電動(dòng)汽車、自動(dòng)化駕駛、車聯(lián)網(wǎng)和共享出行正在汽車行業(yè)掀起一場深刻的數(shù)字革命，但一個(gè)關(guān)鍵事實(shí)經(jīng)常被狂熱的資本和創(chuàng)業(yè)家們冷落和漠視：自動(dòng)駕駛是典型的“安全優(yōu)先”市場。
如今，一輛汽車包含多達(dá)150個(gè)電子控制單元和大約1億行軟件代碼（是戰(zhàn)斗機(jī)的四倍），預(yù)計(jì)到2030年將增加到3億行代碼。市場研究機(jī)構(gòu)Juniper Research預(yù)測，到2022年全球市場將會(huì)有一半以上的新車（約3500萬輛）都配備V2V（車到車通信）功能，占整個(gè)汽車市場的2.7%。
電動(dòng)汽車和自動(dòng)駕駛汽車，正在成為智能手機(jī)和智能家居之后，一個(gè)快速崛起的、全新的個(gè)人信息樞紐。對于某些黑客來說，自動(dòng)駕駛汽車將成為極有吸引力的攻擊目標(biāo)。
隨著汽車的數(shù)字化，留給黑客的攻擊面也迅速擴(kuò)大，這將帶來重大的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，從而威脅到車輛安全、消費(fèi)者的隱私甚至生命。
根據(jù)最新的汽車行業(yè)網(wǎng)絡(luò)安全研究：加固汽車網(wǎng)絡(luò)安全的需求將引發(fā)巨額投資——從2020年的49億美元增長至2030年的97億美元。新的聯(lián)合國汽車信息安全法規(guī)提供的安全框架將刺激供應(yīng)商IT部門的重大創(chuàng)新和新的經(jīng)濟(jì)機(jī)遇，專業(yè)利基公司和初創(chuàng)公司，尤其是汽車網(wǎng)絡(luò)安全相關(guān)的軟件開發(fā)和服務(wù)市場。
自動(dòng)駕駛汽車的隱私合規(guī)
近來有不少微信公眾號(hào)，甚至司馬南這樣的大V警告特斯拉自動(dòng)駕駛汽車將給個(gè)人隱私乃至國家安全帶來重大威脅，其中最重要的一條論據(jù)就是特斯拉自動(dòng)駕駛汽車配備了大量傳感器，可感知車輛內(nèi)部和周圍環(huán)境和行駛路線上的大量信息（包括個(gè)人通信、偏好、位置、隱私數(shù)據(jù)以及大量視覺采集信息）并上傳到云端，同時(shí)自動(dòng)駕駛汽車還會(huì)與手機(jī)同步應(yīng)用數(shù)據(jù)，例如位置、通訊錄、語音、圖片等。
那么，以特斯拉為代表的自動(dòng)駕駛汽車到底能采集哪些信息呢？下面是一個(gè)標(biāo)準(zhǔn)的自動(dòng)駕駛汽車傳感器分布圖：
事實(shí)上，普通消費(fèi)者不必過度擔(dān)心自動(dòng)駕駛汽車和聯(lián)網(wǎng)汽車的隱私保護(hù)問題，因?yàn)榕c智能手機(jī)類似，自動(dòng)駕駛汽車和聯(lián)網(wǎng)汽車的用戶隱私并非法外之地，特斯拉等智能汽車自動(dòng)駕駛系統(tǒng)采集、傳輸、處理的環(huán)境數(shù)據(jù)和用戶隱私信息，無論是本地黑匣處理還是聯(lián)網(wǎng)傳輸，車機(jī)原生應(yīng)用還是同步手機(jī)應(yīng)用，都需要符合我國（已發(fā)布或即將發(fā)布）的隱私相關(guān)法律法規(guī)，包括但不限于：
●《信息安全技術(shù) 車載網(wǎng)絡(luò)設(shè)備信息安全技術(shù)要求》
●《數(shù)據(jù)安全法》（草案）
●《個(gè)人信息保護(hù)法》（草案）
●《個(gè)人信息出境安全評(píng)估辦法》（征求意見稿）
●《信息安全技術(shù)移動(dòng)互聯(lián)網(wǎng)應(yīng)用APP收集個(gè)人信息基本規(guī)范》（草案）
