文│中國電子技術標準化研究院 姚相振 張驍 郝春亮 胡影 羅瓔珞
隨著汽車數據安全事件的層出不窮，人們越來越認識到汽車數據更為敏感和重要，無論是可能從車外視頻、位置軌跡數據匯聚分析出道路環境、車流、人流等重要數據，還是對于個人來說更為隱私和敏感的車內視頻、音頻數據，不但關系著國家安全、公共利益，還關系著每個人的財產和人身安全，需要更加認真嚴格的研究保護。本文從汽車數據面臨的主要安全風險、政策法規分析和標準化三個角度，詳細地開展汽車數據基礎性文獻和產業調研整理工作，并提出未來工作建議，為相關從業者、學者提供參考幫助。
一、汽車數據安全風險
(一)汽車數據收集風險
在我國數字經濟快速發展的同時，數據要素作為數字經濟發展的核心，數據成為企業的重要資產。同時無論是自動駕駛算法，還是智能座艙等技術發展需要，汽車相關企業對于汽車數據的采集利用越來越頻繁，同時帶來的濫采濫用的現象愈發嚴重，企業為優化用戶體驗、提升技術實力等目的，存在過度或超范圍收集汽車數據的問題，例如超過自動駕駛算法需要安裝超高精度攝像頭收集車外視頻、長時間監聽用戶語音并回傳至遠程服務平臺。通過對智能汽車收集的數據進行深度分析，通過大量道路周邊環境數據的聚合建模，可以實現測繪效果，以及掌握特定區域的活動規律，存在重要數據安全隱患。
智能汽車上裝載的雷達通過發送和接收超聲波、毫米波、激光信號判斷前方障礙物距離，其信號可能通過截獲、終端、注入、干擾等手段對雷達進行欺騙，影響自動駕駛算法對于道路周邊環境的判斷，影響行車安全。
(二)汽車數據傳輸風險
部分發動機、電池管理系統等零部件供應商會在其產品上安裝物聯網卡等具有通信功能的模塊，直接收集汽車數據并向企業傳輸，用于產品改進等用途。汽車用戶，甚至汽車制造商均不清楚數據被收集并傳輸，若零部件傳輸位置軌跡等敏感個人信息，存在未經允許處理個人信息的問題。同時用戶在購車后加裝的行車記錄儀等后裝部件，同樣具有數據收集、傳輸和存儲等功能，存在超范圍處理汽車數據的隱患。
汽車收集的數據向車外傳輸至企業云平臺后，企業可能會將數據共享給零部件和軟件供應商等第三方企業，可能包括用戶駕駛習慣、用戶偏好等敏感個人信息，存在數據濫用問題。
(三)汽車數據存儲和使用風險
汽車數據在企業平臺大量匯聚存儲和使用，如果沒有完善的數據分類分級保護、授權訪問機制，會增加汽車數據在存儲和使用時的安全風險。特別是大量車外視頻、圖像數據回傳至企業遠程信息服務平臺，可以從車外視頻、圖像數據中分析出區域的人流、車流、物流等信息，若數據泄露或被非法訪問，則可能危害國家安全。汽車數據中包含的個人信息和重要數據如果沒有根據數據類型的重要敏感程度進行分類隔離和分級保護，則可能面臨著數據竊取、篡改和非法訪問的風險。2018 年 7 月，UpGuard 披露百余家整車生產企業共同使用的遠程服務器的數據庫，由于沒有限制 IP 地址和訪問權限，導致上百 GB 數據和大量機密文件存在泄露風險。
(四)汽車數據出境風險
隨著汽車智能化程度提高，為實現智能化功能，汽車上開始安裝越來越多數據收集設備，例如用于輔助駕駛功能的車外攝像頭、激光雷達等，其采集的車外視頻、點云數據，可以通過計算構建出道路、周邊建筑、地形等真實世界的三維模型，也可以通過數據大量匯聚分析出特定區域的車流人流，甚至統計出區域經濟運行情況。由于不同國家和地區之間對于數據保護的要求并不一致，因此數據在出境后，如果沒有充分和合理的保護，特別是重要數據和敏感個人信息在境外的泄露或非法訪問，會造成的國家、公共和個人利益的損失，存在危害國家安全、公共利益和個人權益的隱患。
