【中国信通院】2024《汽车整车信息安全技术要求》要点解析

《汽车整车信息安全技术要求》要点总结

出台背景

随着车联网技术的快速发展，汽车信息安全成为行业关注的重点。我国高度重视车联网安全，自2018年起陆续出台多项政策文件，推动网络安全标准体系建设。2021年，工信部、网信办、公安部等多部委联合发布多项通知，明确加强车联网网络安全和数据安全管理。2021年4月，《汽车整车信息安全技术要求》被正式调整为强制性国家标准项目计划，标志着我国在汽车信息安全领域迈出了重要一步。

2024年7月起，UN R155/156将要求所有原始设备制造商及其供应链采用多层网络安全解决方案，以应对当前和未来的网络攻击。尽管UN R155是全球首个汽车信息安全强制法规，但中国目前尚未成为缔约方。

核心内容与主要观点

1. 适用范围与实施时间

• 适用范围：涵盖信息安全管理体系建设、车型要求、车辆安全要求、审核评估及测试验证方法等内容。
• 实施时间：标准编制主要参考UNECER155和ISO/SAE 21434，预计2024年上半年正式发布为强制性国家标准。

2. 标准结构

• 信息安全管理体系要求：涵盖全生命周期的信息安全管理流程。
• 车辆信息安全一般要求：包括默认安全设置、数据处理要求等。
• 安全技术要求：涉及身份认证、V2X数据、敏感个人信息、关键数据、境外传输数据等。

3. 编制关联

• 标准内容基于UNECER155的车辆网络安全管理体系，参考了ISO/SAE 21434等国际标准。
• 强调技管结合，注重实操实践，以适应中国汽车产业发展现状。

4. 网络安全管理相关要求

• 要求车辆生产企业建立全生命周期的信息安全管理体系，包括风险识别、评估、分类、处置、测试流程、监测、响应及上报。
• 强调对供应链信息安全依赖关系的管理，与UNECER155保持一致。

5. 车辆信息安全一般要求

• 默认安全设置：车辆应采用默认安全配置，以降低潜在风险。
• 数据处理：车辆数据处理应符合《智能网联汽车数据通用要求》的规定。
• 风险评估与管理：需进行详细的风险评估，并对已识别风险进行合理管理。

6. 安全要求

• 威胁与安全要求：标准分别阐述了四大方面威胁的38项安全要求，包括外部连接、通信通道、软件升级、数据代码等。
• 测试验证：附录A详细规定了测试方法，包括测试条件、输入信息、测试方法等，并与正文第7章至第10章的要求条款对应。

7. 车型变更与扩展

• 直接扩展判定条件：包括车辆生产企业相同、信息安全管理体系审核通过、电子电气架构一致、关键硬件型号一致等。
• 审核后扩展：需审核风险评估报告，确认信息安全风险未增加。
• 测试验证后扩展：对受影响部分进行补充测试，通过后可扩展。
• 扩展限制：若发生信息安全管理体系失效、车辆生产企业变更或严重影响信息安全的变更，则无法扩展。

重要政策与管理举措

政策要求

• 《关于加强车联网网络安全和数据安全工作的通知》
• 《关于做好车联网网络安全防护定级备案工作的通知》
• 《汽车数据安全管理若干规定（试行）》
• 《工业和信息化领域数据安全管理办法（试行）》

主要管理举措

• 车联网安全防护定级备案：推动企业进行网络安全定级备案。
• 网络安全符合性评测：对车辆信息安全进行评测。
• 网络安全风险评估：评估潜在安全风险。
• 监测预警机制：建立网络安全监测和预警体系。
• 应急响应机制：制定网络安全应急响应流程。
• 数据分类分级管理：对数据进行分类分级，确保重要和核心数据安全。
• 重要数据报备：对重要数据进行报备管理。
• 数据出境安全管理：要求重要数据依法在境内存储，确需出境的需通过安全评估。
• 数据匿名化与个人信息告知：对敏感数据进行匿名化处理，并显著告知用户个人信息使用情况。

企业落实措施

• 定级备案：企业需完成网络安全定级备案。
• 安全评估：对车辆信息安全进行评估。
• 监测预警：建立网络安全监测和预警机制。
• 应急处置：制定并执行网络安全应急响应方案。
• 数据分类分级：实施数据分类分级管理。
• 数据安全监测：对数据安全进行持续监测。
• 数据出境评估：对出境数据进行安全评估。
• 车内数据匿名化：对车内数据进行匿名化处理，保护用户隐私。

未来工作方向

• 开展网络安全能力评价：试点对12款在售智能网联汽车进行网络安全能力评价，引导企业提升防护能力。
• 举办车联网安全演练：持续举办“铸网”演练，提升企业网络安全风险防范能力。
• 加快标准体系建设：推进车联网安全任务组（TF2）成立，制定53项标准，其中3项为国家标准。
• 成立车联网安全集智联盟：联盟成员超140家，涵盖汽车企业、高校、安全企业等，推动协同创新和应用探索。

总结

《汽车整车信息安全技术要求》是我国在车联网安全领域的重要强制性国家标准，旨在构建全面、系统、可操作的信息安全管理体系。标准不仅参考了国际先进经验，还结合了国内行业发展实际，对车辆信息安全提出了具体要求。未来，随着标准的实施和相关管理举措的推进，我国汽车信息安全体系将不断完善，为智能网联汽车的健康发展提供坚实保障。