●《APP違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》
除國內(nèi)隱私相關(guān)保護(hù)法規(guī)外，歐洲的GPDR和美國的CCPA都對全球自動(dòng)駕駛汽車和聯(lián)網(wǎng)汽車產(chǎn)品有直接約束力。
汽車信息安全的全球（合規(guī)）趨勢
國際機(jī)構(gòu)也正在采取措施，幫助汽車廠商們抵御黑帽黑客和其他數(shù)字威脅。例如，2020年6月23日，聯(lián)合國歐洲經(jīng)濟(jì)委員會(huì)（UNECE）世界汽車統(tǒng)一法規(guī)論壇通過了兩項(xiàng)新法規(guī)，旨在幫助組織應(yīng)對聯(lián)網(wǎng)汽車面臨的網(wǎng)絡(luò)安全威脅。
但是一個(gè)不能忽視的現(xiàn)實(shí)是，現(xiàn)階段汽車信息安全相關(guān)法規(guī)并不完善，根據(jù)麥肯錫的《汽車網(wǎng)絡(luò)安全挑戰(zhàn)》報(bào)告，汽車行業(yè)的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)和法規(guī)相對其他IT領(lǐng)域較為滯后，留有很多死角：
以下，我們從系統(tǒng)安全、供應(yīng)鏈安全和自動(dòng)駕駛AI安全三個(gè)領(lǐng)域盤點(diǎn)一下汽車網(wǎng)絡(luò)安全的最新國際標(biāo)準(zhǔn)和法規(guī)動(dòng)態(tài)：
系統(tǒng)安全
2021年2月5日根據(jù)聯(lián)合國秘書長的通告，聯(lián)合國車輛法規(guī)協(xié)調(diào)論壇UNECE WP.29于2020年6月通過的三項(xiàng)具有里程碑意義的聯(lián)合國車輛法規(guī)，已于2021年1月22日正式生效。
這三條法規(guī)分別是：
● 關(guān)于網(wǎng)絡(luò)安全和網(wǎng)絡(luò)安全管理系統(tǒng)的第155號(hào)條例：制造商和供應(yīng)商的安全措施評(píng)估。
● 軟件更新和軟件更新管理系統(tǒng)的第156號(hào)條例：第一個(gè)管理車輛空中下載技術(shù)（OTA）軟件更新的國際法規(guī)。
● 關(guān)于自動(dòng)車道保持系統(tǒng)型式認(rèn)證的第157號(hào)條例：首部針對L3級(jí)自動(dòng)駕駛系統(tǒng)的國際法規(guī)，涉及到自動(dòng)駕駛數(shù)據(jù)存儲(chǔ)系統(tǒng)相關(guān)的規(guī)定，如收集系統(tǒng)使用及駕駛員監(jiān)控相關(guān)數(shù)據(jù)的黑匣子。
2020年6月份聯(lián)合國車輛法規(guī)協(xié)調(diào)論壇通過兩項(xiàng)新的《聯(lián)合國網(wǎng)絡(luò)安全和軟件更新法規(guī)》，從四個(gè)維度加固車輛網(wǎng)絡(luò)安全：
● 管理車輛網(wǎng)絡(luò)風(fēng)險(xiǎn)；
● 通過設(shè)計(jì)確保車輛安全，以減輕價(jià)值鏈中的風(fēng)險(xiǎn)；
● 檢測并響應(yīng)整個(gè)車隊(duì)的安全事件；
● 提供安全可靠的軟件更新并確保不損害車輛安全，這為車上車輛軟件的所謂“空中下載”（OTA）更新引入了法律依據(jù)。
該規(guī)定將適用于乘用車、貨車、卡車和公共汽車。已于2021年1月生效。
供應(yīng)鏈安全
各國對汽車供應(yīng)鏈安全高度重視，德國的可信信息安全評(píng)估交換（TISAX）就是這樣的一個(gè)例子。自2017年以來，TISAX一直是一種評(píng)估和交流機(jī)制，通過該機(jī)制組織可以按照德國汽車集團(tuán)Verband Deutscher Automobilindustire（VDA）制定的信息安全要求目錄提交審核。
