專家訪談 | 汽車信息安全強標即將落地，企業該如何應對？

　　智能網聯汽車信息安全
 

　　隨著信息技術的快速發展和智能化趨勢的持續推進，智能網聯汽車為人們出行帶來了便利和智能化體驗，但是隨之而來的用戶隱私泄露和網絡攻擊等安全問題也敲響了警鐘。
 

　　信息安全問題已成為制約智能網聯汽車發展的一大難題。本期“專家訪談”欄目，邀請到廣電計量信息化服務事業部副總經理唐迪博士，為大家解讀智能網聯汽車信息安全建設面臨的挑戰及應對思路。

唐 迪
 

　　副研究員/博士

 

　　畢業于美國密歇根州立大學，博士后，長期從事數據安全、個人信息保護、車聯網信息安全等方面的研究和檢測評估工作。在國內外期刊會議發表文章三十余篇，主持和參與國際標準、國家標準與行業標準十余項。承擔國家重點研發項目、國家自然基金項目等國家、省部級項目十余個。
 

　　擔任國際標準化組織 ISO/IEC JTC1 SC27信息安全、網絡安全及隱私保護技術標準化技術委會JWG 6網聯汽車設備安全技術要求與測評活動聯合工作組召集人，代表我國擔任ISO/IEC JTC1 SC27 安全測評、大數據安全工作組注冊技術專家，全國信標委生物特征識別分標委委員，上海市標準化專家。
 

　　強標即將落地，信息安全管理已成剛需

 

　　根據Upstream Security發布的《2022年全球汽車網絡安全報告》，全球聯網汽車將從2018年的3.3億輛增長到2023年的7.75億輛，增幅達134%。增長過程中，汽車行業受到的網絡攻擊規模、頻率和復雜程度都在呈指數級增長，影響的范圍也有所擴大。
 

　　隨著汽車信息技術安全風險不斷提升，國際和國內持續出臺信息技術安全的嚴格標準、法規以及行業管理規定。目前國外已經實施R155和R156兩項關于信息安全和軟件升級方面的法規，在歐洲及日韓等國外市場售賣的車輛需要取得相應認證后，才可以在市場進行銷售。而ISO/SAE 21434作為覆蓋汽車網絡安全組織管理、流程管理、生命周期各階段活動要求等的網絡安全工程標準，其涉及的網絡安全工程過程文件，是主機廠和供應商開展R155和R156合規認證的重要依據。
 

　　2023年5月，中國shou個汽車信息安全領域國家強制性標準《汽車整車信息安全技術要求》(以下簡稱“強標”)公開征求意見，對生產企業及車輛產品在信息安全方面提出了具體要求。強標中明確指出“企業開展車輛信息安全一般要求評估和信息安全技術要求測試驗證前，應通過汽車信息安全管理體系要求審核”，這一規定為企業搭建信息安全管理體系提供了依據。
 

　　為確保企業充分考慮信息安全風險，強標中要求汽車制造商及供應鏈上下游企業的信息安全管理體系中應涵蓋必要流程，即要求企業從內部管理流程、風險處置流程、信息安全測試流程、網絡安全問題監測和響應流程等角度開展信息安全體系建設，這意味著國家在信息安全方面的監管力度進一步加強。
 

　　長遠看，汽車網絡安全發展將成為必然趨勢，即將推出的《汽車整車信息安全技術要求》只是一個開始。隨著汽車智能化的發展，有關汽車軟件升級、自動駕駛數據記錄系統、自動駕駛預期功能安全等相關標準也會不斷完善。
 

　　可以預見的是，這些強制性標準的推出，會讓汽車在開發生命周期中有更高的嚴格性、更多的功能要求以及更大的投資。
 

　　信息安全任重道遠，汽車企業如何應對？
 

　　車輛信息安全是長遠的工作，網絡技術的更新迭代不會停止，給汽車這個傳統機械行業的帶來的將是全新的挑戰。而汽車信息安全的實施并非一蹴而就，建議汽車廠商基于數據安全法律法規要求，盡早采取一系列車聯網安全保障與支撐措施，以免造成在業務擴展或者法規層面的被動。
 

　　首先在組織治理層面，企業應首先明確產品網絡安全職責的定義和設計。這包括在研發設計部門中設立新的職位，例如shou席產品網絡安全官作為負責人。
 

　　信息安全活動需要跨組織的協同，需要與法規、質量、采購、售后市場等部門密切合作和協調。通過這種方式，企業組織各部門共同實施車輛網絡安全相關活動以確保合規性。
 

　　在汽車產品的開發過程中，企業應將信息安全活動納入產品開發的全過程，解決從方案確定到生產啟動(SOP)的整體開發過程中的安全目標設定、安全要求設計、安全方案設計、安全開發以及安全確認與驗證到安全運維等核心環節的問題。這要求在產品開發的不同階段，與相應的安全要求相匹配，以確保整個開發過程中的信息安全。
 

　　在團隊規劃方面，企業應根據業務發展需求，建設不同專業的網絡安全團隊。例如，在TARA分析、安全方案設計、安全開發、安全測試、法規導入、安全運維、質量管理等專業領域，應根據企業發展情況，及時構建所需的能力團隊。這樣，企業可以確保在各個階段都具備足夠的網絡安全能力，以保障業務的合規需求和安全需求。
 

