車聯(lián)網(wǎng)安全面臨三大新挑戰(zhàn) 專家建議推動建立安全檢測機制

　　對于車聯(lián)網(wǎng)安全面臨的緊迫形勢，奇安信天工實驗室負責人劉躍在接受記者采訪時表示，車聯(lián)網(wǎng)安全目前面臨三方面新挑戰(zhàn)：一是車輛數(shù)據(jù)安全問題。比如特斯拉汽車等有自動駕駛功能的汽車，具有多種形態(tài)的傳感器裝置，而車輛行駛中獲得的道路高精度測繪數(shù)據(jù)，與國防等領域息息相關(guān)，應得到嚴格監(jiān)管。

　　二是車聯(lián)網(wǎng)安全漏洞問題。“目前汽車智能功能外溢嚴重，而功能越豐富，相應的攻擊面越多。”劉躍說：“比如汽車數(shù)字鑰匙，區(qū)別傳統(tǒng)射頻信號的車鑰匙，具有手機App、NFC卡多種形式，提供如遠程預熱、關(guān)閉車窗等控車體驗，但是近三年特斯拉汽車的重大安全漏洞，就有四起與汽車數(shù)字鑰匙相關(guān)?！?/p>

　　三是新技術(shù)應用安全建設滯后。劉躍舉例稱，近年來V2X作為車聯(lián)網(wǎng)新興技術(shù)應用廣泛，但V2X相應的安全防護能力相對單薄，研究發(fā)現(xiàn)，攻擊者可輕松偽造紅綠燈交通信息，控制無人駕駛車輛違背交通信號行駛，影響駕駛安全。

　　中國信息通信研究院泰爾終端實驗室信息安全部副主任國煒告訴記者，通過泰爾終端實驗室測試發(fā)現(xiàn)，目前大部分車型在信息安全防護方面水平偏低，車內(nèi)相關(guān)聯(lián)網(wǎng)部件及控制部件防護可靠性不高，且缺失一定的安全策略，這會導致車內(nèi)敏感信息的泄露或被篡改、車輛行駛中的異常行為，還有可能危及人的生命安全。

　　國家工業(yè)信息安全發(fā)展研究中心副總工程師兼信息政策所所長黃鵬表示，車企雖然越來越重視數(shù)據(jù)安全問題，但是實際落地案例較少，“很多企業(yè)都是在邊界游走，探索的成本非常高。”

　　“智能網(wǎng)聯(lián)汽車直接關(guān)乎百姓的生命安全、國家的社會治安，它的安全性比移動互聯(lián)網(wǎng)更重要?！眹鵁槺硎?，法律法規(guī)明確在中華人民共和國境內(nèi)收集和產(chǎn)生的個人信息和重要數(shù)據(jù)應當依法在境內(nèi)存儲，但現(xiàn)在仍存在一些國際企業(yè)在國內(nèi)開展業(yè)務的同時將個人信息和數(shù)據(jù)向國外服務器傳送的現(xiàn)象。

　　“關(guān)于跨境數(shù)據(jù)安全這部分，除了被廣泛提到的特斯拉，我們也做了很多測試，事實證明國產(chǎn)合資品牌的某些車輛也存在跨境數(shù)據(jù)安全問題，有些數(shù)據(jù)確實是傳到了國外?！敝袊嚬こ萄芯吭很嚶?lián)網(wǎng)信息安全專家鄭光偉告訴記者：“目前保障數(shù)據(jù)安全是一個相對短板，尤其是個人隱私安全、跨境數(shù)據(jù)安全管理部分，在主機廠層面其實是非常薄弱的。這也是我們領域內(nèi)關(guān)注的一個熱點?！?/p>

　　“車輛行駛、道路測繪等數(shù)據(jù)的不可控，甚至會影響到國家安全?！眲④S表示，汽車智能化、網(wǎng)聯(lián)化的發(fā)展未來勢不可當，但未來車聯(lián)網(wǎng)的安全體系起碼要實現(xiàn)以下兩個目標：一是從個人角度考慮，不會因為顧慮網(wǎng)絡安全問題，導致不敢乘坐智能汽車，包括無人駕駛汽車等；二是從國家層面考慮，不會因為汽車所使用的傳感器裝置，而不允許車輛出入重要場所或軍事要地。

