2017年-数据局_IBM：加速车辆信息安全赢得车辆完整性和数据隐私性竞争_24页_778kb

报告摘要

加速车辆信息安全总结

核心内容

随着汽车向“移动数据中心”演进，车辆信息安全成为汽车制造商和消费者必须重视的关键领域。互联汽车不仅承载了传统的行车安全责任，还承担了数据隐私和信息安全的新挑战。IBM商业价值研究院指出，信息安全必须融入企业的文化核心，并贯穿车辆的整个生命周期，从设计、制造到驾驶，形成一个全面的保护体系。

主要观点

车辆信息安全的重要性
- 互联汽车的普及使消费者对信息安全和隐私保护的关注度显著提升。
- 信息安全是实现车联网安全的基础，没有信息安全就没有真正的行车安全。
- 消费者希望车辆具备无缝的数字化体验，同时确保个人数据的安全。
信息安全生命周期方法
- IBM提出的“设计，制造，驾驶”信息安全方法，强调每个阶段都应重视安全。
- 虽然本文重点探讨“驾驶”阶段，但前两个阶段同样不可或缺，共同构建一个值得信赖的生态系统。
信息安全与企业文化的融合
- 信息安全不应仅是技术问题，而是企业文化的重要组成部分。
- 需要从上至下建立信息安全意识，使其成为员工的自然行为。
合作与跨行业参与
- 非传统行业参与者（如信息安全专家、软件开发者、云架构师等）在设计和开发安全车辆方面具有重要作用。
- 汽车制造商应与外部研究人员合作，鼓励漏洞发现并建立透明的反馈机制。
数据使用与所有权
- 数据的所有权问题复杂，需要明确界定哪些数据属于消费者，哪些属于制造商。
- 消费者数据必须采用“零知识”加密模式，确保只有用户能解密。
安全技术与机制
- 身份认证、访问权限管理、加密技术是信息安全的三大支柱。
- 汽车安全运营中心（VSOC）作为监控、响应和分析安全事件的核心平台，应具备多维度的安全能力。

关键信息

消费者需求
- 56% 的消费者表示信息安全和隐私保护将成为未来购车的重要考虑因素。
- 49% 的消费者希望未来10年内汽车可以成为物联网中的安全集成设备。
技术挑战与应对措施
- 车辆连接性增加了攻击面，因此必须采用全面的安全策略。
- 加密技术虽重要，但需在性能与安全性之间取得平衡。
- 版本控制与漏洞管理是确保系统完整性的重要手段。
信息安全策略的实施
- 汽车制造商需建立“网络安全沙皇”角色，统筹信息安全战略。
- VSOC应集中监控威胁，实现威胁情报整合、事件分析和响应。
- 持续改进机制需要整合安全测试、反馈闭环和威胁情报共享。
安全技术的应用实例
- 身份认证：包括可信安全模块、OAuth、SAML等标准。
- 访问权限管理：通过授权机制限制对关键系统（如ABS）的访问。
- 数据加密：确保静态和动态数据的安全性。
- 漏洞管理：通过OTA更新和安全补丁机制进行修复。
- 检测与响应：基于规则的入侵检测系统（IDPS）需结合实时分析和取证技术。

信息安全与隐私保护的挑战

互联汽车的数据收集和传输涉及多个环节，包括导航系统、手机同步、紧急情况处理等。
数据保留时间应尽可能短，以降低隐私泄露的风险。
随着自动驾驶和车联网的发展，新的攻击方式可能影响行车安全和乘客生命安全。

建议与未来展望

汽车制造商应建立透明的信息安全机制，向消费者展示其对信息安全的承诺。
通过与非传统行业参与者合作，提升整体安全水平。
信息共享和标准化（如AUTOSAR、EVITA、SAE J3061）有助于提升行业整体安全能力。
随着互联汽车的发展，预计将出现更多专门针对车联网的信息安全法规。

问题与思考

如何制定全面的信息安全战略，使车辆信息安全与行车安全同等重要？
如何利用安全数据洞察攻击者的意图、途径和漏洞？
如何建立有效的反馈闭环，持续改进车辆的安全态势？
如何在安全的前提下与第三方共享数据？
如何获得并共享车辆信息安全的专业知识？

合作者与作者信息

合作者：
- Arndt Kohler（IBM欧洲安全事务，副合伙人）
- Yaron Wolfsthal 博士（以色列网络安全人才中心副总监）
- Yair Allouche 博士（以色列网络安全人才中心互联互通汽车安全首席技术官）
- Rob Carson（IBM商业价值研究院内容战略规划师和撰稿人）
- April Harris（IBM商业价值研究院视觉设计师）
作者：
- Christopher Poulin（IBM X-Force 安全研究团队的研究战略家）
- Giuseppe Serio（IBM汽车、航空航天及国防行业网络安全全球解决方案负责人）
- Ben Stanley（IBM商业价值研究院全球汽车行业主管）