數據安全的背景
智慧網聯汽車ICV（Intelligent Connected Vehicle）是車聯網及人工智慧技術成熟及商業的必然產物，智慧網聯汽車兼具智慧與聯網的特性，透過V2X（Vehicle to Everything）通訊技術，實作了車輛與車輛、人、道路交通設施、雲之間的互動。
智慧網聯汽車近些年的發展非常活躍和蓬勃，自動駕駛、智慧座艙、智慧交通等各個領域都進行積極的創新，得到全世界各政府的支持，加速改變人們的出行方式和場景體驗。
智慧網聯汽車是數位化、智慧化的產物，必然使用、產生、處理、儲存著諸如車輛數據、路況資訊、位置資訊、車載APPs資訊，數據的安全既是個人私密安全，也是國家安全。因此數據安全及合規，成為智慧網聯汽車永續、健康發展的基礎，因此各個監管部門和各政府都有對應的法律法規相繼出台，行業規範也在逐漸完善之中。
國家和地區關於數據安全法規的發展
歐美的數據和網路安全法規
2016年1月：國際自動化工程師學會（SAE）編制的SAE J3061推薦規程【資訊物理汽車系統的網路安全指南(Cybersecurity Guidebook for Cyber-Physical Vehicle Systems)】 [1] 。2013年：ISO/IEC 27001【資訊保安管理體系釋出】。
作為首部針對汽車網路安全而制定的指導檔，確立了網路安全活動在整車生命周期中的地位，並定義了一套覆蓋全生命周期的流程框架，以及將網路安全理念貫穿到汽車全生命周期開發過程中。
2020年6月：聯合國世界車輛法規協調論壇（UN/WP.29）釋出了一系列汽車關於智慧網聯汽車的重要法規，其中R155法規對車輛網路安全(Cyber Security) 作出了相關規定。R155作為第一個汽車網路安全強制法規，適用範圍包括了歐洲、日本、南韓等「1958 協定」締約國（以下簡稱「58 協定國」）。
R155合規認證工作主要分為兩個部份，需要在整車研發過程中，在采購與供應商管理等環節中，加入網路安全相關的認證：
2021年8月：國際標準ISO/SAE 21434【Road vehicles— Cybersecurity engineering（道路車輛-資訊保安工程）】釋出。
國際標準化組織（ISO）開始與SAE合作，便有了ISO/SAE 21434。此外，ISO/SAE 21434其實是與R155相對應的，這之間有很多的交叉關聯。
國內法規與標準
2021年7月：工業和資訊化部釋出了【關於加強智慧網聯汽車生產企業及產品準入管理的意見】。
透過加強數據和網路安全管理、規範軟體線上升級、功能安全和預期功能安全管理和過程保障能力，明確汽車企業需要滿足的生產一致性，符合安全測試要求。
2021年7月：國家互聯網資訊辦公室出台【汽車數據安全管理若幹規定 （試行）】。2021年9月：【數據安全法】生效。
該規定是在對汽車數據安全管理有針對性的規章制度。
2022年4月：國家市場監督管理總局、交通運輸部等五部門共同釋出了 【關於試行汽車安全沙盒監管制度的通告】。2022年9月：【數據處境安全評估辦法】生效，對企業數據出境明確了申報及安全評估辦法。
沙盒通告探索汽車安全沙盒監管制度， 監管物件為車輛中使用的環境感知、智慧決策、協同控制等前沿技術，或實作各級別自動駕駛、遠端升級等新功能新模式。
中國汽標委智慧網聯汽車分標委（SAC/TC 114/SC 34）下設 「汽車資訊保安標準工作群組」，從基礎和通用、共性技術、關鍵系統與部件等5個不同層級展開資訊保安標準子體系的研究工作 。
如此的細致的法規和標準的制定工作，對軟體升級及管理體系、車輛功能均提出了要求，最大程度避免智慧汽車在網路安全、數據安全、OTA中潛在的危險。
盡管，不同國家和地區對於數據安全有著不同的差異性內容，但是對於數據安全合規均提出技術和組織措施，以保護數據的機密性、完整性和可用性以及個人私密。
數據安全具體實踐
首先，合理的進行數據進行分級和安全分類，從個人資訊和車輛數據角度對智慧網聯車數據的安全合規要求展開分析。
其次，在數據分類的基礎上，根據數據發生安全問題時的影響物件和影響程度，進一步進行安全分級，比如一般級、敏感級、重要級和核心級。
第三，以數據生命周期合規為前提，根據分類和分級，完善管理手段和技術，保證數據的機密性、完整性、可用性，以及必要的特殊處理如個人私密。
數據的全周期安全合規包含，數據采集、數據傳輸、數據儲存、數據使用、數據共享以及數據銷毀。
數據出境安全
當今，數據出境安全已經是國家安全的重要部份，各個國家有不同的措施。
中國： 企業需要根據出境數據進行安全自評估，並根據結果采取不同措施。a) 向網信部門申請出境數據安全評估；b) 采用個人資訊出境 標準合約規定；c) 實施個人資訊保護認證。歐盟： 歐洲允許數據跨境流動，但是對方要采取與歐盟同等的保護水平。a) 申請約束性公司規則（BCR）； b) 簽署標準合約條款（SCC）； c) 作出行為準則（CoC）承諾， 並向歐盟委員會申請批準；d) 向成員國監管機構申請數據 保護認證（Certification） 。
美國： 美國主張全球數據自由流動，同時對敏感數據的跨境進行嚴格管理： a) 若企業涉及敏感個人數據交易，則需要進行外國投資安全審查； b) 評估應用程式風險，確保外國無法存取敏感的個人數據或機密的政府資訊、商業資訊； c) 網路服務提供商應預設向美國政府 披露其控制的通訊內容等數據。
小結
數據安全合規的建立，需要從法律、法規、企業戰略、組織和產品開發原則、透明度等各個方面達成 [2] 。
- 要有明確數據安全與私密保護合規戰略
- 建設生命周期內數據安全合規管理體系，完善合規組織機構建設法律法規、行業規範
- 使用預設私密設計（Privacy by Design)
- 落實數據生命周期中的安全合規控制
- 向消費者最關心的數據安全與私密保護問題進行有效的披露與展示
聊汽車界的八卦和正兒八經，請關註 @四方樵 。
參考
- ^ 【智慧網聯汽車安全滲透白皮書3.0】-智慧網聯重點實驗室/中軟測/普華永道
- ^ 【智慧網聯汽車數據安全合規白皮書】-路特斯科技與普華永道聯合釋出
