主机厂 CSMS 体系建设实践经验

为符合汽车出海的网络和数据安全合规要求， 主机厂需要确保在建立企业信息安全体系时同时参考与尽量满足国内及国际以下标准：

• GB/T 22080-2016：信息安全技术信息安全管理体系要求
• GB/T 22081-2016：信息安全技术信息安全控制实践指南
• 《工业和信息化领域数据安全管理办法（试行）》

• ISO/SAE 21434：道路车辆信息安全工程标准
• ISO 27001：信息安全管理体系标准
• ISO 27002：信息安全控制实践指南
• ISO 27701：隐私信息安全管理体系

ISO/SAE 21434 标准是一套用于道路车辆网络安全的方法论，其目的是为汽车行业供应链中的各方提供一套统一的专业领域描述体系，包括专业词汇及定义、目标、 要求及指导等，以方便相关方的相互理解。

ISO/SAE 21434 将汽车系统的全生命周期分为“概念阶段” “开发阶段”及“开发后阶段”等若干阶段， 在每个阶段中都需要执行相关的网络安全管理活动， 以保障全生命周期的网络安全目标被满足。

（1）概念阶段

这一阶段的主要任务是进一步定义技术层面和操作层面的网络安全控制措施，以满足网络安全目标。此外，还需要描述更为具体的网络安全需求，包括访问控制、数据保护、系统恢复等各个方面的详细要求。

所有这些分析结果的完整性、正确性及一致性同样需要得到验证和确认。此阶段的输出将作为后续安全设计和实施的基础。

（2）产品开发阶段

该阶段核心流程主要包含设计、产品集成与验证以及网络安全确认等几个重要环节。在产品设计阶段，重点任务是确保产品的网络安全性能，并识别和分析系统中可能存在的缺陷；在产品集成及验证阶段，主要工作是对设计进行集成并验证其性能是否符合网络安全规范；在网络安全确认阶段，需要通过严格审查确保目标系统符合预期的网络安全要求。

（3）后开发阶段

在完成了开发阶段后，产品即进入了后开发阶段，其主要包括生产、运行及维护以及退出等三个子阶段。生产阶段的主要目标为确保后开发阶段的网络安全需求被满足，且在生产过程中，新的网络安全风险不被引入；运营及维护阶段的主要工作为创建用于网络安全事件响应的计划，并在整个过程中执行该计划。

（4）退出阶段

全生命周期的最后一个阶段为退出阶段，该阶段的主要目的是与相关方沟通结束网络安全支持相关的事宜，并最终正式结束支持。另外，在退出阶段中仍需要满足与该阶段相关的网络安全需求，以保证产品的网络安全水平不在生命周期的最后阶段被破坏。

组织网络安全管理规定了公司/组织层面网络安全管理的要求，是组织内部最高层面的安全方针。主要包括以下 4 个方面：

（1）网络安全治理

网络安全治理是最宏观层面的安全治理方针，可总结为领导层重视、流程保证、职责划分、资源保证、与其他现有流程的结合等几个方面。同时，还应考虑网络安全体系与功能安全、隐私保护等其他安全领域的交互和融合。

（2）网络安全文化

为建立良好的网络安全文化，需要保证人员足够的网络安全能力和意识，并在网络安全工程的所有活动中保持对各方面事务的持续改进。

（3）信息共享

信息共享要求组织必须考虑组织内外部哪些数据共享是必须的、允许的，哪些是被禁止的，并根据这个准则去管理与第三方共享的数据。在具体实施层面，通常会对信息进行分级、制定相关的信息共享流程、使用专门的信息传输工具、与第三方确定漏洞披露原则等。

（4） 信息安全管理

相关的工作产品应该由一个信息安全管理系统来管理。对于已经建立完善的信息安全管理体系的组织来说，将网络安全的工作产品依照现有的信息安全管理流程进行管理即可。

差距分析是建设网络安全管理体系的第一步，在这一阶段，需要了解现有网络安全状况、确定参照标准与行业标准，并对比现有状况与目标标准，分析存在的差距和问题，并确定优先级。

建设实施阶段是根据差距分析的结果进行网络安全管理体系的建设。主要工作包括制定网络安全策略、构建安全管理体系框架、技术防护系统建设、安全培训与意识提升、应急响应机制建设等。

运行评估是检测体系建设质量的一个重要阶段。在体系建设完成之后，要定期评估体系运行状况，包括策略执行、技术防护效果等。

根据运行评估的结果，对网络安全管理体系进行持续改进和优化。包括完善安全管理制度和流程、提升安全技术水平、加强人员培训等方面。这个阶段需要持续关注新技术和新威胁的发展动态，确保网络安全管理体系的持续有效性和适应性。

上述内容节选自《汽车出海全产业数据安全合规发展白皮书》。