本文作者丨小薯条
前几天听朋友提起一个故事，说他单位同事刚刚喜提一辆特斯拉Model Y，第二天欢欢喜喜地开着新车上班，还没等进门，就被保安拦下。问了下原因，保安只说领导这样交代过：“特斯拉不准进入单位大院的停车场”。再多的内容他就不清楚了。朋友讲这个故事时候也大吐槽了一番，觉得非常不理解。
但故事讲到这里，如果我告诉你这位朋友供职于国家直属机关单位，你是不是心里就已经有答案了？
一直以来，特斯拉都被戏称为“移动间谍”。其车身上的摄像头非常之多，不光车内有，车外也有。一旦处在哨兵模式下，车辆即便静止不动，摄像头也会玩命工作，周围发生的一切都会被如实记录。所以如果特斯拉停放在一些涉及国家机密的政要单位内部，可不就成了一台移动监控设备。那引起各部门的安全警惕，也就不意外了。
这些担心绝非是“过度警惕”，因为就在近日，特斯拉前员工爆出猛料称特斯拉汽车用户的隐私随便看，甚至包括马斯克本人的！这则消息引起了一片惊叹。不过放眼整个汽车行业，信息泄露早就不是什么新鲜事了。
还记得去年“名噪一时”的蔚来黑客勒索事件吗？黑客窃取了蔚来的车主信息并向其索要225万美元赎金。就在前不久，相同的戏码再度上演！只不过这一次的主角变成了汽车巨头法拉利。
据海外媒体安莎社近日报道，意大利法拉利汽车公司旗下一家子公司近期遭到勒索软件攻击，包括姓名、地址、电话等客户信息被泄露。不过付款信息、银行账号等更为重要的信息并未被盗取，因此对公司运营未造成影响。
对此，法拉利也表示决不会向勒索者屈服，因为支付此类赎金会为犯罪活动提供资金，反倒会助长黑客继续向他人实施攻击的气焰。
其实蔚来和法拉利的事件并非个例，我们简单整理了一下发现，仅半年时间内，现代、沃尔沃、丰田、宝马、特斯拉、蔚来、奥迪等多家知名汽车企业都曾曝出过多起用户数据泄露事件：
- 4月14日，现代汽车近日披露发生数据泄漏事件，意大利和法国车主以及预订试驾数据遭泄露
- 4月13日，据网络新闻研究小组调查发现，巴西的沃尔沃汽车零售商Dimas Volvo在近一年时间里都在持续通过其网站泄露敏感文件
- 3月28日，全球知名汽车制造公司丰田（TOYOTA）遭遇了严重的用户信息泄露事件，黑客通过攻击丰田意大利数字营销自动化和分析软件服务提供商 Salesforce Marketing Cloud，从而获得了海量的用户数据，且至今为止数据泄露已有一年半之久
- 3月28日，黑客组织KelvinSecurity Team此前声称获得了英国384319名宝马车主的数据，并已在暗网上出售这些信息。同时宝马法国的社交媒体账户也遭遇Play Ransomware group黑客组织的攻击，并表示如果不满足赎金要求，会在暗网上发布盗取的数据
- 去年12月，蔚来此前收到外部邮件，声称拥有蔚来内部大量用户行为数据，并以225万美元等额美元比特币勒索，致使蔚来陷入巨大的客户信任危机中
这是一个非常奇怪的现象：无论是普通品牌还是豪华品牌，无论是传统汽车还是智能汽车，似乎都难逃“数据泄露”的魔咒。从卡罗拉到法拉利再到蔚来，汽车行业已经深深陷入其中，无力摆脱。
数据泄露也不仅仅是影响车企和车主本身，更是涉及到国家安全，这也是国内特斯拉车主会被很多单位保安拦下的原因：车辆大范围采集路面、地理位置、建筑布局等基础信息，一旦被其他国家获取，将会造成难以想象的后果。
因此在面对特斯拉车主，保安就一句话：有规定，特斯拉车主不让进！
汽车数据泄露已经成为重灾区
当下，全球黑客攻击形势严峻，诸如勒索攻击、窃取售卖数据信息、供应链泄密、APT攻击等新闻屡见不鲜。而汽车行业的用户信息主体较为集中，再加之该行业用户价值较高，已然成为了数据泄露的重灾区。
关键原因主要集中在以下几个方面：
- 车企信息安全防护措施不到位：从网络信息安全的角度来看，智能网联汽车主要面临着远程入侵、近距离攻击、接触攻击三个角度的安全风险，如果企业在数据的采集、传输、存储、使用等过程中未做好安全防护，被黑客钻空子就极易造成信息泄露
