数据安全的背景
智能网联汽车ICV（Intelligent Connected Vehicle）是车联网及人工智能技术成熟及商业的必然产物，智能网联汽车兼具智能与联网的特性，通过V2X（Vehicle to Everything）通信技术，实现了车辆与车辆、人、道路交通设施、云之间的交互。
智能网联汽车近些年的发展非常活跃和蓬勃，自动驾驶、智能座舱、智慧交通等各个领域都进行积极的创新，得到全世界各政府的支持，加速改变人们的出行方式和场景体验。
智能网联汽车是数字化、智能化的产物，必然使用、产生、处理、存储着诸如车辆数据、路况信息、位置信息、车载APPs信息，数据的安全既是个人隐私安全，也是国家安全。因此数据安全及合规，成为智能网联汽车可持续、健康发展的基础，因此各个监管部门和各政府都有对应的法律法规相继出台，行业规范也在逐渐完善之中。
国家和地区关于数据安全法规的发展
欧美的数据和网络安全法规
2016年1月：国际自动化工程师学会（SAE）编制的SAE J3061推荐规程【信息物理汽车系统的网络安全指南(Cybersecurity Guidebook for Cyber-Physical Vehicle Systems)】 [1] 。2013年：ISO/IEC 27001【信息安全管理体系发布】。
作为首部针对汽车网络安全而制定的指导文件，确立了网络安全活动在整车生命周期中的地位，并定义了一套覆盖全生命周期的流程框架，以及将网络安全理念贯穿到汽车全生命周期开发过程中。
2020年6月：联合国世界车辆法规协调论坛（UN/WP.29）发布了一系列汽车关于智能网联汽车的重要法规，其中R155法规对车辆网络安全(Cyber Security) 作出了相关规定。R155作为第一个汽车网络安全强制法规，适用范围包括了欧洲、日本、韩国等「1958 协议」缔约国（以下简称「58 协议国」）。
R155合规认证工作主要分为两个部分，需要在整车研发过程中，在采购与供应商管理等环节中，加入网络安全相关的认证：
2021年8月：国际标准ISO/SAE 21434【Road vehicles— Cybersecurity engineering（道路车辆-信息安全工程）】发布。
国际标准化组织（ISO）开始与SAE合作，便有了ISO/SAE 21434。此外，ISO/SAE 21434其实是与R155相对应的，这之间有很多的交叉关联。
国内法规与标准
2021年7月：工业和信息化部发布了【关于加强智能网联汽车生产企业及产品准入管理的意见】。
通过加强数据和网络安全管理、规范软件在线升级、功能安全和预期功能安全管理和过程保障能力，明确汽车企业需要满足的生产一致性，符合安全测试要求。
2021年7月：国家互联网信息办公室出台【汽车数据安全管理若干规定 （试行）】。2021年9月：【数据安全法】生效。
该规定是在对汽车数据安全管理有针对性的规章制度。
2022年4月：国家市场监督管理总局、交通运输部等五部门共同发布了 【关于试行汽车安全沙盒监管制度的通告】。2022年9月：【数据处境安全评估办法】生效，对企业数据出境明确了申报及安全评估办法。
沙盒通告探索汽车安全沙盒监管制度， 监管对象为车辆中使用的环境感知、智能决策、协同控制等前沿技术，或实现各级别自动驾驶、远程升级等新功能新模式。
中国汽标委智能网联汽车分标委（SAC/TC 114/SC 34）下设 「汽车信息安全标准工作组」，从基础和通用、共性技术、关键系统与部件等5个不同层级展开信息安全标准子体系的研究工作 。
如此的细致的法规和标准的制定工作，对软件升级及管理体系、车辆功能均提出了要求，最大程度避免智能汽车在网络安全、数据安全、OTA中潜在的危险。
尽管，不同国家和地区对于数据安全有着不同的差异性内容，但是对于数据安全合规均提出技术和组织措施，以保护数据的机密性、完整性和可用性以及个人隐私。
数据安全具体实践
首先，合理的进行数据进行分级和安全分类，从个人信息和车辆数据角度对智能网联车数据的安全合规要求展开分析。
其次，在数据分类的基础上，根据数据发生安全问题时的影响对象和影响程度，进一步进行安全分级，比如一般级、敏感级、重要级和核心级。
第三，以数据生命周期合规为前提，根据分类和分级，完善管理手段和技术，保证数据的机密性、完整性、可用性，以及必要的特殊处理如个人隐私。
数据的全周期安全合规包含，数据采集、数据传输、数据存储、数据使用、数据共享以及数据销毁。
数据出境安全
当今，数据出境安全已经是国家安全的重要部分，各个国家有不同的措施。
中国： 企业需要根据出境数据进行安全自评估，并根据结果采取不同措施。a) 向网信部门申请出境数据安全评估；b) 采用个人信息出境 标准合同规定；c) 实施个人信息保护认证。欧盟： 欧洲允许数据跨境流动，但是对方要采取与欧盟同等的保护水平。a) 申请约束性公司规则（BCR）； b) 签署标准合同条款（SCC）； c) 作出行为准则（CoC）承诺， 并向欧盟委员会申请批准；d) 向成员国监管机构申请数据 保护认证（Certification） 。
美国： 美国主张全球数据自由流动，同时对敏感数据的跨境进行严格管理： a) 若企业涉及敏感个人数据交易，则需要进行外国投资安全审查； b) 评估应用程序风险，确保外国无法访问敏感的个人数据或机密的政府信息、商业信息； c) 网络服务提供商应默认向美国政府 披露其控制的通信内容等数据。
小结
数据安全合规的建立，需要从法律、法规、企业战略、组织和产品开发原则、透明度等各个方面达成 [2] 。
- 要有明确数据安全与隐私保护合规战略
- 建设生命周期内数据安全合规管理体系，完善合规组织机构建设法律法规、行业规范
- 使用默认隐私设计（Privacy by Design)
- 落实数据生命周期中的安全合规控制
- 向消费者最关心的数据安全与隐私保护问题进行有效的披露与展示
聊汽车界的八卦和正儿八经，请关注 @四方樵 。
参考
- ^ 【智能网联汽车安全渗透白皮书3.0】-智能网联重点实验室/中软测/普华永道
- ^ 【智能网联汽车数据安全合规白皮书】-路特斯科技与普华永道联合发布
