两会全国人大代表谈民强建议加强汽车信息安全监管力度，建立健全国家监控体系

　　本报记者 夏治斌 张家振 上海报道
　　作为中国汽车研发领域专家，全国人大代表、东风公司副总工程师、东风公司技术中心党委书记、主任谈民强一直在关注智能网联汽车的发展。《中国经营报》记者日前获悉，在今年全国两会期间，谈民强将重点围绕汽车信息安全标法监管体系与防护能力建言献策。
　　（全国人大代表、东风公司技术中心党委书记、主任谈民强）
　　在谈民强看来，国家推进数字化产业战略，促进了汽车产业＂新四化＂（电动化、智能化、网联化、共享化）发展，而智能网联汽车的出现与发展，使得汽车产品形态发生了深刻变化，正演化为可不断进化的＂移动第三空间＂。
　　据国家发改委预计，到2025年，中国智能汽车渗透率将达82%，数量将达到2800万辆；2030年渗透率将达到95%，数量约为3800万辆。另据中国汽车工业协会预测，中国将在2020至2025年间实现低速驾驶和停车场景下的自动驾驶；2025至2030年间实现更多复杂场景下的自动驾驶。到2040年，智能汽车可能颠覆当前的交通运输模式，智能驾驶将占据道路上行驶车辆数量的四分之三。
　　此外，据国际数据公司IDC预测，2035年全球智能汽车产业规模将突破1.2万亿美元，中国智能汽车产业规模将超过2000亿美元。这也意味着，中国将有望成为世界第一大智能汽车市场。
　　不过，谈民强指出，随着汽车数字化的发展和智能化的加速普及，智能汽车因集成了大量摄像头、雷达、测速仪、导航仪等各类传感器，由此导致的互联网智能终端存在的远程控制、数据窃取、信息欺骗等信息安全问题已经陆续出现在智能汽车上。
　　＂当前，汽车信息安全问题日趋严重，导致汽车信息安全事故频发，带来网络数据安全与个人隐私信息安全，危害人身安全和公共安全，造成人员生命财产损失，已引起国家重大关切和社会各界的高度关注。＂谈民强表示。
　　聚焦智能汽车信息安全
　　＂车联网网络攻击风险加剧，智能汽车安全保障能力尚存在较大缺失，尚未形成‘云管端’的车联网安全保障体系。企业开展技术攻关和应用落地存在政策、资金等方面的障碍，完整的系统级安全解决方案建设有一定难度，安全技术缺口依然存在。＂谈民强表示。
　　以汽车信息安全风险为例，随着国内汽车行业＂新四化＂战略的加速落地，伴随而来的是汽车电子电器架构和电子控制单元(ECU)、车载操作系统和车载软件、车外接口/传感器和通信以及车后台（云端）数据传输存储等迅猛发展。
　　在谈民强看来，＂软件定义汽车＂也为黑客们带来了全新攻击面和攻击途径：从车本身延伸到云端或者车主APP，攻击目的从对车的远程操控拓展到对车主个人信息或企业云端数据的窃取。
　　IT安全和反病毒研究机构AV-TEST Institute发布的数据显示，在过去的10年间，恶意软件的数量从2011年的约6500万个增加到了2020年底的约11亿个。工信部车联网动态监测情况也显示，2020年以来发现的针对整车企业、车联网信息服务提供商等相关企业的恶意攻击达到280余万次。
　　近年来，各国网络安全研究人员和汽车企业披露的网络安全事件和安全风险漏洞也在持续增加。相关数据显示，截至2020年底，有110个CVE漏洞与汽车产品有关，其中2019年和2020年分别披露了24个和33个，涉及车内网络、网关、传感器、车载信息娱乐系统、蓝牙、OBD 端口、移动APP等车辆各个方面。
　　据了解，上述网络安全漏洞不仅可能影响到车辆的信息娱乐服务质量，存在欺诈车辆用户风险，甚至可能直接导致车辆控制失效。
　　＂智能网联汽车及其生态（车辆运营平台、基础设施等）涉及到大量个人信息甚至重要数据，已有的责任界定和安全管理手段已经无法应对这些风险。＂谈民强表示，汽车信息安全不仅是涉及个人隐私和生命财产安全，已经触及到社会公共安全乃至国家安全层面。