- 车企还存在不规范、过度收集用户信息：该行为涉嫌侵犯用户隐私。这些信息安全若无法得到充分的保障，那么从车锁、车载屏幕到车辆数据后台，乃至汽车企业本身，都可能成为黑客的攻击对象
- 汽车智能化发展过快，安全系统仍在初级阶段：目前智能汽车变化速度与法律法规出现了摩擦和冲突的一面。智能驾驶所需的硬件在快速迭代，而软件系统的安全性仍处在初级阶段，汽车智能化水平发展势头迅猛，信息安全保障体系的建设脚步发展迟缓甚至停滞，两者不对等。
不过随着近年来汽车网联化的脚步加快，上述提到的这几个汽车信息安全的问题成为了近年来的行业关注重点。数据泄露可能直接关乎个人隐私安全、社会安全、经济安全乃至国家安全等多个层面的问题，大致可以概括为四类：
- 行车安全：联网为网络黑客提供了入侵车辆的机会，一旦入侵成功即可直接远程控制车辆，不需要钥匙就能打开车门、打开后备厢，甚至还能直接解锁、关闭引擎、直接对车辆进行启动刹车等操作。这不仅会造成车主的财产损失，可能还会危及生命安全。
- 用户隐私：智能网联汽车上装载的传感器会持续获取车上驾驶者、乘客、座舱数据甚至车外行人的相关信息。对于用户来说，信息泄露则意味着隐私被侵犯，可能会威胁到人身财产安全。
- 企业安全：一般来说企业会收录其用户在官网cookies、APP、小程序等触点的用户行为信息；此外还有一些旗下门店/经销商采集的用户到店信息、试驾信息等；另外，企业管理内部还包含了员工和车主服务数据等，这些数据环环相扣。一旦信息泄露对企业来说不仅意味着品牌形象的伤害和消费者的信任流失，甚至可能造成企业巨额的损失。
- 国家安全：如今的汽车内部不少都配备有大量的视觉、激光雷达、毫米波雷达等传感器在行驶过程中会不断扫描路面和周围交通环境以及行车轨迹，车辆获取到的大量地理信息可能涉及到国家信息安全。
相比于传统的汽车车身安全问题，网络安全、数据安全、车辆行驶安全、产业安全等安全问题交织叠加,并且正加速向车联网领域渗透蔓延：以汽车数据为核心的新安全问题日益凸显，汽车数据安全事件频发。
汽车产业发展要想实现智能化的趋势，那数据无疑是路上的重要基石。尤其是汽车智能化程度与日俱增，守好数据安全，不仅关乎用户权益，更关乎行业健康发展。那么为确保车辆、车主乃至整个社会的安全，汽车行业信息安全的行为规范，信息安全维护方式方法以及相关标准法规建设等都必不可少。
面对纷繁复杂的数据环境和越来越丰富的数据内容，车企在构建自身数据安全能力时，应该从以下方面查缺补漏：
- 强化数据安全管理：在数据的采集、传输、存储、使用等过程中，车企应强化数据安全管理，要从技术上保证数据安全，并制定相关的监测管理机制，以保证采集来的数据被合法合规地使用。一般情况下，黑客入侵、数据窃取均通过网络实现。因此，通过网络入侵检测和防护技术创新，构筑多层网络防护和多重检测技术，可以更大限度地防范网络入侵。
- 技术融合手段提升防护能力：也是十分必要的，有业内人士曾表示，可通过“区块链+智能网联汽车”技术融合，结合一些数据加密手段以显著提升汽车数据安全管理水平。比如利用密码技术，通过前装安全密码模块或选择国密算法在智能网联汽车各个关键环节上提升数据安全防护能力。
- 加强安全顶层设计：建立健全的车联网数据安全制度和标准体系，强化车联网数据安全顶层设计，建立包括汽车数据安全管理规定、个人信息和重要数据保护、数据审查与出口、数据安全共享和交易、数据安全评估与防护等在内的车联网数据安全制度体系，建设车联网数据分级分类管理机制，完善车联网数据安全事件的通报、应急处置和责任认定等安全管理工作。
不过，由于汽车网络信息安全涉及范围宽泛，所以有一些车企会选择其他的方法以守护信息安全，比如招募一些白帽黑客和安全研究人员，利用他们的力量和知识，实施激励计划，鼓励友好的黑客及时报告其发现的漏洞，使得信息被恶意盗取利用之前完成漏洞的修复。这个方法倒也不失为一个上策。
