汽车供应链网络安全管理白皮书（2022）

汽车供应链网络安全管理白皮书 （2022） 2022年11月 中国智能网联汽车产业创新联盟 版权声明 本白皮书版权属于中国智能网联汽车产业创新联盟及各参编单位，并受法律保护。转载、摘编本白皮书文字或者观点的应注明来源:“中国智能网联汽车产业创新联盟：汽车供应链网络安全管理白皮书(2022)”，以其他方式使用本白皮书应取得版权方书面同意。违反上述声明者，联盟将追究其相关法律责任。 主要贡献单位 南德检测认证（中国）有限公司上海分公司华为技术有限公司 国汽（北京）智能网联汽车研究院有限公司上海汽车集团股份有限公司 广州汽车集团股份有限公司重庆长安汽车股份有限公司 中国软件评测中心（工业和信息化部软件与集成电路促进中心）奇安信科技集团股份有限公司 宁波谦川科技有限公司 上海工业控制安全创新科技有限公司北京梆梆安全科技有限公司 紫光国芯微电子股份有限公司工业和信息化部电子第五研究所 前言 近年来，汽车智能化、网联化发展加快，创新技术不断演进，产业转型持续深入。同时，汽车面临的网络安全问题日益突出，由汽车网络安全事件引发的诸多风险及危害已引起监管部门、产业各界及社会公众的重点关注。由于智能网联汽车供应链长，构成主体多元复杂，网络安全防护涉及环节众多，容易形成安全缺口和能力短板。因此，加强智能网联汽车全供应链的网络安全保障能力，构建覆盖智能网联汽车全生命周期的网络安全保障体系，对提升产业整体安全水平，推动产业健康发展具有重要意义。 从监管要求来看，汽车供应链网络安全逐步引起国内外监管部门的重视，近期陆续发布的政策法规已做出相关要求：一方面，明确汽车制造商的主体责任，要求做好供应链网络安全风险的识别与管控；另一方面，也要求汽车产业链上下游的零部件供应商、服务商协同做好安全体系建设工作。从产业需求来看，供应商网络安全管理是汽车制造商构建汽车网络安全管理体系中不可或缺的环节；同时，为有效承接汽车制造商的网络安全需求，供应链各环节企业需加强自身网络安全能力建设。 基于此，本白皮书针对汽车供应链网络安全的现状及挑战，以当前国内外法规标准要求为依据，阐述汽车制造商进行供应链网络安全管理的实践要点，从管理体系和关键技术角度分析汽车供应商构建网络安全能力的关键要素，系统梳理适用于汽车供应链网络安全的评估及认证体系，提出推动汽车供应链网络安全发展的措施建议。本白皮书可为汽车制造商的供应链网络安全管理，汽车供应商（包括涉及网络安全风险的汽车系统与零部件制造商、服务运营商、解决方案集成商等）的网络安全能力建设提供实践参考。 目录 一、智能网联汽车网络安全发展概况1 1.1行业网络安全发展现状1 1.2政策法规推进情况1 1.3标准体系建设情况3 1.4汽车供应链网络安全问题和挑战8 二、汽车制造商供应链网络安全管理9 2.1供应链网络安全评估及准入9 2.2定厂前的监督管理9 2.3定厂后的监督管理10 三、汽车供应商网络安全最佳实践11 3.1汽车供应商网络安全管理体系11 3.1.1网络安全组织管理11 3.1.2网络安全流程管理12 3.2汽车供应商网络安全关键技术13 3.2.1网络安全防护技术13 3.2.2网络安全测试技术19 四、汽车供应链网络安全评估及认证30 4.1企业信息安全管理体系认证30 4.1.1ISO/SAE21434认证30 4.1.2可信信息安全评估交换（TISAX）33 4.1.3ISO/IEC27001认证34 4.2产品信息安全认证35 4.2.1CC认证35 4.2.2CB体系认证36 4.2.3商用密码产品认证36 五、展望及倡议38 一、智能网联汽车网络安全发展概况 1.1行业网络安全发展现状 当前全球新一轮科技革命和产业革命如火如荼，智能网联汽车作为作为云计算、人工智能、大数据、传感技术、物联网、新型通信和电子电气架构技术的最佳应用载体，成为引领汽车产业转型升级、创新高质量发展的战略高地。