工信部于9月16日发布《工业和信息化部关于加强车联网网络安全和数据安全工作的通知》，指出在车联网产业快速发展的同时，车联网安全风险日益凸显，车联网安全保障体系亟须健全完善。各相关企业要采取管理和技术措施，按照车联网网络安全和数据安全相关标准要求，加强汽车、网络、平台、数据等安全保护，监测、防范、及时处置网络安全风险和威胁，确保数据处于有效保护和合法利用状态，保障车联网安全稳定运行。

下文将结合《工业和信息化部办公厅关于开展车联网身份认证和安全信任试点工作的通知》《工业和信息化部关于加强智能网联汽车生产企业及产品准入管理的意见》《交通运输信息安全规范》（GB/T 37378-2019）、《工业和信息化部关于加强车联网网络安全和数据安全工作的通知》，从企业内部网络安全和数据安全管理制度建立、车联网身份认证和安全信任体系构建、基础设施及网络通信安全管理强化三方面剖析车联网网络安全合规要点。

一、企业内部网络安全和数据安全管理制度

“

《工业和信息化部关于加强车联网网络安全和数据安全工作的通知》第一条【落实安全主体责任】指出：各相关企业要建立网络安全和数据安全管理制度，明确负责人和管理机构，落实网络安全和数据安全保护责任。强化企业内部监督管理，加大资源保障力度，及时发现并解决安全隐患。加强网络安全和数据安全宣传、教育和培训。

这一规定是《网络安全法》《数据安全法》《个人信息保护法》相关条文在车联网场景中的细化和落实。前述通知涉及的智能网联汽车生产企业与车联网服务平台运营企业一般属于网络运营者，需根据《网络安全法》第二十一条制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任。

《数据安全法》第二十七条要求重要数据处理者应明确数据安全负责人和管理机构，落实数据安全保护责任。结合《汽车数据安全管理若干规定（试行）》，在汽车数据处理场景中，重要数据包括：

（1）军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据；

（2）车辆流量、物流等反映经济运行情况的数据；

（3）汽车充电网的运行数据；

（4）包含人脸信息、车牌信息等的车外视频、图像数据；

（5）涉及个人信息主体超过10万人的个人信息；

（6）国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。

若智能网联汽车生产企业与车联网服务平台运营企业的数据处理活动涉及前述或其所在地区、主管部门确定的重要数据具体目录中的重要数据，或处理个人信息达到国家网信部门规定数量，则需根据《数据安全法》或《个人信息保护法》分别指定数据安全负责人或个人信息保护负责人。

然而，前述通知仅要求“明确负责人和管理机构”，但未明确“负责人和管理机构”的具体所指，未说明智能网联汽车生产企业与车联网服务平台运营企业等车联网相关企业是否均需明确数据保护负责人和个人信息保护负责人。我们建议各车联网相关企业可根据自身规模和业务模式，在符合法律规定的情况下，选择一人或一个部门同时承担网络安全、数据安全和个人信息保护等多项职责，或指定数人或设立多个不同部门专门负责不同合规模块。

结合《信息技术 安全技术 信息安全管理体系 指南（征求意见稿）》《信息安全技术网络数据处理安全规范（征求意见稿）》《信息技术服务 治理 第５部分：数据治理规范》（GB/T 34960.5-2018 ），车联网相关企业可参考如下路径建立健全内部网络安全和数据安全管理制度：

