華人運(yùn)通：智能網(wǎng)聯(lián)安全風(fēng)險(xiǎn)及應(yīng)對(duì)措施

2023年4月20日-21日，在2023第二屆中國(guó)汽車信息安全與數(shù)據(jù)安全大會(huì)上，華人運(yùn)通信息安全負(fù)責(zé)人王思遠(yuǎn)表示，智能網(wǎng)聯(lián)汽車面臨的信息安全風(fēng)險(xiǎn)主要包括數(shù)據(jù)處理、數(shù)據(jù)合規(guī)、訪問控制三大板塊。針對(duì)這些風(fēng)險(xiǎn)，王思遠(yuǎn)建議從“安全管理”和“安全技術(shù)”兩個(gè)層面來規(guī)劃和保護(hù)信息安全。他認(rèn)為，整個(gè)監(jiān)管行業(yè)對(duì)智能網(wǎng)聯(lián)汽車企業(yè)信息安全要求都比較高，包括公安、網(wǎng)信辦、工信部和信通院等部門。

王思遠(yuǎn) | 華人運(yùn)通信息安全負(fù)責(zé)人

01信息安全對(duì)生活和社會(huì)發(fā)展的影響

一直以來，人們普遍認(rèn)為AI是未來的趨勢(shì)。從ChatGPT開始，各個(gè)年齡段的人都會(huì)使用AI技術(shù)。然而，在AI算法和相關(guān)數(shù)據(jù)的發(fā)展過程中，存在許多問題。但盡管存在一些挑戰(zhàn)，AI的發(fā)展仍在繼續(xù)。智能網(wǎng)聯(lián)汽車也是如此，它也面臨著各種挑戰(zhàn)。

ChatGPT涉及三個(gè)數(shù)據(jù)安全問題：第一，獲取數(shù)據(jù)的合法性問題。訓(xùn)練像ChatGPT這樣的大型語言模型需要大量自然語言數(shù)據(jù)，而數(shù)據(jù)的來源主要是互聯(lián)網(wǎng)。OpenAI沒有詳細(xì)說明數(shù)據(jù)的來源，因此數(shù)據(jù)的合法性成為一個(gè)問題。

第二，使用過程中造成的數(shù)據(jù)泄露問題。AI的所有分析和分享都是基于模型進(jìn)行的，因此后續(xù)的數(shù)據(jù)交互也可能導(dǎo)致數(shù)據(jù)泄露。

第三，數(shù)據(jù)可能被惡意使用。從AI的角度來看，很難通過輸入信息來判斷用戶的行為目的。因此，未來可能需要采取措施來確保AI的安全性，例如如何保護(hù)數(shù)據(jù)、如何告知用戶、如何分析用戶行為以及如何及時(shí)終止違法行為。

02信息安全法律法規(guī)和車聯(lián)網(wǎng)行業(yè)標(biāo)準(zhǔn)

我國(guó)高度重視對(duì)信息安全，每年國(guó)家都會(huì)舉辦網(wǎng)絡(luò)安全宣傳周。在車聯(lián)網(wǎng)行業(yè)也有相關(guān)的法律法規(guī)、政策文件和技術(shù)標(biāo)準(zhǔn)需要落地和遵守。

首先是三法，《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人隱私保護(hù)法》，這三法必須嚴(yán)格遵守。而且從今年的各監(jiān)管力度來看，從執(zhí)法、監(jiān)督以及判罰上會(huì)更上一層。

其次針對(duì)數(shù)據(jù)安全，還有《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》，其中指出了汽車的重要數(shù)據(jù)，像車企，每年年底都要向監(jiān)管提交重要汽車安全的年報(bào)，基本會(huì)針對(duì)7類數(shù)據(jù)，車企需要解釋今年的7類數(shù)據(jù)有哪些，各自的情況如何。企業(yè)要自查，企業(yè)監(jiān)管會(huì)抽查。