　　在安全标法体系建设方面，谈民强认为，目前，有关汽车信息安全的规章制度以及标准体系正在逐步完善中，部分已经成文或即将发布成文为标准甚至强制标准，但与欧美、日本等汽车产业成熟的发达地区和国家相比，我国汽车信息安全立法与标准体系建设相对滞后，呈现出部门协同不充分、监管主体不清晰、标法酝酿周期短、实施细则不明确等特点。
　　谈民强表示，目前，汽车信息安全国家监管的主要不足体现在：安全合规检证能力手段不足；第三方权威检测认证机构，大多尚未建立起基于标准规范的汽车信息安全检测认证体系，缺乏检测认证软硬件工具链和测试基准，尚且不能提供合规的汽车信息安全的测试评估与准入认证服务。
　　除此之外，汽车信息安全国家监管的主要不足还体现在全周期安全监控体系待建立：缺乏面向＂端-管-云＂一体化的汽车信息安全监控体系，缺乏基于安全大数据的车联网安全态势感知监测预警能力，尚无法提供汽车全生命周期的安全防护保障与应急响应。
　　对此，谈民强指出，汽车信息安全已成为行业监管部门的一项全新挑战，为实现汽车全生命周期的信息安全保障，亟待建立健全面向汽车信息安全的国家监控体系。
　　推动多方跨界融合协作
　　＂当前，汽车行业虽然已经开展了部分信息安全相关工作，但信息安全仍然是行业内亟须解决的难题。＂谈民强表示，主要原因在于企业大多从自身产品角度考虑，采用单点技术或是产品进行安全防护，缺乏相互协同、标准化、系统化构筑安全体系的思维；另一方面，车联网安全，是围绕汽车产品全产业链全生命周期的安全保障和产业跨界融合协同的整体安全，需要多个行业跨界协同共同推动。
　　对于解决信息安全行业难题的建议，谈民强表示，这迫切需要从国家层面出发，推动不同部门、不同产业以及产业链上下游企业之间的相互协同，共同构建标准化、系统化的汽车信息安全防护体系、标准法规体系和安全监管体系。
　　首先，要构建跨行业协同的车联网信息安全保障体系。目前，汽车信息安全保障体系，涉及汽车产品与相关服务的硬件安全、软件安全、网络安全和数据安全等多个方面，相关领域的多层次多维度的技术体系和＂端-管-云＂一体化的汽车信息安全防护体系尚待建立完善。
　　而汽车信息安全涉及汽车全生命周期过程，需要从汽车全产业链环节，包括零部件企业、整车企业、V2X通信企业、车联网应用企业、互联网安全企业以及检测认证机构等深入参与和协同合作。
　　对此，谈民强建议，工信部、交通部、科技部和财政部等部委联合，以政策促进企业和从业人员提升信息安全意识，加大安全领域投入，提升信息安全的技术能力和整体防护水平，加快构建起跨行业协同的车联网信息安全保障体系。
　　其次，要加快建设汽车信息安全标准法规和监管平台。要加快汽车信息安全领域的标准法规的制定和立法工作，推动在标准法规制定过程中的各部委与行业协会协同合作，建设标准法规保护体系，形成有法可依、合规驱动的安全检测认证能力，构建公共权威的车联网安全数据（威胁特征库、身份认证体系）平台，开展全生命周期的车联网安全态势预警和应急响应服务。
　　谈民强表示，建议国家网信办、市场监管总局、工信部、交通部和公安部等相关部委联合，通过统筹规划，制定完善汽车信息安全标准法规，尽快形成全生命周期的汽车信息安全监管能力和应急响应体系。
　　最后，要建立政产学研深入合作的汽车信息安全领域的国家技术创新平台。以汽车信息安全领域为切入点，探索央企数字化经济转型模式：探索传统经济领域的数字化、网络化和智能化的转型发展，拓展数字化检证领域，助推汽车智能化发展；探索央企跨界合作模式：探索不同领域央企面向数字经济领域的跨界协同合作，探索面向新经济体的央企改革创新模式；探索央企科技创新模式：探索基于国家技术创新平台的政产学研合作模式，促进面向数字化经济领域的技术成果。
　　谈民强建议，工信部、科技部、教育部、人社部、财政部等部门联合推动，鼓励由行业领军企业牵头，联合相关行业领域有影响力企业和高校院所及行业协会，建设国家级的汽车信息安全技术创新平台，联合开展技术创新与复合型人才培养，服务于汽车数字化转型发展。