1

建立支撑网络安全和数据安全战略的组织机构和组织机制，明确相关的实施原则和策略

统筹和规划明确网络安全和数据安全管理目标和任务，营造必要的管理环境，做好网络安全和数据安全管理实施准备，包括：

（1）评估网络安全和数据安全管理的资源、环境和人员能力等现状，分析与法律法规、行业监管、业务发展以及利益相关方需求等方面的差距，为管理方案的制定提供依据；

（2）指导网络安全和数据安全管理的制定，包括组织机构和责权利的规划、管理范围和任务的明确以及实施策略和流程的设计；

（3）监督网络安全和数据安全管理的统筹和规划过程，保证现状评估的客观、组织机构设计的合理以及管理方案的可行。

2

明确决策和实施机构，设立岗位并明确角色，确保责权一致

（1）确保由最高管理层分配和沟通网络安全和数据安全管理相关岗位、责任和必要权限

车联网相关企业宜将网络安全和数据安全管理的主要岗位、责任和权限的分配权力保留在最高管理层，具体包括如下职能的分配：

①协调网络安全和数据安全管理制度体系的建立、实现、维护、绩效报告和改进；

②提供网络安全和数据安全风险评估和处置建议；

③设计网络安全和数据安全过程和系统；

④制定关于确定、部署和运行网络安全和数据安全控制的标准；

⑤管理网络安全和数据安全事件；

⑥评审和审核网络安全和数据安全管理实施方案。

（2）明确网络安全保护和数据安全保护岗位职责

车联网相关企业设立网络安全负责人和数据安全负责人的，应为其提供必要的资源保障，保证其独立履行职责。

相关负责人应具备网络安全或数据安全专业知识和相关管理工作经历，参与有关网络运行或数据处理活动的重要决策，履行以下职责：

①组织确定网络安全保护或数据保护目录，制定网络安全或数据安全保护计划并督促落实；

②组织开展网络安全等级保护测评或数据安全影响分析和风险评估，督促整改安全隐患；

③按要求向网信部门和有关部门报告网络安全或数据安全保护和事件处置情况；

④组织受理处置网络安全或数据安全投诉、举报。

3

构建网络安全和数据安全管理成果评估体系，评估运行绩效并持续改进和优化。

（1）构建必要的绩效评估体系、内控体系或审计体系，制定评价机制、流程和制度；

（2）评估网络安全和数据安全管理方案与现有资源、环境和能力的匹配程度，为网络安全和数据安全管理的实施提供指导；

（3）评估网络安全和数据安全管理成效与目标的符合性，必要时可聘请外部机构进行评估，为网络安全和数据安全方案的改进和优化提供参考；

（4）监督网络安全和数据安全管理体系的构建和运行与改进优化过程，保证实施过程与方案的符合、治理资源的可用和治理活动的可持续，为数据资源的管理和数据价值的实现提供保障。

（5）建立人力资源考核制度，明确网络安全和数据安全管理考核指标和问责机制，对相关人员特别是重要岗位人员的履职情况进行考核。出现网络安全或数据安全重大事件时，对直接负责的主管人员和其他直接责任人员进行问责。

二、车联网身份认证和安全信任体系构建

“

《工业和信息化部关于加强车联网网络安全和数据安全工作的通知》第六条【保障车联网通信安全】指出：各相关企业要建立车联网身份认证和安全信任机制，强化车载通信设备、路侧通信设备、服务平台等安全通信能力，采取身份认证、加密传输等必要的技术措施，防范通信信息伪造、数据篡改、重放攻击等安全风险，保障车与车、车与路、车与云、车与设备等场景通信安全。鼓励相关企业、机构接入工业和信息化部车联网安全信任根管理平台，协同推动跨车型、跨设施、跨企业互联互认互通。