華人運(yùn)通在整個(gè)業(yè)務(wù)中按照法律法規(guī)的要求嚴(yán)格執(zhí)行，并在各場(chǎng)景中進(jìn)行細(xì)化，希望能給予行業(yè)一些更好的指導(dǎo)原則。

現(xiàn)在車聯(lián)網(wǎng)行業(yè)的技術(shù)標(biāo)準(zhǔn)特別多，涉及到數(shù)據(jù)分類、涉及到AI屬性，如ADAS有人臉安全識(shí)別，涉及到車內(nèi)還有聲紋、語音方面的安全。

在實(shí)際執(zhí)行時(shí)，企業(yè)需要根據(jù)各個(gè)場(chǎng)景進(jìn)行，如梳理自動(dòng)駕駛ADAS業(yè)務(wù)時(shí)，我們會(huì)參考ADAS的相關(guān)標(biāo)準(zhǔn)，再結(jié)合國(guó)家法律法規(guī)考量自動(dòng)駕駛ADAS從數(shù)據(jù)采集到數(shù)據(jù)返回，再到作業(yè)間如何做數(shù)據(jù)脫敏、數(shù)據(jù)分析。當(dāng)敏感數(shù)據(jù)全部去掉后，哪些數(shù)據(jù)可以用，在哪個(gè)平臺(tái)用，使用過程中還要注意哪些內(nèi)容，就是整個(gè)ADAS的場(chǎng)景。這是其業(yè)務(wù)流，再往下會(huì)涉及到車有哪些人，他們涉及哪些物理場(chǎng)景。

現(xiàn)在，很多車企都在出海，海外市場(chǎng)也需要嚴(yán)格遵循標(biāo)準(zhǔn)。海運(yùn)最大標(biāo)準(zhǔn)的是GDPR，GDPR的監(jiān)管力度、判罰力度非常嚴(yán)。美國(guó)也有相關(guān)法律，包括《加州消費(fèi)者隱私法案》《美國(guó)數(shù)據(jù)隱私和保護(hù)法》《美國(guó)兒童在線隱私保護(hù)法》，在之前TIKTOK在美國(guó)受到打壓時(shí)，美國(guó)政府拿出州的、國(guó)家的、甚至是某個(gè)業(yè)務(wù)的法律來一條一條核對(duì)。即使TIKTOK的CEO已經(jīng)表示，其業(yè)務(wù)在美國(guó)有專門的數(shù)據(jù)安全團(tuán)隊(duì)，也有建立企業(yè)的防火墻，和中國(guó)政府沒有關(guān)系，美國(guó)依然會(huì)對(duì)每條標(biāo)準(zhǔn)進(jìn)行核對(duì)。

未來，中國(guó)的車企出海需要對(duì)各個(gè)國(guó)家的法律法規(guī)認(rèn)真解讀。有些可以從法律、備案和文書層面解決，有些需要通過技術(shù)手段加強(qiáng)。

此外，歐洲國(guó)家也有相關(guān)的數(shù)據(jù)或隱私保護(hù)法，東南亞一些國(guó)家也在陸續(xù)出臺(tái)數(shù)據(jù)安全的保護(hù)法。但其大框架或?qū)?biāo)的內(nèi)容基本都來自于GDPR。

03智能網(wǎng)聯(lián)汽車的主要信息安全風(fēng)險(xiǎn)

從智能網(wǎng)聯(lián)汽車的業(yè)務(wù)屬性來看，存在著較大的風(fēng)險(xiǎn)。第一大家的本能反應(yīng)是，車如此智能，那是否安全？換言之自動(dòng)駕駛?cè)绱讼冗M(jìn)，不用人工介入，一旦程序被攻擊，車會(huì)怎樣？第二眾多的聯(lián)網(wǎng)功能、采集攝像頭，哪些信息會(huì)被采集？是否可以上云？典型的案例就是前年的滴滴事件，后續(xù)也推動(dòng)了國(guó)家的數(shù)據(jù)安全隱私保護(hù)以及車聯(lián)網(wǎng)數(shù)據(jù)安全要求。