除了上述的一些维护信息安全的方式方法外，随着新四化在全球范围内持续推进，各国网络安全相关机构也先后出台了各种法规和标准，对车辆的网络信息安全提出了有针对性的要求并明确了验证方法。
美、欧多国重点关注，多条安全法规重磅出台
汽车信息安全问题，不仅是我国关注的重点问题，而是美、欧等国家和地区乃至全球都均将汽车数据安全作为其数据安全监管的重点对象，部分国家已经出台针对汽车数据安全的规范性文件。比如：
- 美国：汽车数据安全管理遵循《隐私权法》《电子通讯隐私法》《加利福尼亚消费者隐私法案》等法律法规及地方法案的相关要求。
- 欧盟：在《通用数据保护条例》基础上，针对汽车数据安全管理进一步出台了《车联网个人信息保护指南》，围绕车内处理、持续告知、方便撤回同意等原则，提出生物特征、位置轨迹等敏感个人信息的保护要求。
- 联合国：2021年年初，联合国世界车辆法规协调论坛颁布了《关于车辆的网络安全和网络安全管理体系的统一规定》（以下简称“UN R155”）。该规定就保障智能网联汽车的网络安全提出了管理体系及相关的合规技术要求。
UN R155作为国际首个与汽车网络安全相关强制实施的纲领性法规，一方面为汽车行业构建合规的网络安全架构提供了清晰的指导，另一方面也对智能网联汽车产业的有序发展具有积极意义。
其中，R155合规认证主要分为两部分：
一、网络安全管理体系认证（CSMS,Cyber Security Management System）：主要审查车企的信息安全管理系统是否涵盖开发、生产和后生产阶段，以确保汽车全生命周期中都有对应的流程措施，从而保证信息安全设计、实施及响应均有流程体系指导。车企一旦完成这项认证，则意味着其具备覆盖车辆全生命周期的网络安全管控、数据安全保障、安全研发和测试、漏洞和威胁响应等重要安全能力
二、车辆网络安全型式认证（VTA,Vehicle Type Approval）：拿到CSMS认证后，车企可对具体车辆进行VTA认证。该认证是针对信息安全开发中具体的工作项进行审查，旨在保证实施于车辆的信息安全防护技术在进行审查认证时足够完备。
R155作为全球第一个汽车信息安全强制法规，适用于《1958年协定书》（联合国于1958年在日内瓦制定了《关于采用统一条件批准机动车辆装备和部件并相互承认此批准的协定书》）下的成员国。目前该协议的缔约方已增加至54个，其中包括所有欧盟国家和其他OECD（经合组织）国家。虽然中国不在名单中，但如果想将生产的汽车销售到这些国家，车辆就就必须符合R155的要求。
因此，近些年在《1958年协定书》成员国有出口业务的车企，对R155并不陌生，甚至将获得这项认证作为了车企出海的一个宣传点。
比如今年4月4日，上汽乘用车就获得TÜV南德意志集团颁发的TÜV全球首张E4 UN R155车辆网络安全管理体系（Cyber Security Management System）认证证书。
今年4月11日，奇瑞同时获得 UN R155（联合国欧洲经济委员会第 155 号法规）车辆网络安全管理体系认证证书（CSMS）、UN R156（联合国欧洲经济委员会第 156 号法规）软件升级管理体系认证证书（SUMS），拿下了打开欧盟市场的关键“通行证”。
从法律层面看，UN R155标准的出台能够帮助智能网联汽车的生产企业和相关机构更好地实现并验证整车信息安全需求。同时，能够合理规避车辆信息安全与数据安全隐患，避免漏洞破解与群体性非法控车。
为保信息安全，国内汽车行业也在加速“立规矩”
汽车的智能化，数字化无可厚非会催生更多新问题，从无人车的无人化运营，到非限定路段的自动驾驶测试，再到智能化汽车的不断演变，我们看到科技的变化越来越快，而现行法规与其中的冲突也正变得激烈，法律滞后行业发展的情况越来越普遍。