技术要求

车与云安全通信

1.通过基于商用密码的数字证书、数字签名、数据加密技术，实现车载信息交互系统、汽车网关、C-V2X车载通信设备等与车联网服务平台间的安全通信。

2.基于安全链路协议，建立车云通信安全隧道，保护车云通信数据机密性和完整性。

3.基于密码应用中间件，在车端实现消息封装、证书管理，在平台侧实现证书验证、数据解析。

4.车载设备按照有关标准实现与证书管理系统、相关车联网安全信任根的数据交互。

车与车安全通信

1.在车端应用基于商用密码的安全芯片、软件模块等组件，实现密钥管理、证书管理、安全计算等车端安全凭证管理和数据处理功能。

2.通过车辆生产环节配置、运营商通道配置、服务器令牌授权等方式实现车载设备证书初始化。

3.建立车载设备证书管理系统，为车载设备提供证书发布、更新、撤销等证书管理服务。

4.车载设备按照有关标准实现与证书管理系统、相关车联网安全信任根和工业和信息化部车联网安全信任根管理平台的数据交互。

车与路安全通信

1.路侧设备通过搭载基于商用密码的安全芯片、软件模块等组件，实现安全凭证管理和数据处理功能。

2.建立路侧设备证书管理系统，为路侧设备提供证书发布、更新、撤销等证书管理服务。

3.路侧设备按照有关标准实现与车载设备、证书管理系统、相关车联网安全信任根和工业和信息化部车联网安全信任根管理平台的数据交互。

车与设备安全通信

1.通过基于商用密码的数字证书、数字签名、数据加密技术，实现车载信息交互系统与手持移动智能终端、新能源汽车与充电桩等车与外部设备交互场景的安全通信。

2.基于商用密码技术，实现车载短距无线通信场景中的密钥可信交换和安全保护，采用安全协议对通信链路进行加密。

三、基础设施及网络通信安全管理强化

“

《工业和信息化部关于加强车联网网络安全和数据安全工作的通知》第十条对车联网服务平台运营企业的基础设施安全及网络与通信安全提出要求。

针对基础设施安全，该条指出，车联网服务平台运营企业要采取必要的安全技术措施，加强智能网联汽车、路侧设备等平台接入安全，主机、数据存储系统等平台设施安全。

若车联网服务平台基础设施被认定为关键信息基础设施，则要落实《关键信息基础设施安全保护条例》有关规定，并按国家有关标准使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。结合《交通运输 信息安全规范》，车联网基础设施需从“物理和环境安全”“基础设施单元设备标识”“应用软件安全”“数据通信安全”“入侵防范”五个方面落实安全技术要求。

以“基础设施单元设备标识”为例

车联网基础设施需满足：

（1） 应具有可寻址的唯一性标识，发起信息传输时应进行自身身份标识；

（2） 基础设施单元的身份标识装置应具备防物理拆卸、逻辑破坏和伪造等功能，发现标识异常时，应上传警示信息或停止服务；

（3） 基础设施单元与计算中心、载运装备单元或专用用户终端、卡证读写设备、卡证之间应实现安全注册和基于密钥或证书的身份认证等功能。

针对网络和通信安全，《工业和信息化部关于加强车联网网络安全和数据安全工作的通知》第十条要求车联网服务平台运营企业要加强资源管理、服务访问接口等平台应用安全防护能力，防范网络侵入、数据窃取、远程控制等安全风险。涉及在线数据处理与交易处理、信息服务业务等电信业务的，应依法取得电信业务经营许可。结合《交通运输 信息安全规范》，车联网网络和通信安全需从“物理和环境安全”“网络架构安全” “通信传输安全”“边界防护”“集中管控”“访问控制”“入侵防范”七个方面落实安全技术要求。

以“通信传输安全”为例

车联网服务平台应满足：

（1） 应能采用密码技术保证交通运输信息通信过程中数据的完整性；

（2） 应采用密码技术保证交通运输信息通信过程中敏感信息或整个报文的保密性；

（3） 应能在通信前基于密码技术对交通运输通信的双方进行验证或认证；

（4） 应可按照业务服务的重要程度为交通运输数据设置优先级并据此分配带宽，优先保障高优先级的重要业务。

结语

在9月13日的《关于开展汽车数据安全、网络安全等自查工作的通知》后，工信部紧接着发布《关于加强车联网网络安全和数据安全工作的通知》，而马上在今年10月1日，《汽车数据安全管理若干规定（试行）》亦将正式生效，汽车行业的网络安全和数据安全愈发受到重视。车联网网络安全的构建不仅要完善企业内部网络安全和数据安全制度，强化车联网身份认证和安全信任体系提升安全防护水平，也离不开智能网联汽车生产企业、车联网服务平台运营企业等车联网相关企业的通力配合。