車聯網作為新一代網絡通信技術與汽車、電子、道路交通運輸等領域深度融合的新型產業形態，已成為推動汽車制造業高質量發展的重要引擎。

目前，發展車聯網已成為多國重要戰略選擇。歐美以自動駕駛和智能交通為切入點，強化政策導向驅動車聯網快速發展。我國主導單車智能和網聯賦能并行發展的路線，車聯網無線通信技術裝備不斷普及、政策體系不斷完善，車聯網迎來產業發展黃金期、布局關鍵期。然而，伴隨車聯網的快速發展，網絡攻擊方式也不斷升級，網絡入侵、數據竊取、非法控車等攻擊影響不斷擴大，汽車、平臺、網絡、數據等要素安全風險交織疊加，威脅隱患不容忽視。業界亟需加強車聯網安全風險防范應對能力，推動車聯網產業高質量發展。

車聯網安全風險

一是汽車及核心部件風險隱患突出。智能網聯汽車系統運行上億行代碼量，軟件和網絡存在的安全漏洞威脅車輛運行安全。其中，車載信息交互系統、智能網關等核心部件存在的緩存溢出、代碼注入等安全漏洞，易被攻擊者用，以此構建控車攻擊鏈，實現遠程操控車窗車門、控制車輛啟動轉向等。2023年1月，近20家汽車制造商曝出API安全漏洞，這些漏洞可以被黑客利用進行各種惡意活動，包括解鎖、啟動和跟蹤汽車，甚至可訪問企業內部門戶網站，竊取大量車主詳細信息。

二是車聯網服務平臺頻繁遭受攻擊。車聯網服務平臺提供信息交互、車輛控制、軟件升級等服務，攻擊者可通過互聯網直接入侵滲透，對車輛實施遠程操控，并通過篡改無人駕駛車輛的自動駕駛路線或惡意派發軟件升級任務，危害車輛行駛安全。監測數據顯示，近年來針對我國車聯網服務平臺的攻擊頻發，2022年累計達620.7萬次，同比增長74.26%。2022年9月，俄羅斯本土網約車巨頭Yandex的服務平臺被入侵，黑客偽造車輛調度信息并通過平臺下發虛假訂單，大量汽車在莫斯科市中心集聚，造成嚴重交通堵塞。

三是車聯網通信安全防護極為薄弱。當前，聯網汽車數量和通信需求不斷增長，據統計，具備組合駕駛輔助功能（L2級）的乘用車滲透率達33.6%，預計2025年各級別自動駕駛滲透率將合計達到80%。車聯網通信連接對象多樣，應用場景豐富，通信協議、網絡接入等普遍存在身份偽造、未加密傳輸、會話劫持等安全風險，易造成通信數據泄露，干擾汽車自動駕駛判斷，進而引發交通事故。2022年5月，特斯拉的“無鑰匙進入系統”曝出重大安全漏洞，攻擊者可以通過對BLE低功耗藍牙通信的中繼攻擊，在10秒內解鎖一輛特斯拉Model 3或Model Y。

四是數據泄露和違規跨境流動風險日趨嚴峻。車聯網數據安全貫穿智能網聯汽車、通信網絡、手機APP以及服務平臺之間的各個互聯互通過程，數據安全防護目標復雜多樣。近年來，隨著產業規模和價值急劇提升，車聯網數據已成為黑客的重點攻擊目標，任一過程管理不嚴或者數據防護不當，都將導致數據被不法分子竊取或篡改，造成用戶數據泄露，個人隱私、企業權益受到侵害。2022年10月，意大利汽車制造商法拉利遭到勒索，包括企業內部文檔在內的總計6.99GB商業文檔被竊取。此外，隨著全球車聯網行業的高度融合以及數據黑色產業鏈的不斷發展，出境數據被濫用和售賣的現象頻頻發生，勢必產生數據跨境流動安全隱患。

車聯網安全應對措施

首先，車聯網安全政策密集出臺，體系逐步健全完善。

近年來，我國先后發布《新能源汽車產業發展規劃（2021—2025年）》《智能汽車創新發展戰略》《車聯網（智能網聯汽車）產業發展行動計劃》等多項政策措施，要求車聯網企業健全安全管理體系、強化安全技術能力。自2021年起，相繼發布《網絡產品安全漏洞管理規定的通知》《關于加強智能網聯汽車生產企業及產品準入管理的意見》《汽車數據安全管理若干規定（試行）》《關于加強車聯網網絡安全和數據安全工作的通知》等文件，緊抓車聯網安全多項重點工作任務，加強智能網聯汽車企業和產品準入、車聯網安全防護、汽車數據安全管理、汽車產品安全漏洞管理、車聯網卡實名登記等重點領域部署。近期，《道路機動車輛生產準入許可管理條例（征求意見稿）》《關于開展智能網聯汽車準入和上路通行試點工作的通知》（擬征求意見，還未施行）向社會公開征求意見，就智能網聯汽車企業和產品準入提出行駛安全、功能安全、預期功能安全、網絡和數據安全方面的原則性要求。

