近段時(shí)間，特斯拉維權(quán)事件在國(guó)內(nèi)也是鬧得愈演愈烈，維權(quán)女車主和特斯拉，以及國(guó)內(nèi)相關(guān)部門，都在密切推動(dòng)、關(guān)切維權(quán)事宜的進(jìn)展。與此同時(shí)，此次維權(quán)事件，也間接或直接推動(dòng)了國(guó)內(nèi)智能網(wǎng)聯(lián)汽車數(shù)據(jù)信息安全的研發(fā)和建立。
近日，“第11屆中國(guó)汽車論壇”舉辦，國(guó)家工業(yè)信息安全發(fā)展研究中心副總工程師兼信息政策所所長(zhǎng)黃鵬發(fā)表了演講。
主要是介紹了團(tuán)隊(duì)最新的研究成果——關(guān)于智能網(wǎng)聯(lián)汽車數(shù)據(jù)安全的研究，提到將統(tǒng)籌產(chǎn)業(yè)創(chuàng)新發(fā)展與保障數(shù)據(jù)安全、盡快出臺(tái)數(shù)據(jù)分類分級(jí)指南和管理細(xì)則、建立事前風(fēng)險(xiǎn)評(píng)估和事后應(yīng)急響應(yīng)機(jī)制、重點(diǎn)關(guān)注跨境數(shù)據(jù)流動(dòng)問(wèn)題等。
黃鵬主要從五個(gè)方面做了報(bào)告，一是智能網(wǎng)聯(lián)汽車的內(nèi)涵和發(fā)展現(xiàn)狀;二是智能網(wǎng)聯(lián)汽車數(shù)據(jù)安全發(fā)展態(tài)勢(shì);三是車企對(duì)智能網(wǎng)聯(lián)汽車數(shù)據(jù)安全的認(rèn)識(shí)不斷加深;
四是網(wǎng)絡(luò)安全企業(yè)在智能網(wǎng)聯(lián)汽車數(shù)據(jù)安全市場(chǎng) " 大有可為 ";五是政府積極統(tǒng)籌智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)發(fā)展與數(shù)據(jù)安全保護(hù)。
一、智能網(wǎng)聯(lián)汽車的內(nèi)涵及發(fā)展現(xiàn)狀
智能網(wǎng)聯(lián)汽車作為一個(gè)新興的重要領(lǐng)域和場(chǎng)景，發(fā)展已勢(shì)不可擋，而且主流國(guó)家和行業(yè)組織對(duì)于智能網(wǎng)聯(lián)汽車，已經(jīng)從系統(tǒng)、產(chǎn)品、裝備、網(wǎng)絡(luò)等角度都有一些重要布局。
研究認(rèn)為，智能網(wǎng)聯(lián)汽車不同于傳統(tǒng)的汽車裝備，至少有四個(gè)顯著特點(diǎn)。
首先是互聯(lián)互通，這是基本的特征。
二是軟件定義。從原來(lái)的機(jī)械驅(qū)動(dòng)發(fā)展為未來(lái)的數(shù)據(jù)驅(qū)動(dòng)，這是非常重要的特點(diǎn)。大眾在前幾年就宣布投入35億歐元打造自己的汽車操作系統(tǒng)，而特斯拉軟件成本占整車成本的40%，而且S系列代碼行數(shù)超過(guò)了4億行。
很多企業(yè)都談及已經(jīng)成立自己的軟件科技企業(yè)，開發(fā)自己的操作系統(tǒng)和APP，適應(yīng)軟件定義汽車的大潮。未來(lái)智能網(wǎng)聯(lián)汽車至少60%的價(jià)值來(lái)源于軟件，所以未來(lái)的智能網(wǎng)聯(lián)汽車是新型的信息技術(shù)終端。
三是無(wú)人駕駛。剛才朱教授深入的講解了無(wú)人駕駛不同級(jí)別、不同場(chǎng)景的應(yīng)用和風(fēng)險(xiǎn)。
四是綠色低碳。未來(lái)智能網(wǎng)聯(lián)汽車以電動(dòng)汽車為主，非常適合或者適應(yīng)國(guó)家關(guān)于 " 雙碳 " 相關(guān)的要求和布局。