在2020世界智能汽车大会上，国家发改委国际合作司副司长高健表示：“我国智能汽车行业正迎来发展的黄金期，中国将成为世界第一大智能汽车市场。预计到2025 年联网汽车将占全球汽车市场的近86%，规模达7400万辆，中国将超过2800万辆”。 然而随着汽车智能化网联化水平日益提升，网络攻击涉及面广且攻击入口迅速增多，风险显著加大，安全事件频发，安全形势极为严峻。根据云安全厂商UpstreamSecurity的数据，从2016年至今，汽车网络安全事件急剧增加，五年间增长了605%，仅2020年和2021年两年，汽车网络安全事件就多达900多 起。截至2021年10月，工信部已输入车联网安全漏洞信息超过2000条，2021 年上半年针对车联网平台恶意网络攻击行为超过100万次，较2020年同期增长超过80%。2021年,某国外品牌汽车摄像头数据采集等热点事件出现，使国家战略数据资源、网络攻击威胁和非法控制等风险浮出水面，自动驾驶+网联汽车的安全问题引起国家高层重视。 随着网联化的深入和应用场景的不断丰富，网络安全和数据安全的影响深度与广度呈现逐步扩大的趋势。不仅关系到公民的生命财产安全、个人隐私权益，还涉及到道路交通、车联网通信、企业生产经营等社会公共利益，甚至威胁到国防军事、工业生产、经济运行、战略资源等国家层面的安全。 1.2政策法规推进情况 （1）国内方面 自2015年以来，国务院、工业和信息化部、交通运输部、科学技术部、国家发展改革委、公安部等部委相继出台一系列顶层规划及政策文件，旨在通过宏观指导促进智能网联汽车发展。陆续发布了《汽车产业中长期发展规划》、《车 联网(智能汽车)产业发展行动计划》、《智能汽车创新发展战略》等指导性文件，并将智能网联汽车网络安全作为一项重要目标和工作重点。 2021年4月，工业和信息化部发布了《智能网联汽车生产企业及产品准入管理指南（试行）》，从企业和产品两方面，对智能网联汽车网络安全、数据安全、软件升级等提出了多项要求。其中，指南对智能网联汽车生产企业安全保障能力提出了供应链安全管理方面的具体要求：企业应建立供应链网络安全保障机制，明确供方产品和服务网络安全评价标准、验证规范等，确定与供方的安全协议，协同管控供应链网络安全风险。 2021年7月，工业和信息化部发布了《关于加强智能网联汽车生产企业及产品准入管理的意见》，要求压实企业主体责任，加强汽车数据安全、网络安全、软件升级、功能安全和预期功能安全管理，保证产品质量和生产一致性，推动智能网联汽车产业高质量发展。由于汽车产业是供应链极为复杂的产业，而网络安全的问题是牵一发而动全身，因此要保证产品质量和生产的一致性，就需要确保汽车供应链上下游产品质量和生产的一致性。 2021年9月，工业和信息化部发布《关于加强车联网网络安全和数据安全工作的通知》，要求智能网联汽车生产企业加强车载信息交互系统、汽车网关、电子控制单元等关键设备和部件安全防护和安全检测；建立在线升级服务软件包安全验证机制，采用安全可信的软件。 2022年3月，工信部等五部门发布《关于进一步加强新能源汽车企业安全体系建设的指导意见》，旨在指导新能源汽车企业建立健全包括网络安全在内的六大方面安全保障体系，提供产品安全保障能力，并在其中提出各零部件供应商、售后服务等相关企业要协同做好安全体系建设工作。 （2）国外方面 2017年，美国众议院首次通过了《自动驾驶法案H.R.3388》。该法案要求自动驾驶车辆厂商必须制作出网络安全计划，包括如何应对网络攻击、未授权入侵以及虚假或者恶意控制指令等安全策略，用以保护关键的控制、系统和程序，并根据环境的变化对此类系统进行更新，制定内部人员的安全培训和管理制度。同时，该法案还提出自动驾驶汽车隐私保护计划，要求厂商必须制定隐私保护计划，包括对车主以及乘客信息的搜集、保存、使用等方面的保护措施。 