其次，發布車聯網安全標準框架，強化標準體系布局。

2022年2月，工業和信息化部發布《車聯網網絡安全和數據安全標準體系建設指南》，強化標準體系化建設，覆蓋總體與基礎共性標準、終端與設施網絡安全標準、網聯通信安全標準、數據安全標準、應用服務安全標準、安全保障與支撐標準六大重點領域及方向，布局103項標準項目。中國通信標準化協會（CCSA）在TC8下正式成立“車聯網安全任務組（TF2）”，匯聚汽車生產企業、基礎電信企業、互聯網企業、零部件制造商、網絡安全企業、科研單位、高校等百余家產業鏈重點單位，聚焦車聯網平臺防護、數據安全、個人信息保護、供應鏈風險管理、能力成熟度評價等重點領域，高效推進車聯網安全標準的研制和應用，目前已發布國家標準、行業標準、團體標準共16項，同步推進OTA安全技術要求、平臺安全防護監測、數據安全保護要求、安全管理接口規范、車聯網卡實名登記等55項標準。

最后，搭建產業合作交流平臺，促進綜合安全能力提升。

一是搭建產業界合作交流平臺。2021年3月，在工業和信息化部的指導下，中國信通院牽頭成立了車聯網安全工作專班，為產業界提供深度交流和技術創新的引領性、先導性平臺。目前，專班已成功召開7次會議，成員單位共108家，覆蓋整車企業、零部件企業、服務平臺企業、安全企業、科研機構及高校等，從政策研究、標準研用、人才培養和產業孵化等方面，加快推進車聯網網絡與數據安全工作落地，護航車聯網產業安全健康發展。二是產業各方積極開展實踐。汽車生產企業開始建立整車開發安全流程管理體系，將網絡安全貫穿車輛設計整個生命周期，網絡安全架構設計逐步深入。產業鏈上下游企業協同共建，積極探索實踐入侵檢測、安全防御等技術整合，聯合打造網絡安全實驗室、靶場等，安全技術不斷創新、人才隊伍日益壯大。第三方專業機構等積極發布車聯網安全檢測工具箱及安全測試能力，車聯網產業安全能力逐漸提升。

基于車聯網安全風險的思考和建議

一是加快車聯網安全管理制度體系構建。堅決落實《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》《關鍵信息基礎設施管理條例》，以及車聯網網絡安全分級防護、汽車產品安全漏洞管理、數據分類分級管理、重要數據識別備案、車聯網卡實名登記等規定要求。加快出臺《道路機動車輛生產準入許可管理條例》，納入汽車網絡安全、數據安全等相關要求，改善汽車安全“基因”，對于重要車聯網服務平臺實施更加嚴格的安全管理。著力推動企業安全責任落實，部署車聯網安全能力提升專項行動，組織汽車生產企業、車聯網服務平臺企業、基礎電信企業、零部件供應商、網絡安全機構等，圍繞車輛、平臺、通信、數據等安全風險點，開展安全自查互檢，聯動處置安全隱患，促進安全能力協同建設。

二是提升車聯網安全防護能力。加快推進車聯網安全防護建設，深入實施車聯網網絡安全定級備案，落實車聯網網絡安全分級防護措施，加強車輛設計、制造、測試驗證等全過程安全能力，開展整車及關鍵部件、服務平臺、車路協同系統網絡安全檢測，完善風險監測技術手段，提升監測預警和應急處置能力。強化整車安全漏洞管理，加大整車安全漏洞收集、研判、通報、處罰力度，有效督促漏洞風險的修補處置。增強車路協同通信安全保障，推動建立全國統一的車車、車路、車云、車設備安全互認通信機制。

三是強化車聯網安全標準研用。以車聯網安全標準體系框架為指引，有序開展車聯網安全領域重點急需標準的研制和發布，同步推進其他標準的研制進程，加快車聯網安全標準體系建設。加快推進車聯網平臺防護、安全檢測、在線升級、重要數據識別、數據安全保護等政策配套性、技術指引性標準的立項研制，對車輛遠程監控、軟件在線升級等車聯網服務實施強制性安全要求，開展標準宣貫、安全體檢、評估選優等活動，為行業企業提供可用、好用、管用的安全管理、建設和實施依據。加大國際車聯網網絡安全標準化工作力度，支持國內標準的國際轉化，提升國際標準影響力。

四是加快構建車聯網安全產業生態體系。推動安全技術產品創新，充分發揮車聯網安全專班、車聯網安全任務組等行業組織作用，整合技術優勢和資源優勢，開展整車網絡安全能力評價、攻防演練、技術競賽等活動，提升產業安全保障能力。加快建立并完善車聯網安全測試評價體系，推動建設綜合性、全鏈條安全測試場，覆蓋智能網聯汽車、網絡基礎設施、路側設施、車聯網服務平臺等核心要素場景，完善安全測評方法，搭建車聯網安全測試和公共服務平臺，不斷升級完善安全測試評價能力，提升車聯網安全產業保障水平。

作者：中國信息通信研究院 張寧 李文 趙爽 柯皓仁

編輯：黃飛

?