另外，我們對(duì)智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)鏈也做了初步的分析，從上游的元器件、軟件，到下游相應(yīng)的內(nèi)容、平臺(tái)、數(shù)據(jù)以及關(guān)于出行、保險(xiǎn)、租賃、維修等方面的服務(wù)商，整個(gè)產(chǎn)業(yè)鏈的打造和重塑也不斷演進(jìn)。
我國(guó)已在產(chǎn)業(yè)鏈各個(gè)環(huán)節(jié)均有布局，但是核心系統(tǒng)部件仍較多依賴進(jìn)口，最近在技術(shù)研發(fā)方面實(shí)現(xiàn)一些突破，但是在市場(chǎng)化量產(chǎn)方面還有一定差距。
二、智能網(wǎng)聯(lián)汽車數(shù)據(jù)安全發(fā)展態(tài)勢(shì)
智能網(wǎng)聯(lián)汽車主要的特點(diǎn)是，數(shù)據(jù)成為驅(qū)動(dòng)汽車發(fā)展的重要價(jià)值點(diǎn)，這種發(fā)展趨勢(shì)對(duì)于車輛的安全和數(shù)據(jù)的安全都有新的要求和風(fēng)險(xiǎn)，所以要求一方面從車的全生命周期，另一方面從數(shù)據(jù)的全生命周期兩個(gè)角度考慮智能網(wǎng)聯(lián)汽車的安全問(wèn)題。
基于這兩個(gè)維度，我們發(fā)現(xiàn)未來(lái)智能網(wǎng)聯(lián)汽車帶來(lái)的數(shù)據(jù)安全風(fēng)險(xiǎn)還是很大、很突出的，至少涉及四個(gè)方面：
首先行業(yè)的數(shù)據(jù)安全意識(shí)有待提高，近期一系列相應(yīng)事件的出現(xiàn)，在一定程度上會(huì)影響消費(fèi)者對(duì)智能網(wǎng)聯(lián)汽車安全的信心。
二是數(shù)據(jù)泄露風(fēng)險(xiǎn)巨大，威脅個(gè)人隱私安全。由于智能網(wǎng)聯(lián)汽車為了更好的實(shí)現(xiàn)自動(dòng)駕駛或者是使乘駕者有更好的體驗(yàn)，會(huì)收集相應(yīng)的信息，在我們調(diào)研過(guò)程中獲知，一輛智能網(wǎng)聯(lián)汽車每天至少收集10TB的數(shù)據(jù)，不僅數(shù)量極大，而且涉及到駕乘人員的出行軌跡、習(xí)慣、語(yǔ)音、視頻等等，一旦遭受侵害會(huì)泄露個(gè)人隱私。
三是網(wǎng)絡(luò)安全漏洞多，威脅個(gè)人人身和財(cái)產(chǎn)安全。2020年全球相關(guān)惡意攻擊超過(guò)280萬(wàn)余次，黑客通過(guò)網(wǎng)絡(luò)攻擊的手段可以控制車輛行駛，也可以利用軟件的漏洞操控智能網(wǎng)聯(lián)汽車，所以威脅和風(fēng)險(xiǎn)也是非常大。
四是可能會(huì)威脅國(guó)家安全。為了更好地實(shí)現(xiàn)車與路的互動(dòng)和周圍基礎(chǔ)設(shè)施的互動(dòng)，智能網(wǎng)聯(lián)汽車也會(huì)收集周圍的場(chǎng)景和重要地理信息的數(shù)據(jù)，如果精度達(dá)到一定程度的話，會(huì)影響或者威脅國(guó)家安全。
我們看到一些國(guó)家，尤其是發(fā)達(dá)國(guó)家和行業(yè)組織也紛紛出臺(tái)了管理規(guī)范和舉措。美國(guó)、歐盟、以及國(guó)際汽車制造協(xié)會(huì)，已經(jīng)通過(guò)了一些原則性、戰(zhàn)略性的規(guī)定，也包括一些比較細(xì)化、可操作的指南。
不同的智能網(wǎng)聯(lián)汽車制造廠商，由于基因不同，對(duì)數(shù)據(jù)安全的認(rèn)識(shí)或者保護(hù)能力也不一樣。我們認(rèn)為目前最主要的智能網(wǎng)聯(lián)汽車制造商來(lái)源于三類企業(yè)：