二、國內政策法規與標準化
(一)法律法規政策
國際上，汽車數據安全引起了各國的廣泛關注，相繼出臺了汽車數據安全管理的相關規定。2021 年 6 月，某知名汽車企業被泄露了在美國及加拿大地區約 330 萬名客戶的敏感個人信息，導致客戶的人身財產受到威脅，也引發了全球關于加強汽車數據安全管理的思考。美歐在數據安全，特別是個人信息保護方面起步較早，1974 年美國就通過了《隱私權法》來保護個人信息，近期更是加大保護力度，包括州政府出臺的《加利福尼亞消費者隱私法案》等相關立法。歐盟出臺了《通用數據保護條例》《車聯網個人信息保護指南》等多部汽車數據安全相關法律法規，嚴格限制汽車采集的敏感個人信息向車外傳輸及存儲。俄羅斯也通過立法要求公司收集的俄羅斯公民個人信息必須存儲在俄羅斯境內的服務器上。
在我國，數據安全問題已成為當下基礎的安全問題，數據安全治理也逐漸被提升到國家安全治理的戰略高度。近年來，我國將保障數據安全放到了重點突出的位置，發布了《網絡安全法》《數據安全法》《個人信息保護法》《關鍵信息基礎設施安全保護條例》等相關法律法規。對關鍵信息基礎設施、數據跨境流動、個人信息保護、新技術新應用數據安全等多個方面做出了規定。多個部委依據相關法律發布了《網絡安全審查辦法》《汽車數據安全管理若干規定(試行)》等部門規章。
從國家治理層面來看，2015 年頒布的《國家安全法》將數據安全納入國家安全的范疇。2017年《網絡安全法》引入了網絡數據的概念，首次提出了重要數據概念。2020 年 6 月，多部委聯合發布《網絡安全審查辦法》，推動建立國家網絡安全審查工作機制，以確保關鍵信息基礎設施供應鏈安全，維護國家安全。而此前國家對滴滴出行等平臺的網絡安全審查，正是我國《網絡安全法》《網絡安全審查辦法》生效之后首次公開進行的網絡安全審查程序，《網絡安全審查辦法》經過修訂后，已于 2021 年 12 月 28 日發布，并于2022 年 2 月 15 日施行。2021 年 9 月正式實施的《數據安全法》，從法律層面清晰定義了數據活動、數據安全，提出國家將對數據實行分級分類保護、開展數據活動必須履行數據安全保護義務承擔社會責任等。在明確國家數據安全基本制度體系的基礎上，對于重要數據提出了加強安全保護的要求。數據安全法規定對重要數據實行更加嚴格的管理制度，強調通過各行業各部門通過配套規范性文件進一步完善行業數據安全保護制度，突出了重要數據在國家整體數據安全制度體系中的重要地位。2021 年 11 月施行的《個人信息保護法》對個人信息保護提供更強有力的保障，對下位法規、規章和國家標準形成有效指引。
2021 年 8 月，由網信辦等五部門聯合發布的《汽車數據安全管理若干規定(試行)》(以下簡稱《若干規定》)，是數據安全相關法律在汽車行業的配套規范性文件，界定了適用范圍、管理對象、監管內容等汽車數據安全保護相關基本要素，提出了汽車領域重要數據和個人信息的監管保障制度和具體措施，為汽車數據安全保護工作開展提供明確要求。