　　在能力建設方面，為了滿足監管要求，企業應根據自身實際情況，分階段展開能力建設。例如，在產品開發的核心能力建設方面，企業需要建立風險評估、安全目標設計、安全要求設計、安全方案設計的能力。而安全組件的開發及安全驗證的能力可以通過委外的方式實現。
 

　　此外，企業還應建立安全響應能力，例如具備態勢感知監測的能力，建立漏洞管理平臺等。這些能力將有助于企業及時應對各種網絡安全事件，提高整體安全性。
 

　　供應鏈安全的管理也是重中之重。智能網聯汽車的供應鏈非常長，如果在最后整車裝配階段再考慮信息安全，那么即使發現了信息安全問題也很難定位，在這個階段發現的問題既有可能是部件的問題，也有可能是零部件之間的連接中存在安全風險。因此，企業需要拆解信息安全合規要求，逐級要求供應商提供的產品，并在每個產品交付前認真履行安全檢測與評估。其次，為保障供應商提供的產品能夠持續保證安全水平，應要求供應商也執行與企業自身相近的標準化的安全管理流程。
 

　　同時，企業也需要密切關注供應鏈企業持續對智能網聯汽車提供的服務安全。智能網聯汽車的OTA需求、移動應用的持續服務，有可能成為攻擊者攻擊的對象、供應商也有可能超范圍收集數據，針對供應商及其提供的持續服務，需要構建嚴格的供應商服務安全管理方法，配置安全產品，也可優先選擇通過安全認證的服務和應用。
 

　　最后，為了加強項目成果轉化，企業應該通過量產項目來萃取知識，建設知識體系并形成成果轉化。這意味著企業應該從實際項目中總結經驗教訓，提取有用的知識和技能，并將其應用于未來的項目中。通過這種方式，企業可以逐步建立起自己的信息安全核心能力，提高整體競爭力，也更從容應對未來時變時新的汽車信息安全技術環境及法規標準。
 

　　測試+技術咨詢，“一站式”服務助力產品合規
 

　　當前，信息安全實施方法還并不完善，選擇具有豐富實踐經驗的合作伙伴能夠大幅提升效率、降低成本。針對快速發展的智能網聯汽車產業及國內外市場對信息安全的愈發重視，廣電計量作為國有第三方計量檢測機構，致力于汽車在新四化產業進程中的大安全融合服務，為汽車客戶構建了“一站式”智能網聯汽車信息安全測評體系。
 

　　流程及產品開發咨詢服務
 

　　我們通過技術咨詢協助企業建立相關流程體系，完善開發流程，協助企業獲取流程認證。同時我們也可以針對企業要開發的相應產品，提供產品開發的技術咨詢(如TARA分析，安全目標制定等)，協助企業開發的產品滿足相應信息安全要求，并根據需求獲取產品認證。
 

　　測試服務
 

　　廣電計量建有汽車信息安全試驗實驗室，在汽車信息安全方面可以通過符合性測試、功能測試、漏洞掃描、模糊測試、滲透測試等服務。
 

　　(1)符合性測試
 

　　依據GB/T 40855、GB/T 40856、GB/T40857、GB/T41578 等推薦性國標開展汽車零部件的符合性測試，依據標準逐項開展安全功能測試和驗證工作，并出具由國家認可認監委(CNAS)認可的檢測報告。同時，可依據即將發布GB《汽車整車信息安全技術要求》開展汽車信息安全的型式檢驗試驗。
 

　　(2)安全測試
 

　　主要基于ISO 21434 產出的Cybersecurity Verification and Validation specification (網絡安全驗證和確認測試規范)，覆蓋安全性能測試、資源安全測試、響應安全測試、接口安全測試、控制流和數據流的驗證等。一般由企業安全功能開發團隊執行驗證測試，資源有限情況下委托獨立第三方技術機構驗證。
 

　　(3)漏洞掃描
 

　　基于CVE、CNVD等最新漏洞庫測試是否存在已知漏洞，覆蓋靜態代碼漏洞掃描、固件漏洞掃描、組件 (第三方/開源)漏洞掃描、系統內核漏洞掃描、系統端口漏洞掃描、應用程序漏洞掃描、通信協議 (WiFi、藍牙等) 漏洞掃描等。
 

　　(4)滲透測試
 

　　通過模擬真實攻擊手法對整車及零部件進行實戰檢驗的過程，目的是進一步發現使用普通安全分析手段無法發現/遺漏的安全隱患，包括通過黑盒、灰盒和白盒方法工作，覆蓋硬件安全、系統/固件安全、應用軟件安全數據安全、CAN/以太網/無線通信安全管理平臺安全等不同類別。
 

　　(5)模糊測試
 

　　hacker普遍使用的攻擊手段，也是對復雜邏輯進行魯棒性分析的常用方法，且具有發現的錯誤不存在誤報的優勢。主要針對接口和協議通過注入隨機數據分析未知漏洞。包括硬件接口模糊測試CAN模糊測試、車載以太網模糊測試、DolP模糊測試、開放端口模糊測試、藍牙模糊測試、WiFi模糊測試GNSS模糊測試、傳感器通用電磁信號模糊測試、MEMS傳感器超聲信號模糊測試等。