第一類是傳統(tǒng)車企，他們的發(fā)展模式是漸進(jìn)式的，包括目前國(guó)產(chǎn)自主品牌的汽車，還有合資品牌的汽車，這類傳統(tǒng)車企在推進(jìn)相關(guān)的新技術(shù)開發(fā)和應(yīng)用，以及數(shù)字化轉(zhuǎn)型工作，但總體來(lái)講，他們的意識(shí)和能力還在發(fā)展過(guò)程當(dāng)中。
第二類是信息技術(shù)企業(yè)，像百度、阿里、騰訊、華為、滴滴、小米等信息技術(shù)企業(yè)，這類企業(yè)基于在信息技術(shù)領(lǐng)域強(qiáng)大的能力和生態(tài)，大力推廣相應(yīng)的技術(shù)系統(tǒng)、自動(dòng)駕駛系統(tǒng)等，通過(guò)跨越式的方式進(jìn)軍智能網(wǎng)聯(lián)汽車行業(yè)。
第三類是造車新勢(shì)力。理想、蔚來(lái)、小鵬等在發(fā)展過(guò)程當(dāng)中是激進(jìn)式發(fā)展過(guò)程，他們對(duì)于數(shù)據(jù)安全的考慮和布局也有自身的特點(diǎn)。
全球知名的咨詢機(jī)構(gòu)Guidehouse對(duì)于現(xiàn)有智能網(wǎng)聯(lián)汽車領(lǐng)域的競(jìng)爭(zhēng)格局進(jìn)行分析，發(fā)現(xiàn)目前的‘’領(lǐng)導(dǎo)者‘’中，四家企業(yè)基本上都是信息技術(shù)企業(yè)，在目前這個(gè)階段，以信息技術(shù)為背景的企業(yè)進(jìn)入智能網(wǎng)聯(lián)汽車行業(yè)是具有一定優(yōu)勢(shì)的。
非常有意思的一點(diǎn)是，我們孰知的特斯拉被Guidehouse置于‘’跟隨者‘’中，主要原因是該機(jī)構(gòu)認(rèn)為特斯拉自動(dòng)駕駛能力和安全保障能力與其宣傳的相比具有一定的差距。
這三類不同類型的智能網(wǎng)聯(lián)汽車制造商對(duì)數(shù)據(jù)安全的認(rèn)識(shí)和保護(hù)能力仍有一定的差異，尤其是傳統(tǒng)車企和信息技術(shù)企業(yè)以及造車新勢(shì)力在相應(yīng)能力上的布局，包括組織架構(gòu)的調(diào)整，適應(yīng)新的安全需求方面的能力等，可能都有一定差異。但是我們發(fā)現(xiàn)這三類企業(yè)也在跨界融合，在相互借鑒。
三、車企對(duì)汽車數(shù)據(jù)安全的理解不斷加深
我們調(diào)研了一部分車企，總結(jié)了他們對(duì)當(dāng)前數(shù)據(jù)安全的理解和舉措，車企也越來(lái)越重視重視數(shù)據(jù)安全問(wèn)題，國(guó)內(nèi)主流企業(yè)通過(guò)強(qiáng)化技術(shù)手段和管理機(jī)制，意在大幅提升數(shù)據(jù)安全的保障能力。
但是其實(shí)風(fēng)險(xiǎn)也是非常突出的：一是核心器件自主可控能力有待進(jìn)一步提高，比如傳感器、芯片、雷達(dá)天線等還屬于智能網(wǎng)聯(lián)汽車的 " 卡脖子 " 領(lǐng)域。
二是企業(yè)管理責(zé)任缺失，很多車企往往在 " 黑盒 " 的狀態(tài)下開展一些數(shù)據(jù)治理工作，使現(xiàn)有的保護(hù)機(jī)制和管理舉措很困難，出現(xiàn)滯后問(wèn)題。
三是實(shí)際落地案例較少，缺少具體的指導(dǎo)性和實(shí)操性指南，很多企業(yè)都是在邊界游走，探索的成本也非常高，所以后續(xù)有很多需要進(jìn)一步明確的地方。
