汽车数据分类分级实践指南》，参考《GB/T 信息安全技术 网络数据分类分级要求》《YD/T 3571-2020 车联网信息服务 数据安全技术要求》《YD/T3746-2020 车联网信息服务 用户个人信息保护要求》《北京市高级别自动驾驶测试示范区数据分类分级白皮书》对拟分类的数据进行梳理，根据智能网联汽车数据的类型、特性及业务使用场景等因素，并综合数据安全管理的总体目标和安全策略要求，对数据资产进行梳理、归类和细分。

第三个，汽车数据合规实践。2023年2月，国内近几年十分重视汽车数据安全问题，《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》对数据安全、个人信息保护等问题作了顶层规定。《汽车数据安全管理若干规定（试行）》明确了汽车数据处理者的责任和义务，规范汽车数据处理活动，指导行业开展汽车数据相关的技术研究与开发利用。车联网数据安全标准体系正在逐步构建，在通用要求、分类分级、出境安全、个人信息保护、应用数据安全等方面指导和规范车联网产业安全健康发展，为汽车企业提供数据安全合规实践指南。

此外还有人为因素法规要求，以及TISAX等汽车供应链安全风险评估标准，时间问题，不予赘述。

如何应对汽车供应链数据安全问题？

第一个，基于国家法规和标准要求，构建汽车网络安全体系，包含从研发到运营全生命周期的安全管理，以及安全组织架构、安全管理制度、安全合规、安全认证等内容。

图3 车辆网络安全管理体系（CSMS）

来源：2023.05.13 汽车网络安全管理体系VCSMS分享 上汽-冯斯恩老师

第二个，基于国家法规和标准要求，构建网络安全文化。这里可以引入安全意识计划成熟度模型，可以识别企业所处的阶段及下一步发展方向。

该模型共分为五个阶段：

1. 未采取任何防范措施，企业处于信息泄漏和违规风险中；

2. 仅为满足合规要求，被动开展相关的活动；

3. 认识到潜在风险，并主动采取技术与管理措施；

4. 建立评价度量指标，长期维持高安全意识水平；

5. 通过全方位的意识教育，安全基因融入企业文化。

以上就是我分享的全部内容，谢谢！