廣告
智能網(wǎng)聯(lián)汽車產(chǎn)品信息安全合規(guī)性的思考
2021-05-29 15:20:46· 來源：聯(lián)合電子
汽車信息安全領(lǐng)域的法規(guī)和標準正在逐步制定并發(fā)布：2021年2月，聯(lián)合國UNECE WP.29的R155法規(guī)發(fā)布；2021年4月，工信部智能網(wǎng)聯(lián)汽車準入管理指南（征求意見稿）發(fā)
汽車信息安全領(lǐng)域的法規(guī)和標準正在逐步制定并發(fā)布：2021年2月，聯(lián)合國UNECE WP.29的R155法規(guī)發(fā)布；2021年4月，工信部智能網(wǎng)聯(lián)汽車準入管理指南（征求意見稿）發(fā)布；國際標準ISO21434和ISO5112預計在2021年Q3發(fā)布?？梢灶A見從2022年開始，汽車產(chǎn)品信息安全合規(guī)性要求將日趨嚴格。
整體汽車行業(yè)需相應地做好準備，以滿足將來對汽車產(chǎn)品信息安全的合規(guī)性要求。為了達到這個目標，筆者認為要做好如下兩方面的事情。
1.建設企業(yè)產(chǎn)品信息安全質(zhì)量管理體系
參考ISO21434國際標準要求來制定企業(yè)的產(chǎn)品信息安全開發(fā)流程，并貫穿產(chǎn)品整個生命周期，從前期的設計開發(fā)到后期的售后運維。整個過程中的關(guān)鍵活動包括：需求搜集、信息安全分析和風險評估、信息安全概念設計、信息安全需求定義、信息安全架構(gòu)設計、信息安全測試、信息安全情報監(jiān)控、信息安全漏洞管理和信息安全事件響應等。
考慮到企業(yè)已經(jīng)有了質(zhì)量管理體系或產(chǎn)品開發(fā)流程體系，例如，IATF16949、ASPICE等，上述產(chǎn)品信息安全流程關(guān)鍵活動可作增量要求，融入到企業(yè)現(xiàn)有質(zhì)量管理體系中。通過此種方式來構(gòu)建企業(yè)產(chǎn)品信息安全質(zhì)量管理體系，可以較容易進行落地實施，而非“另起爐灶”地搭建新的質(zhì)量管理體系。
2.提升產(chǎn)品信息安全技術(shù)保障能力
在技術(shù)保障能力上，合規(guī)性要求會落實到對智能網(wǎng)聯(lián)汽車進行測試評估。潛在的測試評估方式，是按照測試規(guī)范來開展，而測試規(guī)范的制定來自于智能網(wǎng)聯(lián)汽車的風險清單。因此，做好智能網(wǎng)聯(lián)汽車的整體信息安全風險的防護措施十分重要。
將智能網(wǎng)聯(lián)汽車的通訊數(shù)據(jù)流進行抽象，可以得到從車外云服務器到車內(nèi)電子控制器的6層架構(gòu)。構(gòu)建整個智能網(wǎng)聯(lián)汽車信息安全防護體系，需要在每一個層級部署相應的信息安全防護技術(shù)，來防護智能網(wǎng)聯(lián)汽車的整體信息安全風險，保障和提升整個系統(tǒng)的信息安全特性。
產(chǎn)品信息安全應用
聯(lián)合電子目前已初步建成了覆蓋整個產(chǎn)品信息安全生命周期內(nèi)的防護體系，可以為OEM客戶提供產(chǎn)品信息安全方面的技術(shù)支撐。
A. 產(chǎn)品信息安全團隊
聯(lián)合電子各業(yè)務部門均設置有產(chǎn)品信息安全團隊，成員會加入到產(chǎn)品設計開發(fā)過程中開展信息安全相關(guān)工作，推動產(chǎn)品信息安全技術(shù)要求的落地實施。
B. 產(chǎn)品信息安全流程能力
聯(lián)合電子已基于ISO21434 DIS版標準完成了企業(yè)流程的制定。產(chǎn)品研發(fā)活動會按照產(chǎn)品信息安全開發(fā)流程要求開展，聯(lián)合電子可以配合OEM客戶通過CSMS認證和整車Type Approval認證工作。
C. 產(chǎn)品信息安全生產(chǎn)能力
聯(lián)合電子建設了生產(chǎn)線密鑰管理系統(tǒng)，可以和OEM客戶密鑰管理服務器對接并進行數(shù)據(jù)交互，實現(xiàn)密碼材料在OEM后臺和Tier1產(chǎn)線之間實現(xiàn)“端到端”的交互，保障產(chǎn)品下線之初就完成密碼材料寫入。
D. 產(chǎn)品信息安全運維能力
在安全運維方面，聯(lián)合電子目前具備了初步的安全情報監(jiān)控、漏洞管理能力，可以配合OEM客戶完成售后階段的安全運維要求。
E. 產(chǎn)品信息安全技術(shù)能力