該目錄稱為VDA信息安全評(píng)估（VDA ISA），適用于涉及德國汽車供應(yīng)鏈任何環(huán)節(jié)的公司。它在整個(gè)行業(yè)范圍內(nèi)的執(zhí)法適用于汽車制造商和OEM，但它所涉及的范圍還不僅僅包括合作伙伴和供應(yīng)商。
即使公司不位于德國，僅生產(chǎn)德國產(chǎn)汽車中使用的單個(gè)微芯片，其業(yè)務(wù)網(wǎng)絡(luò)仍屬于這些要求的管轄范圍，仍然需要使用TISAX來完成信息安全評(píng)估。
自動(dòng)駕駛AI安全
《汽車網(wǎng)絡(luò)安全（信息安全）標(biāo)準(zhǔn)、規(guī)范》（Automotive Cybersecurity Standard and Specification）總結(jié)了針對企業(yè)、組織、產(chǎn)品整個(gè)生命周期的規(guī)范、標(biāo)準(zhǔn)。
自動(dòng)駕駛汽車使用人工智能系統(tǒng)，該系統(tǒng)采用機(jī)器學(xué)習(xí)技術(shù)來收集、分析和傳輸數(shù)據(jù)，以便做出人類在傳統(tǒng)汽車中所采取的決策。像所有IT系統(tǒng)一樣，這些系統(tǒng)容易受到攻擊，可能會(huì)損害車輛的正常功能。
ENISA和JRC今年二月份發(fā)布的報(bào)告闡明了與自動(dòng)駕駛汽車采用AI有關(guān)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，并提出了緩解這些風(fēng)險(xiǎn)的建議。
報(bào)告指出，汽車行業(yè)應(yīng)采用安全性設(shè)計(jì)方法來開發(fā)和部署AI功能，從一開始，網(wǎng)絡(luò)安全就應(yīng)當(dāng)成為自動(dòng)駕駛AI設(shè)計(jì)的核心要素。汽車行業(yè)應(yīng)提高其安全防范水平，并增強(qiáng)事件響應(yīng)能力，以處理與AI相關(guān)的新興網(wǎng)絡(luò)安全問題。
ENISA給出的建議中有三點(diǎn)尤其值得關(guān)注：
● 首先，在AI組件的整個(gè)生命周期中定期進(jìn)行安全性評(píng)估。AI模型和數(shù)據(jù)的這種系統(tǒng)驗(yàn)證對于確保車輛在遇到意外情況或惡意攻擊時(shí)始終能夠正確運(yùn)行至關(guān)重要。
● 其次，實(shí)施由威脅情報(bào)支持的持續(xù)風(fēng)險(xiǎn)評(píng)估流程，可以識(shí)別潛在的AI風(fēng)險(xiǎn)和與自動(dòng)駕駛中AI應(yīng)用相關(guān)的新威脅。
● 最后：正確的AI安全策略和AI安全文化應(yīng)主導(dǎo)整個(gè)汽車供應(yīng)鏈。
“當(dāng)不安全的自動(dòng)駕駛汽車越過歐盟成員國的邊界時(shí)，其安全漏洞也會(huì)越界。安全不是事后的想法，而應(yīng)成為在歐洲道路上可靠部署車輛的先決條件。”歐盟網(wǎng)絡(luò)安全局執(zhí)行總監(jiān)Juhan Lepassaar說。
參考資料
汽車行業(yè)網(wǎng)絡(luò)安全研究：
https://www.gsaglobal.org/wp-content/uploads/
2020/03/Cybersecurity-in-automotive-Mastering-the-challenge.pdf）
汽車網(wǎng)絡(luò)安全（信息安全）標(biāo)準(zhǔn)、規(guī)范：
https://www.helpnetsecurity.com/2021/02/17/cybersecurity-autonomous-vehicles/
來源：安全牛
在線咨詢
在線咨詢
0371-63319761