總體來看，智能網(wǎng)聯(lián)汽車面臨著以下幾點(diǎn)風(fēng)險(xiǎn)：

第一智能網(wǎng)聯(lián)汽車的業(yè)務(wù)場(chǎng)景會(huì)收集到很多信息，這些信息應(yīng)如何分類分級(jí)，如何存儲(chǔ)，如何做數(shù)據(jù)脫敏和加密。

第二在數(shù)據(jù)合規(guī)上，如何依法合規(guī)采集和處理客戶個(gè)人信息，避免發(fā)生客戶信息泄露，防止數(shù)據(jù)被篡改。

第三訪問控制，我們有那么多的車內(nèi)外數(shù)據(jù)，業(yè)務(wù)場(chǎng)景間如何訪問。因?yàn)橛行?shù)據(jù)是不出車的，如ADAS數(shù)據(jù)，因?yàn)闀?huì)采集到車牌和人臉，必須按照國(guó)家標(biāo)準(zhǔn)嚴(yán)格做好脫敏后，才可以出車上云。還有些業(yè)務(wù)是出車的，可能在云上，云還分公有云、私有云，在不同的業(yè)務(wù)場(chǎng)景中，數(shù)據(jù)該如何調(diào)用，權(quán)限如何控制，如何做到安全合規(guī)，是挑戰(zhàn)，也是我們要研究的方向。

04智能網(wǎng)聯(lián)汽車信息安全建設(shè)心得

車企在不同階段，應(yīng)該做哪些事情？這里分為三個(gè)階段，這三個(gè)階段不光是智能網(wǎng)聯(lián)車企，針對(duì)其他企業(yè)也有所適用。

第一個(gè)是0-0.5階段，這個(gè)階段的挑戰(zhàn)包括安全團(tuán)隊(duì)?wèi)?yīng)該鋪多少人，基本的安全防御能力建設(shè)，基本的安全意識(shí)培訓(xùn)和基本的安全制度建設(shè)。

第二個(gè)是0.5-1階段，此時(shí)專業(yè)性的信息安全團(tuán)隊(duì)已具備；安全防御能力上網(wǎng)絡(luò)數(shù)據(jù)和終端都有；并且滿足監(jiān)管合規(guī)要求的安全體系，等保、ISO；這個(gè)階段基本上監(jiān)管要求以及任務(wù)會(huì)觸達(dá)企業(yè)，因?yàn)榈搅艘欢ㄒ?guī)模，而且已經(jīng)有量產(chǎn)的車。像汽車數(shù)據(jù)安全年報(bào)肯定得交，攻防演練、護(hù)網(wǎng)、數(shù)據(jù)和網(wǎng)絡(luò)安全評(píng)估、數(shù)據(jù)安全年報(bào)、安全事件應(yīng)急響應(yīng)機(jī)制等都有要求；最后針對(duì)整個(gè)安全體系建設(shè)和落地需要安全團(tuán)隊(duì)和業(yè)務(wù)部門聯(lián)動(dòng)，頻次和深度可以根據(jù)實(shí)際情況來定。