從建議的角度，我們建議車企從兩個(gè)角度提升數(shù)據(jù)安全方面的能力。一是提升核心基礎(chǔ)技術(shù)的安全可控能力，即涉及車輛本質(zhì)上的安全。二是提升數(shù)據(jù)安全綜合防護(hù)能力，利用新一代的信息技術(shù)，包括區(qū)塊鏈技術(shù)、流量檢測(cè)技術(shù)、國(guó)密技術(shù)等，提升綜合防護(hù)的能力。
四、網(wǎng)絡(luò)安全企業(yè)在智能網(wǎng)聯(lián)汽車數(shù)據(jù)安全市場(chǎng) " 大有可為 "
我國(guó)主流的網(wǎng)絡(luò)安全企業(yè)都在積極布局智能網(wǎng)聯(lián)汽車的新賽道，大多基于他們傳統(tǒng)的產(chǎn)品，再根據(jù)智能網(wǎng)聯(lián)汽車的新場(chǎng)景做一些適應(yīng)性的調(diào)整和優(yōu)化，包括在數(shù)據(jù)層面，從云、管、端各個(gè)角度等都提出了相應(yīng)的解決方案，在檢測(cè)和服務(wù)方面也推出了一些相應(yīng)的網(wǎng)絡(luò)安全產(chǎn)品。
我們調(diào)研了國(guó)內(nèi)一家安全廠商——天融信，已經(jīng)形成了覆蓋車端網(wǎng)關(guān)、ECU、T-BOX、以及云端、APP端等全方位的滲透測(cè)試工具和服務(wù)。下一個(gè)案例來(lái)自百度，其自動(dòng)駕駛安全的架構(gòu)已經(jīng)涵蓋了整個(gè)數(shù)據(jù)安全的全生命周期。
可以說(shuō)，智能網(wǎng)聯(lián)汽車領(lǐng)域?qū)τ诰W(wǎng)絡(luò)安全產(chǎn)業(yè)，或者網(wǎng)絡(luò)安全企業(yè)來(lái)講是一個(gè)巨大的市場(chǎng)，但是也存在著很多挑戰(zhàn)，一是現(xiàn)有的網(wǎng)絡(luò)安全產(chǎn)品和解決方案還不滿足智能網(wǎng)聯(lián)汽車的安全需求。
二是安全解決方案的路徑不太一樣，有的網(wǎng)絡(luò)安全企業(yè)側(cè)重車端的安全，有的側(cè)重云端的安全，雖然這些解決方案沒(méi)有哪個(gè)更優(yōu)質(zhì)，但是也需要相互借鑒。
三是安全產(chǎn)品的應(yīng)用還存在成本、意識(shí)等問(wèn)題。我們也提了兩個(gè)建議，一是建議這些網(wǎng)絡(luò)安全企業(yè)針對(duì)智能網(wǎng)聯(lián)汽車不同的場(chǎng)景，開發(fā)針對(duì)性的相關(guān)的產(chǎn)品和解決方案，提高推廣的力度。
四是要探索適用智能網(wǎng)聯(lián)汽車場(chǎng)景的網(wǎng)絡(luò)安全保險(xiǎn)方案，保險(xiǎn)在汽車這個(gè)領(lǐng)域是非常常見(jiàn)的，但是數(shù)據(jù)安全的保險(xiǎn)，或者網(wǎng)絡(luò)安全的保險(xiǎn)可以對(duì)車企、用戶，以及產(chǎn)業(yè)鏈上的諸多信息技術(shù)服務(wù)企業(yè)提供一體化的保障。
五、政府積極統(tǒng)籌智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)發(fā)展與數(shù)據(jù)安全保護(hù)
首先在政策規(guī)劃層面，政府已經(jīng)出臺(tái)了相關(guān)的標(biāo)準(zhǔn)指南，包括一些政策文件，加強(qiáng)對(duì)整個(gè)數(shù)據(jù)全生命周期的管控，并強(qiáng)調(diào)數(shù)據(jù)分類分級(jí)工作。
二是在法律法規(guī)層面，《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》(草案)，以及網(wǎng)信辦出臺(tái)的的《汽車數(shù)據(jù)安全管理若干規(guī)定》(征求意見(jiàn)稿)已經(jīng)體現(xiàn)了政府的一些針對(duì)性考慮，我們支持網(wǎng)信辦和工信部等部門出臺(tái)更加細(xì)化的管理?xiàng)l例和指南，從法律法規(guī)層面給予指引和指南，更好的指導(dǎo)整個(gè)產(chǎn)業(yè)的實(shí)踐。