不过可喜的是，我国对这一新生事物的治理方式采用了试点模式。近年来，我国正在加快制定相关法律法规，保护数据安全。
- 2021年我国信息安全标准化技术委员会发布《信息安全技术汽车采集数据的安全要求》（征求意见稿）（以下简称《安全要求》）。
《安全要求》共计8节15条，规定了对汽车采集数据进行传输、存储和出境等处理活动的安全要求，既为汽车制造商保障汽车数据处理活动安全提供了指引，也为主管监管部门、第三方评估机构等对机车采集数据处理活动的监督、管理和评估提供了参考。
- 同年8月，工业和信息化部发布了《关于加强智能网联汽车生产企业及产品准入管理的意见》。
意见中明确，企业应当建立健全汽车数据安全管理制度，依法履行数据安全保护义务，明确责任部门和负责人。建立数据资产管理台账，实施数据分类分级管理，加强个人信息与重要数据保护。建设数据安全保护技术措施，确保数据持续处于有效保护和合法利用的状态，依法依规落实数据安全风险评估、数据安全事件报告等要求。
- 此外，我国还发布了首个针对汽车数据安全制定的法规——《汽车数据安全管理若干规定（试行）》
该法规首次清晰界定了“汽车数据处理者”和“重要数据”类型等内容。《规定》中还要求，默认不收集原则，除非驾驶人自主设定，每次驾驶时默认设定为不收集状态。因保证行车安全需要，无法征得个人同意采集到车外个人信息且向车外提供的，应当进行匿名化处理，包括删除含有能够识别自然人的画面，或者对画面中的人脸信息等进行局部轮廓化处理等。
为此，长安汽车去年6月曾发布公告称对长安汽车 App、智慧云控 App、引力域 App 进行功能调整：
调整后 App 中将无法使用的功能包括：远程监控（即手机远程直播功能）、360 全景（即手机车外远程拍照功能）、远程智能泊车。
- 2022年9月，工信部发布了《国家车联网产业标准体系建设指南（智能网联汽车）（2022 年版）》（以下简称《指南》）。
《指南》明确提出，到2025年，系统形成能够支撑组合驾驶辅助和自动驾驶通用功能的智能网联汽车标准体系。制修订100项以上智能网联汽车相关标准，涵盖组合驾驶辅助、自动驾驶关键系统、网联基础功能及操作系统等标准，并贯穿功能安全、预期功能安全、网络安全和数据安全等安全标准，满足智能网联汽车技术、产业发展和政府管理对标准化的需求。
另外，此前还有消息称强制性国家标准《汽车整车信息安全技术要求》也有望于今年下半年报批。随着强标的出台，加上多条政策法规的不断完善，对于汽车行业来说，意味着一些新的挑战与变化即将到来。
现在只是新起点，汽车信息安全仍面临艰深挑战
有行业专家认为，虽然智能化、网联化是目前汽车新四化的主要发展方向，但是未来汽车除了要在设计、生产、用户体验等环节下大功夫外，最终的落脚点还是要落到安全性上来。如果汽车的智能化、网联化需要以用户的隐私透明化为代价，汽车企业无法做到对网络数据安全的管理和数据的加密和保护，那么这样的汽车升级是毫无意义的。
根据Upstream Security发布的《2022年全球汽车网络安全报告》，全球联网汽车将从2018年的3.3亿辆增长到2023年的7.75亿辆，增幅达134%，可以预见在这个过程中，汽车行业未来将受到的网络攻击规模、频率和复杂程度都将呈指数级增长。
因此长远来看，汽车网络安全发展将成为必然趋势。如何应对日益复杂化的安全漏洞，以及智能信息收集手段带来的安全风险将成为汽车制造商和汽车运营商迫切解决的问题。
最后值得一提的是，此前J.D. Power发布的调查报告显示，超过九成受访消费者会有倾向性地选择注重数据安全和保护个人敏感信息的汽车品牌。这意味着，随着智能汽车的不断普及，数据安全已然成为一个影响消费者买车决策的重要因素，在数据安全和个人隐私保护方面做得更好的车企，或将赢得新的竞争优势。