2017年8月，英国交通部和国家基础设施保护中心联合制定《智能网联汽车网络安全关键原则》，提出8项原则、29项细则，具体内容包括企业应评估和管理供应链中各环节的安全风险，企业供应商、分包商和潜在的第三方机构应进行独立认证以提高整体安全性，所有软件的安全管理应贯穿全生命周期，保障数据存储和传输安全可控等。 2020年6月，联合国世界车辆法规协调论坛（简称UN/WP.29）发布重要法规《车辆网络安全及网络安全管理系统》与《软件升级与软件升级管理系统》，即R155法规、R156法规。 R155是全球第一个汽车信息安全强制法规，其合规认证是车辆在特定国家范围内获得认证并批准上市销售的前提条件。在R155认证的文件审查过程中，汽车制造商被要求在全供应链范围内收集并确认法规中要求的相关信息，以表明对供应链相关的网络安全风险进行充分识别和管理。在具体要求方面，关于网络安全管理体系（CSMS），汽车供应商需说明如何对合同供应商、服务提供商或者子公司进行管理以满足法规7.2.2.2章节相关要求；关于车辆型式认证（VTA），汽车供应商需识别并管理供应商相关的网络安全风险。此外，在R155的附录5部分，也列举出了部分存在于零部件或系统的漏洞\威胁以及利用供应商环节进行的攻击方法。 R156法规提出了软件升级管理体系认证要求，规范了软件升级实施流程，确保软件升级过程安全、可控、合规。R156主要分为软件升级管理体系认证（SUMS）和车辆型式审批两部分，前者主要审查汽车制造商是否建立软件升级管理系统并具备相关功能，如可访问所有初始和升级的软件版本信息及对应的软件识别码 （RXSWIN）；提供相关保护机制的详细说明，以确保在车辆上仅可执行经过认证和完整性检查的软件升级包等，以确保软件升级过程的安全。后者主要验证升级前后车辆安全及用户告知等功能，覆盖OTA升级前、升级中、以及升级后全流程。如在实施OTA升级之前，需要提前通知用户升级目的、升级变更内容等信息；车辆制造商还应证明将如何安全地执行升级或采用技术手段来确保车辆处于安全状态下执行升级等。 1.3标准体系建设情况 （1）国内方面 2022年2月25日，工业和信息化部印发《车联网网络安全和数据安全标准体系建设指南》，明确车联网安全标准体系建设框架，提出百余项安全标准项目。标准体系包括总体与基础共性、终端与设施网络安全、网联通信安全、数据安全、应用服务安全、安全保障与支撑6个部分，其中车联网供应链安全风险管理作为标准项目纳入安全保障与支撑部分。车联网网络安全和数据安全标准体系框架如图1.1所示。 指南要求，紧密对接车联网产业对网络安全、数据安全的迫切需求，鼓励整车及关键设备、车联网服务平台、信息通信、网络安全等产业链各环节、产学研用各方加强协作，共同推进跨行业、跨领域标准的研制与实施，不断提升标准的质量效益。 根据指南要求，全国汽车标准化技术委员会（TC114，简称“汽标委”）、全国信息安全标准化技术委员会（TC260，简称“信安标委”）、中国通信标准化协会（CCSA）、中国智能网联汽车产业创新联盟（CAICV）等各标准委员会及行业组织，加强与汽车供应链上下游企业的通力合作，积极开展车联网网络安全和数据安全相关标准制定，明确汽车厂商、元器件和软件提供商、设备提供商、通信运营服务商、云服务平台提供商、数据和内容供应商等相关主体的安全管理责任和安全技术要求，并取得部分阶段性成果。 图1.1车联网网络安全和数据安全标准体系框架图 全国汽车标准化技术委员会 目前，由汽标委归口负责的5项汽车信息安全领域的推荐性国家标准已完成发布，即GB/T40861-2021《汽车信息安全通用技术要求》、GB/T40856-2021 《车载信息交互系统信息安全技术要求及试验方法》、GB/T40857-2021《汽车网关信息安全技术要求及试验方法》、GB/T40855-2021《电动汽车远程服务与管理系统信息安全技术要求及试验方法》和GB/T41578-2022《电动汽车充电系统信息安全技术要求及试验方法》。这些国家标准规定了汽车制造商以及供应商在智能网联汽车远程服务与管理、