国内外政策、法规与标准现状

国际政策、法规的现状与趋势

鉴于对交通安全、社会安全甚至国家安全的重要影响，汽车网络安全、数据安全得到各相关国家和地区的高度重视，纷纷出台相关法规、标准。

信息安全法规

2020 年 6 月，联合国世界车辆法规协调论坛（简称为 UN/WP.29）发布了 3 项关于智能网联汽车的重要法规 R155/R156/R157，即信息安全（Cybersecurity）/ 软件升级（Software updates）/ 自动车道保持系统（ALKS），其中有关汽车网络安全、软件升级的 2 项法规 R155、R156，均涉及到对汽车基础软件的相关内容，包括防止非特权用户 root 用户访问权限、软件更新、代码安全、密码安全、软件错误或漏洞等。法规明确要求了整车企业内部开发体系需满足网络安全管理体系的要求，以及获得认证的要求。在此基础上，车型开发需满足网络安全管理体系的要求，包括开发、测试、运维、报废全生命周期的管理。R155 法规适用范围覆盖了乘用车及商用车，适用于 M 类、N 类车型，装备了至少一个 ECU 的 O 类车型，以及具备 L3 及以上自动驾驶功能的L6 和L7 类车型。此法规适合于 1958 协议国（包括欧洲、日本、俄罗斯、澳大利亚等）。根据欧盟要求，从2022 年7 月起所有新车型必须满足该法规，获取了WVTA（Whole Vehicle Type Approval）证书才能在欧盟上市销售。2024 年 7 月起制造的车辆必须满足该法规要求方可出厂销售。R155 法规框架如下图所示：

图2.1-1 R155法规框架VDA 黄皮书定义了评估 OEM 是否满足 CSMS 合规要求的方法以及评级方案，以及达到 CSMS 最低要求的必要措施。CSMS 认证审查车辆制造商是否在车辆完整生命周期的各个阶段均制订了网络安全管理流程，以确保汽车全生命周期中都有对应的流程措施，保证信息安全设计、实施以及响应均有流程体系指导。R155 法规中 “7.2 网络安全管理体系要求” 具体阐述了 OEM 应该满足的 CSMS 认证的内容要求。7.2.2 明确规定 OEM 需要提供证据证明在车辆整个生命周期中各个阶段都制订了网络安全管理体系要求， 同时充分考虑了安全性以及风险和减缓措施。CSMS 要求OEM 对网络攻击、威胁以及漏洞进行持续监测， 并对发现的网络威胁和漏洞要在合理时间范围内响应并得到缓解。此外还要求 OEM 证明对供应商、服务提供商、子公司的管理均符合 7.2.2 要求，以保证车辆网络安全开发的一致性。VTA 认证则是进一步针对在车型开发过程中具体工作进行网络安全审查，保证在进行审查认证时车辆的网络安全技术已足够完备。关于 VTA 认证的要求内容在R155 法规中 “7.3 车辆型式需求” 具体阐述。首先第一条就是 OEM 须持有与认证车型相关的 CSMS 证书。此外还提出了 OEM 在车型开发过程中需进行车型要素识别，做到详尽的风险评估，管理并实施对应缓解措施来应对评估出的风险。同时在车辆认 证之前，OEM 应对这些安全措施进行验证来确保其有效性。此外，NHTSA（美国高速公路交通安全管理局）于 2020 年发布了更新版的《Cybersecurity Best Practices for the Safety of Modern Vehicles》，对于密码、诊断、车辆内部通信安全、事件日志、网络端口 / 协议 / 服务、外部通信、路由变更、软件更新等方面内容；ENISA（欧盟网络安全局）于 2019 年底发布的《ENISA GOOD PRACTICES FOR SECURITY OF SMART CARS》对于安全检测、网络和协议保护、软件信息安全、云端信息安全、密码技术、访问控制等提出了要求。用于改进和评估汽车机械系统开发过程的标准  ASPICE（Automotive  SPICE）目前广泛应用于汽车领域，它是一个适用于传统和敏捷开发的框架，支持产品工程，与功能安全和信息安全息息相关。Automotive SPICE 第 3.x 版定义了 “插件概念” ，对于电子电气部分的开发过程越来越受关注。ASPICE 定义了系统级别、领域子系统级别、组件级别以及单元级别的开发活动，明确了整车企业及供应商在各阶段开发活动中的职责，提出了包含过程 维度与能力维度的过程能力评估模型。汽车基础软件的开发也需要满足  ASPICE  中提出的相关要求，包括信息安全方面的需求、设计、测试与验证等环节的要求。

数据安全法规

随着智能网联汽车产业竞争加剧，各国均希望在数据安全规则层面占领制高点，全球范围数据安全领域进入立法高峰期，汽车数据安全相关法规明显增多。2016 年德国发布了《使用联网和非联网车辆时的数据保护》，要求 “在车辆使用过程中产生的数据， 如果与车辆识别号码或车牌有联系，就可以被视为《德国联邦数据保护法》意义上的个人数据” ，提高了车辆使用过程中产生数据的保护等级。2017 年英国《智能网联汽车网络安全关键原则》提出了保障数据存储和传输安全可控等在内的八大原则、二十九项细则，将网络数据安全责任拓展到车联网产业链的每个主体，并强调应在汽车生命全周期内纳入网络数据安全问题。2017 年，美国出台了《汽车安全与隐私法案》，对车联网相关数据的收集和产生提出了两大原则： 透明和消费者所有，即要求厂商在数据采集的范围和内容上必须透明，告诉消费者采集了哪些数据；在 数据的使用上必须得到消费者的许可。2020 年 1 月美国《自动驾驶汽车准则 4.0》确立了自动驾驶十大原则，强调了安全和网络安全，特别是确保隐私和数据安全。2016 年 4 月，欧盟议会批准发布 GDPR 通用数据保护条例，是一项对欧洲自然人数据的管理和安全问题进行规范的欧盟新法规，用于取代 1995 年发布的数据保护指令 (DPD)。GDPR 于 2018 年 5 月25 日正式生效，包含 11 章共 99 条要求。条例对个人数据、个人敏感数据等进行了定义，违反 GDPR 的行为，可处 2000 万欧元行政罚款或集团全球前一年营业额 4%（最高）。（根据 TUV SUD 的相关统计， 至 2020 年 10 月，在欧洲各国的执法机构已处罚 48 例，约 51,800,000 欧元。）目前，GDPR 监管和执行的逻辑日益清晰，以风险为导向的数据合规管控方式日益深化。2016 年 11 月，欧盟发布了《欧盟网联汽车战略》，表明了个人数据和隐私保护对于自动驾驶汽车能否成功落地应用起着决定性作用。在该战略中，欧盟认为所有车联网产生数据都是用户个人数据，因此欧盟区域内车联网产生的数据同样属于消费者。欧盟数据保护委员会（EDPB）发布了《车联网个人数据保护指南》。2021 年 3 月欧洲《车联网个人数据保护指南 2.0》指出 “联网车辆下任何涉及处理个人数据的数据处理情形均适用 GDPR” ，在 GDPR 规范的个人数据保护框架下进一步细化了汽车数据治理规则。