《若干規定》明確了重要數據保護要求，為汽車領域重要數據保護提供切實指導。落實《數安法》加強重要數據保護的要求，首先要識別重要數據。隨著汽車智能化程度不斷提高，數據處理能力越來越強，汽車越來越多地成為網絡數據收集和產生的重要來源，與汽車數據處理相關的平臺承載了越來越多的關系國家安全和公共利益的網絡數據。此次《若干規定》明確規定了汽車相關 6 類重要數據，包括涉及敏感區域、經濟運行、充電網等方面的數據，尤其是將涉及個人信息主體超過 10 萬人的個人信息規定為重要數據，明確了個人信息與重要數據之間的關聯性，為各領域重要數據保護工作提供了關鍵參考。敏感區域的地形地貌、建筑特征，以及附近的人流車流數據關系國家安全;道路上的經濟運行數據、充電網運行數據關系國民經濟命脈;車外視頻圖像數據關系重要民生利益;10 萬人以上規模的個人信息關系重大公共利益。通過實行更加嚴格的管理制度，有效保護國家安全和公共利益，同時促進和平衡汽車產業的健康發展。
《若干規定》細化了個人信息保護要求，為汽車領域個人信息保護訂立基本原則。落實《個保法》約束過度收集個人信息的要求，在汽車數據處理活動中存在兩大難點。一是汽車通過攝像頭采集車外環境數據時，可能包含人臉、車牌等個人信息，實踐上很難征得車外行人等交通參與者的授權同意;二是個人所有的汽車座艙屬于個人私密空間，汽車采集的座艙視頻、圖像和聲音等數據，包含生物特征信息和隱私性更高的內容，需要更嚴格的保護力度。此次《若干規定》為汽車領域個人信息保護專門提出了 4 條原則，包括數據默認不收集、精度適用、脫敏處理等方面內容，尤其是倡導車內處理，鼓勵汽車數據處理者除非確有必要，不向車外傳輸包含個人信息的數據，更好保護個人隱私?！度舾梢幎ā愤€為汽車領域個人信息保護專門訂立了細則，包括個人信息的收集、處理等環節的要求，尤其是針對敏感個人信息處理，進一步明確處理目的、持續告知、單獨同意、停止收集和刪除時限等細化要求。
(二)標準化
全國信息安全標準化技術委員會(SAC/TC260)在汽車數據安全相關的基礎標準方面，已發布 GB/T 35273—2020《信息安全技術 個人信息安全規范》、GB/T 37964—2019《信息安全技術 個人信息去標識化指南》、GB/T 38628-2020《信息安全技術 汽車電子系統網絡安全指南》等多項國家標準，在研國家標準包括《信息安全技術 汽車數據的安全處理要求(報批稿)》《信息安全技術 網絡數據處理安全要求(報批稿)》《信息安全技術 網絡預約汽車服務數據安全要求(報批稿)》等。信安標委還發布了《汽車采集數據處理安全指南》《汽車電子網絡安全標準化白皮書》等系列標準化工作成果。
《信息安全技術 汽車數據處理安全要求(報批稿)》針對汽車數據在收集、傳輸等數據處理活動出現的個人信息或重要數據泄露、濫用等安全問題，圍繞《若干規定》中車外個人信息匿名化、車內處理、默認不采集、顯著告知等落地中存在的難點問題進行細化，提出可執行的落地方案，可以更好地支撐《若干規定》的實施貫徹。
信安標委于 2021 年 10 月 8 日發布技術文件 TC260-001《汽車采集數據處理安全指南》。技術文件細化通過將汽車采集的數據分為車外數據、座艙數據、運行數據和位置軌跡數據四類，針對不同類型數據的重要敏感程度不同，分別在傳輸、存儲和出境等環節提出不同的要求。包括車外個人信息的匿名化處理、數據在車外的最長存儲時間，敏感重要數據不應出境等等。同時，技術文件明確提出汽車制造商應對其生產的整車數據安全負責，除約束和監督零部件供應商處理汽車采集數據的行為外，還應將汽車采集數據向外傳輸的完整情況對用戶披露。