　　國煒認為，在數(shù)據(jù)出境安全評估過程中，要充分考慮數(shù)據(jù)出境合法性、正當性、必要性，且從發(fā)送方數(shù)據(jù)出境的技術(shù)管理能力、數(shù)據(jù)接收方的安全保護能力及措施以及數(shù)據(jù)接收方所在國家或區(qū)域的政治法律環(huán)境充分評估涉及的個人信息以及重要數(shù)據(jù)的安全風險等級。

　　提升車聯(lián)網(wǎng)的網(wǎng)絡安全防護能力還需要政策層面的哪些支持？專家認為，在監(jiān)管角度，應建立安全監(jiān)管責任體系，并將安全責任落實到上線前、運營使用中和事后等生命周期的各個環(huán)節(jié)，預計未來三年將是國內(nèi)相關(guān)的監(jiān)管與法規(guī)的集中發(fā)布期。

　　此外，有業(yè)內(nèi)人士提出，政策層面應該推動建立健全合理的漏洞發(fā)現(xiàn)、處置與管理機制?！耙驗檐嚻舐┒垂芾頇C制不完善，很容易導致公司法務介入，很多‘白帽子’怕惹事上身，即使發(fā)現(xiàn)漏洞往往不敢報送，而且也不知道向誰報送。”劉躍表示，汽車產(chǎn)業(yè)結(jié)構(gòu)復雜，往往涉及企業(yè)內(nèi)部多個部門，甚至上游產(chǎn)業(yè)鏈，所以安全問題的責任劃分需要明確。此外，可以把傳統(tǒng)領域已經(jīng)應用實踐效果較好的安全監(jiān)測預警、應急響應機制，移植到車聯(lián)網(wǎng)領域中，并且結(jié)合車聯(lián)網(wǎng)環(huán)境的特點，更有針對性地做好安全防護與監(jiān)測。

　　360政企安全集團車聯(lián)網(wǎng)安全研究院院長嚴敏睿也對記者表示，當前急需由相關(guān)部委牽頭，建立具備評價方法的安全檢測和監(jiān)測機制?！熬W(wǎng)絡安全本質(zhì)就是攻防的對抗，如果車聯(lián)網(wǎng)所使用的安全機制沒有對應的評價方法，將會使得行業(yè)內(nèi)各個企業(yè)在落地車聯(lián)網(wǎng)安全機制時缺乏基本依據(jù)和規(guī)范，導致落地后的機制無法抵抗來自黑客的攻擊?！?/p>

　　在車企層面，黃鵬建議從兩個角度提升數(shù)據(jù)安全方面的能力：一是提升核心基礎技術(shù)的安全可控能力，即涉及車輛本質(zhì)上的安全；二是提升數(shù)據(jù)安全綜合防護能力，利用新一代的信息技術(shù)，包括區(qū)塊鏈技術(shù)、流量檢測技術(shù)、國密技術(shù)等，提升綜合防護的能力。

　　嚴敏睿認為，車企可以參考國內(nèi)外相關(guān)標準，形成自身的安全防護體系，將汽車信息安全從原本對單點的關(guān)注進化到整套體系?！捌囅嚓P(guān)的產(chǎn)業(yè)鏈應從產(chǎn)品設計之前，就將對于網(wǎng)絡安全的考慮納入產(chǎn)品需求中，并在產(chǎn)品的全生命周期里加入對產(chǎn)品的安全設計、安全研發(fā)、安全測試、安全運營?！?記者 李唐寧)

　　轉(zhuǎn)自：經(jīng)濟參考報

　　【版權(quán)及免責聲明】凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時須獲得授權(quán)并注明來源“中國產(chǎn)業(yè)經(jīng)濟信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責任的權(quán)力。凡轉(zhuǎn)載文章及企業(yè)宣傳資訊，僅代表作者個人觀點，不代表本網(wǎng)觀點和立場。版權(quán)事宜請聯(lián)系：010-65363056。

延伸閱讀