工信部：加强车联网网络安全和数据安全工作

工信部近日发布《关于加强车联网网络安全和数据安全工作的通知》（以下简称《通知》），就加强智能网联汽车安全防护、加强车联网网络安全防护、加强数据安全保护等方面提出多项要求。《通知》的管理对象包括智能网联汽车生产企业、车联网服务平台运营企业、基础电信运营企业等相关企业。

车联网是新一代网络通信技术与汽车、电子、道路交通运输等领域深度融合的新兴产业形态。智能网联汽车是搭载先进的车载传感器、控制器、执行器等装置，并融合现代通信与网络技术，实现车与车、路、人、云端等智能信息交换、共享，具备复杂环境感知、智能决策、协同控制等功能，可实现“安全、高效、舒适、节能”行驶的新一代汽车。

近年来，在产业快速发展的同时，车联网安全风险日益凸显，车联网安全保障体系亟须健全完善。为推进实施《新能源汽车产业发展规划（2021—2035年）》，加强车联网网络安全和数据安全管理工作，工信部发布了上述《通知》。

《通知》围绕网络安全和数据安全提出两项基本要求。一方面，要落实安全主体责任。各相关企业要建立网络安全和数据安全管理制度；强化企业内部监督管理，加大资源保障力度；加强网络安全和数据安全宣传、教育和培训。

另一方面，要全面加强安全保护。各相关企业要采取管理和技术措施，按照车联网网络安全和数据安全相关标准要求，加强汽车、网络、平台和数据等安全保护，监测、防范、及时处置网络安全风险和威胁，确保数据处于有效保护和合法利用状态，保障车联网安全稳定运行。

关于如何加强智能网联汽车安全防护，《通知》提出，智能网联汽车生产企业要加强整车网络安全架构设计；加强车内系统通信安全保障，强化安全认证、分域隔离、访问控制等措施；加强车载信息交互系统、汽车网关、电子控制单元等关键设备和部件安全防护和安全检测；加强诊断接口（OBD）、通用串行总线（USB）端口、充电端口等的访问和权限管理。

在保障车辆网络安全的同时，还要落实安全漏洞管理责任。智能网联汽车生产企业要落实《网络产品安全漏洞管理规定》有关要求，明确本企业漏洞发现、验证、分析、修补、报告等工作程序；发现或获知汽车产品存在漏洞后，应立即采取补救措施，并向工信部网络安全威胁和漏洞信息共享平台报送漏洞信息；对需要用户采取软件、固件升级等措施修补漏洞的，应当及时将漏洞风险及修补方式告知可能受影响的用户，并提供必要技术支持。

在加强车联网网络安全防护方面，《通知》提出5点要求。一是加强车联网网络设施和网络系统安全防护能力。各相关企业要严格落实网络安全分级防护要求，加强网络设施和网络系统资产管理，加强访问控制管理，做好网络边界安全防护，采取防范木马病毒和网络攻击、网络侵入等危害车联网安全行为的技术措施。

二是保障车联网通信安全。各相关企业要建立车联网身份认证和安全信任机制；强化车载通信设备、路侧通信设备、服务平台等安全通信能力；采取身份认证、加密传输等必要的技术措施，保障车与车、车与路、车与云、车与设备等场景通信安全；鼓励相关企业、机构接入工信部车联网安全信任根管理平台，协同推动跨车型、跨设施、跨企业互联互认互通。

三是开展车联网安全监测预警。国家加强车联网网络安全监测平台建设，开展网络安全威胁、事件的监测预警通报和安全保障服务。各相关企业要建立网络安全监测预警机制和技术手段，及时发现网络安全事件或异常行为，并按照规定留存相关的网络日志不少于6个月。

四是做好车联网安全应急处置。智能网联汽车生产企业、车联网服务平台运营企业要建立网络安全应急响应机制，制定网络安全事件应急预案，定期开展应急演练，及时处置安全威胁、网络攻击、网络侵入等网络安全风险。在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照《公共互联网网络安全突发事件应急预案》等规定向有关主管部门报告。

五是做好车联网网络安全防护定级备案。智能网联汽车生产企业、车联网服务平台运营企业要按照车联网网络安全防护相关标准，对所属网络设施和系统开展网络安全防护定级工作，并向所在省（区、市）通信管理局备案。对新建网络设施和系统，应当在规划设计阶段确定网络安全防护等级。

此外，《通知》还针对强数据安全保护提出4项要求，包括加强数据分类分级管理、提升数据安全技术保障能力、规范数据开发利用和共享使用，以及强化数据出境安全管理。

在加强数据分类分级管理方面，按照“谁主管、谁负责，谁运营、谁负责”的原则，各相关企业要建立数据管理台账，实施数据分类分级管理，加强个人信息与重要数据保护。定期开展数据安全风险评估，强化隐患排查整改，并向所在省（区、市）通信管理局、工业和信息化主管部门报备。

在提升数据安全技术保障能力方面，各相关企业要采取合法、正当方式收集数据，针对数据全生命周期采取有效技术保护措施，防范数据泄露、毁损、丢失、篡改、误用、滥用等风险；要强化数据安全监测预警和应急处置能力建设，及时处置并按要求报告数据安全事件。

在规范数据开发利用和共享使用方面，各相关企业要合理开发利用数据资源，防范在使用自动化决策技术处理数据时，侵犯用户隐私权和知情权；明确数据共享和开发利用的安全管理和责任要求；对数据合作方数据安全保护能力进行审核评估，对数据共享使用情况进行监督管理。

在强化数据出境安全管理方面，各相关企业需向境外提供在境内收集和产生的重要数据的，应当依法依规进行数据出境安全评估并向所在省（区、市）通信管理局、工业和信息化主管部门报备。

最后，《通知》强调要健全安全标准体系，加快编制车联网网络安全和数据安全标准体系建设指南。全国通信标准化技术委员会、全国汽车标准化技术委员会等要加快组织制定车联网防护定级、服务平台防护、汽车漏洞分类分级、通信交互认证、数据分类分级、事件应急响应等标准规范及相关检测评估、认证标准。同时，《通知》鼓励各相关企业、社会团体制定高于国家标准或行业标准相关技术要求的企业标准、团体标准。（何  珺）