全國汽車標準化技術委員會(SAC/TC114)已發布的汽車信息安全相關標準包括 GB/T40861-2021《汽車信息安全通用技術要求》、GB/T 40856-2021《車載信息交互系統信息安全技術要求及試驗方法》、GB/T 40857-2021《汽車網關信息安全技術要求及試驗方法》、GB/T40855-2021《電動汽車遠程服務與管理系統信息安全技術要求及試驗方法》等。四項標準作為汽標委在汽車的信息安全領域發布的首批基礎性標準，可以更好地提升我國汽車產品的信息安全水平，更好地保障消費者的個人信息，提高信息安全事故應急響應能力等。
GB/T 40861-2021《汽車信息安全通用技術要求》針對汽車的信息安全風險危害及誘因、系統性防御策略，提出了保護信息安全的通用要求。GB/T 40856-2021《車載信息交互系統信息安全技術要求及試驗方法》圍繞車載信息交互系統的設計、開發、測試、驗證等階段，針對硬件、協議、接口、系統、軟件和數據提出安全要求，降低車載信息交互系統面臨的網絡威脅和安全風險。GB/T 40857-2021《汽車網關信息安全技術要求及試驗方法》通過對汽車網關的硬件、數據等提出信息安全技術以及明確的試驗方法，來保障汽車網關的信息安全，保證汽車數據的保密性、完整性和可用性。GB/T 40855-2021《電動汽車遠程服務與管理系統信息安全技術要求及試驗方法》通過對新能源汽車車載終端和企業遠程信息服務平臺間的通信安全提出相關要求和測試法方法，提升新能源汽車監測和管理平臺的信息安全防護水平。
三、汽車數據安全相關建議
一是加快構建汽車數據安全標準體系，加快推進汽車數據安全重點標準的研制。堅持問題導向，通過數據安全標準作為《若干規定》落地實施的有效技術支撐，發揮標準基礎性、規范性和引領性作用。圍繞《若干規定》提出的汽車數據安全要求，以及默認不收集、車內處理、精度范圍適用、脫敏處理等原則。細化落實《若干規定》中對于車外個人信息匿名化、處理個人信息顯著告知、敏感個人信息加強保護等要求，加快推進《信息安全技術 汽車數據的安全處理要求(報批稿)》的編制工作，在《信息安全技術 個人信息安全規范》基礎上，提出汽車數據處理的安全要求，為汽車數據安全管理工作的落地實施提供標準化技術支撐。
二是加強汽車數據安全技術研發，提高汽車相關企業數據安全水平。大力推動汽車數據安全相關技術的研發，包括包含人臉、車牌等個人信息的車外視頻、圖像的匿名化處理技術，推動人臉、車牌檢測技術的發展，并在車外個人信息匿名化處理的基礎上，加大智能駕駛算法的技術投入，深入研究在擦除或替換人臉、車牌等個人信息的車外視頻、圖像數據基礎上的智能駕駛算法。鼓勵行業協會或社會組織開展汽車數據安全技術交流，推廣宣傳汽車數據合規技術方案的最佳實踐，發揮頭部企業數據安全水平的示范作用，整體提升汽車數據安全管理水平。
三是加強汽車數據安全監管，建立汽車數據安全檢測機制。加快推進重要數據風險評估、年度報告制度的進一步落實，督促企業依據《若干規定》和相關數據安全標準規范改進汽車數據安全管理水平和防護措施，堅持車內處理原則，汽車數據盡量不向車外傳輸，更好的保護重要數據和個人信息，提高汽車行業整體數據安全水平。完善汽車數據安全檢測評估公共服務能力，建立汽車數據安全檢測機制，開展常態化的汽車數據安全評估工作，對存在的汽車數據安全問題及時監督整改。
四、結語
汽車數據安全問題已經引起社會各界的廣泛關注，加快推進汽車數據監管落地，進一步建立完善的汽車數據標準體系，解決汽車領域存在的重要數據和個人信息安全風險是當務之急，安全開展汽車數據相關業務才能為行業健康發展保駕護航。
(本文刊登于《中國信息安全》雜志2022年第3期)
文章來源：中國信息安全