第三是1-N階段，最大的挑戰(zhàn)是每年老板會(huì)問，你去年都做了嗎？今年做什么？有可能今年業(yè)務(wù)多了，原來兩部車，今年三部車，原來5000員工，今年8000員工。但從真正要做深度精細(xì)化安全運(yùn)營(yíng)來說，最好的方式還是精準(zhǔn)有效的安全事件監(jiān)控，因?yàn)檫@時(shí)候你可以和老板講，人數(shù)翻了一倍不代表資源翻了一倍，也不代表運(yùn)營(yíng)團(tuán)隊(duì)翻一倍，這會(huì)是很好的博弈。拿數(shù)據(jù)說話，攻擊風(fēng)險(xiǎn)、漏洞風(fēng)險(xiǎn)、數(shù)據(jù)泄露的風(fēng)險(xiǎn)有哪些，目前做了哪些工作，接下來需要業(yè)務(wù)部門改哪些，全部要講細(xì)。到業(yè)務(wù)層面上老板就可以理解，再來談今年安全需要往哪幾個(gè)場(chǎng)景深化。此時(shí)，我們需要有可閉環(huán)的安全風(fēng)險(xiǎn)追蹤。但到了這個(gè)階段，安全最好的推動(dòng)方式就是做安全風(fēng)險(xiǎn)收斂，列出來運(yùn)營(yíng)的情況，有哪些風(fēng)險(xiǎn)，風(fēng)險(xiǎn)再細(xì)化，每周要關(guān)掉哪些，把這些東西梳理清晰，也便于安全管理。

關(guān)于安全建設(shè)方面，安全需要有平臺(tái)的概念，需要把數(shù)據(jù)以業(yè)務(wù)場(chǎng)景化的方式串起來，落到具體員工的行為和業(yè)務(wù)特征。

針對(duì)以上工作我們?cè)撊绾巫觯?/p>

從體系層面來講，我們還是遵循ISO 27001和ISO 27701，華人運(yùn)通在去年8月取得了雙認(rèn)證，體系涵蓋公司所有的職能部門和中國(guó)所有的SET，包括工廠、門店和交付中心。技術(shù)層面和風(fēng)險(xiǎn)管理一一對(duì)應(yīng)，有時(shí)一些新的安全合作伙伴拿了新的技術(shù)和產(chǎn)品來，聽很神奇，但對(duì)應(yīng)不到具體的業(yè)務(wù)場(chǎng)景，是很難說服業(yè)務(wù)老板的。從組織架構(gòu)來看，下圖是華人運(yùn)通的組織分層，企業(yè)發(fā)展需要良好的組織保障。

從整個(gè)公司來看，針對(duì)安全事件應(yīng)急處理、安全應(yīng)急響應(yīng)和風(fēng)險(xiǎn)評(píng)估，需要對(duì)接一些監(jiān)管部門，可能涉及到公安、網(wǎng)信辦、通管局、工信等等，目前我們是按照國(guó)內(nèi)的三法加上歐盟的GDPR。

從企業(yè)安全層面來看，就是ISO27001和ISO27701，從測(cè)量安全來看就是ISO21434和SUMS。

從信息安全技術(shù)合規(guī)來看，一個(gè)是大家討論比較多的數(shù)據(jù)安全，即防泄密，尤其像車企這種研發(fā)型企業(yè)，管理層最關(guān)心的就是研發(fā)數(shù)據(jù)、代碼和圖紙是否管好。另外像手機(jī)端，現(xiàn)在很多公司基本上不發(fā)手機(jī)，手機(jī)端會(huì)裝類似于飛書的軟件，如果數(shù)據(jù)手機(jī)端數(shù)據(jù)泄露，應(yīng)該怎么管？我們會(huì)進(jìn)行相關(guān)監(jiān)測(cè)。

從數(shù)據(jù)安全治理層面，可以進(jìn)行分類分級(jí)、敏感詞監(jiān)測(cè)、敏感數(shù)據(jù)加密脫敏、數(shù)據(jù)獲取和外發(fā)管控，以及數(shù)據(jù)接口管控。

最后是網(wǎng)絡(luò)安全，因?yàn)檐嚻笥泻芏喙?yīng)商，外部供應(yīng)商能不能連上我的網(wǎng)絡(luò)，終端準(zhǔn)入應(yīng)該怎么做，接入后通過上網(wǎng)行為管理應(yīng)該怎么管，我們會(huì)有終端準(zhǔn)入和上網(wǎng)行為管理以及配套的防火墻和態(tài)勢(shì)感知能力。