三是標(biāo)準(zhǔn)體系不斷完善，包括頂層的體系性標(biāo)準(zhǔn)，以及專項(xiàng)的標(biāo)準(zhǔn)都在陸續(xù)出臺(tái)和不斷地修訂完善。
四是試點(diǎn)應(yīng)用加速落地，比如上海臨港新片區(qū)跨境數(shù)據(jù)的試點(diǎn)，一些路測(cè)、風(fēng)險(xiǎn)評(píng)估以及風(fēng)險(xiǎn)管控相關(guān)試點(diǎn)的工作也都在推進(jìn)過(guò)程當(dāng)中。智能網(wǎng)聯(lián)汽車本身是一個(gè)新生事物，又涉及到很復(fù)雜的系統(tǒng)，確實(shí)需要政府通過(guò)開展試點(diǎn)示范的工作，總結(jié)一些優(yōu)秀的做法，進(jìn)行后續(xù)的推廣。
當(dāng)然從政府推進(jìn)產(chǎn)業(yè)發(fā)展和保障數(shù)據(jù)安全的角度也面臨重要的挑戰(zhàn)。一是整個(gè)法規(guī)體系、標(biāo)準(zhǔn)體系還是相對(duì)滯后于產(chǎn)業(yè)的發(fā)展速度。
二是存在多頭監(jiān)管的問(wèn)題，還需盡快細(xì)化一些行業(yè)性的管理要求。從數(shù)據(jù)安全監(jiān)管的角度，國(guó)家網(wǎng)信部門是牽頭部門，但是涉及到具體行業(yè)細(xì)則的出臺(tái)，還需要行業(yè)主管部門，以及一些重要的行業(yè)協(xié)會(huì)去推動(dòng)相關(guān)工作。
三是實(shí)操性的舉措還不夠，數(shù)據(jù)安全監(jiān)管和治理的一項(xiàng)基礎(chǔ)性工作就是要做到數(shù)據(jù)分類分級(jí)，對(duì)于數(shù)據(jù)既要管，又不能管得太死，哪些要管，哪些需要高強(qiáng)手段的監(jiān)管，哪些需要在市場(chǎng)上流動(dòng)，一項(xiàng)非常基礎(chǔ)的工作就是數(shù)據(jù)分類分級(jí)。
我們提的建議包括四個(gè)方面：一是統(tǒng)籌產(chǎn)業(yè)創(chuàng)新發(fā)展與保障數(shù)據(jù)安全。二是盡快出臺(tái)數(shù)據(jù)分類分級(jí)指南和管理細(xì)則，在國(guó)內(nèi)一些重要的行業(yè)領(lǐng)域，比如金融、工業(yè)互聯(lián)網(wǎng)等領(lǐng)域，已經(jīng)出臺(tái)了相應(yīng)的分類分級(jí)指南，智能網(wǎng)聯(lián)汽車行業(yè)可以予以借鑒。
三是建立事前風(fēng)險(xiǎn)評(píng)估和事后應(yīng)急響應(yīng)機(jī)制，比如國(guó)家級(jí)的專業(yè)技術(shù)機(jī)構(gòu)可以探討如何更好的提供服務(wù)和支持。
四是重點(diǎn)關(guān)注跨境數(shù)據(jù)流動(dòng)問(wèn)題，目前國(guó)內(nèi)對(duì)這個(gè)問(wèn)題比較關(guān)注，國(guó)家網(wǎng)信部門也在密集調(diào)研和研究，希望后續(xù)在借鑒全球通用做法的同時(shí)，細(xì)化相應(yīng)的數(shù)據(jù)流動(dòng)規(guī)則。
以上就是我們目前這個(gè)報(bào)告的主要內(nèi)容，在報(bào)告撰寫過(guò)程當(dāng)中，也得到了一些車企和網(wǎng)絡(luò)安全企業(yè)的支持，后續(xù)我們也希望跟在座的企業(yè)和專家合作，使我們?cè)谥悄芫W(wǎng)聯(lián)汽車數(shù)據(jù)安全領(lǐng)域做得更加深入。