在技術(shù)開發(fā)方面，圍繞不同業(yè)務產(chǎn)品線基本建成了產(chǎn)品信息安全技術(shù)方案的設計、開發(fā)和測試能力，能夠完成OEM客戶的信息安全需求的落地實施。
整體汽車行業(yè)需相應地做好準備，以滿足將來對汽車產(chǎn)品信息安全的合規(guī)性要求。為了達到這個目標，筆者認為要做好如下兩方面的事情。
1.建設企業(yè)產(chǎn)品信息安全質(zhì)量管理體系
參考ISO21434國際標準要求來制定企業(yè)的產(chǎn)品信息安全開發(fā)流程，并貫穿產(chǎn)品整個生命周期，從前期的設計開發(fā)到后期的售后運維。整個過程中的關(guān)鍵活動包括：需求搜集、信息安全分析和風險評估、信息安全概念設計、信息安全需求定義、信息安全架構(gòu)設計、信息安全測試、信息安全情報監(jiān)控、信息安全漏洞管理和信息安全事件響應等。
考慮到企業(yè)已經(jīng)有了質(zhì)量管理體系或產(chǎn)品開發(fā)流程體系，例如，IATF16949、ASPICE等，上述產(chǎn)品信息安全流程關(guān)鍵活動可作增量要求，融入到企業(yè)現(xiàn)有質(zhì)量管理體系中。通過此種方式來構(gòu)建企業(yè)產(chǎn)品信息安全質(zhì)量管理體系，可以較容易進行落地實施，而非“另起爐灶”地搭建新的質(zhì)量管理體系。
2.提升產(chǎn)品信息安全技術(shù)保障能力
在技術(shù)保障能力上，合規(guī)性要求會落實到對智能網(wǎng)聯(lián)汽車進行測試評估。潛在的測試評估方式，是按照測試規(guī)范來開展，而測試規(guī)范的制定來自于智能網(wǎng)聯(lián)汽車的風險清單。因此，做好智能網(wǎng)聯(lián)汽車的整體信息安全風險的防護措施十分重要。
將智能網(wǎng)聯(lián)汽車的通訊數(shù)據(jù)流進行抽象，可以得到從車外云服務器到車內(nèi)電子控制器的6層架構(gòu)。構(gòu)建整個智能網(wǎng)聯(lián)汽車信息安全防護體系，需要在每一個層級部署相應的信息安全防護技術(shù)，來防護智能網(wǎng)聯(lián)汽車的整體信息安全風險，保障和提升整個系統(tǒng)的信息安全特性。
產(chǎn)品信息安全應用
聯(lián)合電子目前已初步建成了覆蓋整個產(chǎn)品信息安全生命周期內(nèi)的防護體系，可以為OEM客戶提供產(chǎn)品信息安全方面的技術(shù)支撐。
A. 產(chǎn)品信息安全團隊
聯(lián)合電子各業(yè)務部門均設置有產(chǎn)品信息安全團隊，成員會加入到產(chǎn)品設計開發(fā)過程中開展信息安全相關(guān)工作，推動產(chǎn)品信息安全技術(shù)要求的落地實施。
B. 產(chǎn)品信息安全流程能力
聯(lián)合電子已基于ISO21434 DIS版標準完成了企業(yè)流程的制定。產(chǎn)品研發(fā)活動會按照產(chǎn)品信息安全開發(fā)流程要求開展，聯(lián)合電子可以配合OEM客戶通過CSMS認證和整車Type Approval認證工作。
C. 產(chǎn)品信息安全生產(chǎn)能力
聯(lián)合電子建設了生產(chǎn)線密鑰管理系統(tǒng)，可以和OEM客戶密鑰管理服務器對接并進行數(shù)據(jù)交互，實現(xiàn)密碼材料在OEM后臺和Tier1產(chǎn)線之間實現(xiàn)“端到端”的交互，保障產(chǎn)品下線之初就完成密碼材料寫入。
D. 產(chǎn)品信息安全運維能力
在安全運維方面，聯(lián)合電子目前具備了初步的安全情報監(jiān)控、漏洞管理能力，可以配合OEM客戶完成售后階段的安全運維要求。
E. 產(chǎn)品信息安全技術(shù)能力
在技術(shù)開發(fā)方面，圍繞不同業(yè)務產(chǎn)品線基本建成了產(chǎn)品信息安全技術(shù)方案的設計、開發(fā)和測試能力，能夠完成OEM客戶的信息安全需求的落地實施。
廣告 編輯推薦
最新資訊
-
“汽車爬坡試驗方法”將有國家標準
2026-03-03 12:44
-
十年耐久監(jiān)管時代：電池系統(tǒng)開發(fā)策略將如何
2026-03-03 12:44
-
聯(lián)合國法規(guī)R59對機動車備用消聲系統(tǒng)的工程
2026-03-03 12:08
-
聯(lián)合國法規(guī)R58對后下部防護裝置的工程化約
2026-03-03 12:07
-
聯(lián)合國法規(guī)R57對摩托車前照燈配光性能的工
2026-03-03 12:07
