GB-T 38674-2020 信息安全技术 汽车电子系统网络安全指南

GB/T38674-2020信息安全技术汽车电子系统网络安全指南国家标准编号：GB/T38674-2020标准中文名称：信息安全技术汽车电子系统网络安全指南标准英文名称：Informationsecuritytechnology—Cybersecurityguideforautomotiveelectronicssystems发布机构：国家市场监督管理总局、国家标准化管理委员会发布日期：2020年04月28日实施日期：2020年11月01日归口单位：全国网络安全标准化技术委员会（SAC/TC260）联合全国汽车标准化技术委员会共同归口管理适用性质：国家推荐性国家标准替代及废止说明：本标准为国内汽车电子与智能网联汽车领域首部系统性网络安全专项指导国标文件，无前置替代旧版标准，长期面向乘用车、商用车、新能源汽车、智能网联汽车全品类车型量身编制。标准发布实施后，已成为汽车整车制造企业、车载电子零部件供应商、车联网运营服务商、车载软件研发机构开展汽车电子网络安全体系规划、车载电控系统安全设计、车载软硬件安全研发、车辆全生命周期网络安全管控、安全风险自查整改、第三方汽车网络安全测评及行业监管安全核查的核心合规依据。本标准深度贴合汽车电子系统车载实时控制、行车安全优先、车载软硬件迭代升级、车内外网络互联互通、车主个人信息及车辆运行数据密集汇聚的专属业务特征，兼顾汽车行车行驶安全底线与车载网络信息安全防护双重核心需求，衔接网络安全等级保护、数据安全、个人信息保护、智能网联汽车安全管理相关法律法规及汽车行业配套安全标准，是国内汽车产业数字化、智能化、网联化转型过程中，汽车电子网络安全常态化治理、全周期防护、闭环化管控的纲领性指导文档。前言本文件严格按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》规定的国家级标准编制规范起草制定，整体篇章架构、条款编排逻辑、国标行文表述、专业术语释义均遵循国家标准化文件统一编撰管理要求，全文文本严谨规范、汽车行业全链条通用适配、车载现场落地实操可行，深度契合智能网联汽车快速发展背景下汽车电子系统网络安全合规防护刚需。随着汽车智能化、网联化、电动化转型全面提速，现代汽车已从传统机械交通工具升级为高度集成电子电控单元、车载操作系统、车载交互终端、车联网通信模块、自动驾驶辅助系统的移动智能电子终端载体。汽车电子控制系统涵盖整车动力控制、车身稳定控制、智能驾驶辅助、车载信息娱乐、远程车控管理、电池能源管理等核心关键模块，各类车载电子设备、电控单元、车载软件互联互通程度持续加深，车辆与云端平台、移动终端、roadside基础设施、第三方服务平台数据交互日益频繁。汽车电子系统直接关系车辆行驶安全、驾乘人员人身安全、道路交通安全及车主个人隐私信息安全，一旦遭受网络入侵、恶意远程操控、车载软件篡改、电控指令劫持、车辆数据泄露等网络安全威胁，极易引发车辆失控、行车事故、隐私信息批量泄露、车辆功能异常停用等重大安全危害后果。长期以来，国内汽车行业普遍存在重车辆性能研发、轻车载网络安全设计，重智能功能叠加、轻电子系统安全防护，重新车量产销售、轻车辆全生命周期安全运维升级的突出行业短板，大量在售及量产车型汽车电子系统存在默认弱口令防护、车载网络边界无隔离、车载软件无安全加固、远程车控通道无防护、车辆数据无加密管控、售后升级无安全校验、应急安全处置机制缺失等共性网络安全隐患，各类针对智能网联汽车的远程破解、非法控车、数据窃取、车载系统恶意篡改等网络安全事件逐年增多，严重制约汽车产业安全健康可持续发展。为统一全国各类汽车电子系统网络安全防护总体指导原则，明确汽车电子组织安全管理、车载网络架构防护、车载电控设备安全、车载软件安全研发升级、车内外通信安全、车辆数据全周期防护、远程车控运维安全、安全应急处置与持续改进全维度基础防护要求，规范汽车电子系统规划设计、研发量产、新车销售、上路运行、售后升级、报废退役全生命周期网络安全管控流程，引导汽车生产企业在保障车辆行车安全首要前提下，循序渐进完善汽车电子网络安全防护体系建设，压实车企及供应链上下游网络安全主体责任，有效防范化解汽车电子各类专属网络安全风险，保障汽车电子系统安全稳定运行、车辆行驶安全可控、车载数据安全合规利用，特制定本国家推荐性网络安全指导标准。本文件以汽车电子系统全生命周期网络安全防护为主线，以行车安全优先、安全与造车同步、防护适配车载场景、全链协同管控、分级闭环整改为核心定位，不设置影响车辆量产及行车工况的强制改造条款，聚焦汽车研发生产、整车运维、售后升级全流程可落地、适配车载专属场景的基础网络安全防护措施。各类汽车整车生产企业、车载电子零部件供应商、车联网服务运营企业、车载软件研发单位可对照本标准开展汽车电子网络安全现状自查、差距分析、防护加固整改、常态化安全提升工作，第三方汽车网络安全测评机构可依据本标准开展汽车电子安全合规评估、防护达标核查及安全咨询服务工作，工信、网信、交通等行业监管部门可依托本标准开展汽车行业网络安全专项整治、智能网联汽车安全态势研判及安全治理督导工作。1范围本文件规定了信息安全技术领域汽车电子系统网络安全防护总体基本原则、汽车行业网络安全组织与制度管理要求、车载网络架构与通信边界安全防护规范、车载电子电控单元设备安全加固要求、车载操作系统及车载软件安全研发与升级管理规则、汽车车载数据全生命周期安全防护要求、车辆远程访问与远程车控运维安全管控规范、汽车电子安全备份与应急处置管理要求、汽车电子网络安全风险评估与漏洞隐患整改工作准则及汽车从业人员网络安全教育培训管理相关全维度基础防护内容。本文件适用于各类传统燃油乘用车、新能源纯电动及混动乘用车、各类商用运输车辆、智能网联自动驾驶车辆等全品类车型，所有从事汽车整车研发制造、车载电子控制系统设计集成、车载软件定制开发、车联网平台运营服务、车辆售后远程运维升级的汽车企业及供应链配套单位，开展汽车电子系统网络安全防护体系建设、常态化安全运维、安全自查整改、防护能力提升全流程管理工作。本文件同时适用于第三方信息安全测评机构、汽车网络安全专业服务机构受托开展汽车电子系统网络安全防护达标评估、安全整改加固指导、合规测评验收工作，可供各级汽车行业监管部门开展智能网联汽车行业安全专项检查、汽车关键信息基础设施安全防护督导、汽车网络安全政策制定工作作为核心指导依据。本文件不适用于军工特种专用车辆、涉密公务专属车辆等涉密特殊车载电子控制系统的网络安全防护工作，此类涉密专用车辆电子系统安全防护管控工作，需结合国家涉密信息安全专项管理规定及涉密车载专属安全标准，另行制定涉密汽车电子安全专项防护实施细则。2规范性引用文件下列文件对于本文件的应用必不可少。凡是注日期的引用文件，仅对应注日期版本适用于本文件；凡是不注日期的引用文件，其最新有效修订版本及所有修改单内容，均适用于本文件汽车电子系统网络安全防护各项工作实施。GB/T22239信息安全技术网络安全等级保护基本要求GB/T25069信息安全技术术语GB/T35273信息安全技术个人信息安全规范GB/T39215信息安全技术智能网联汽车数据安全指南GB/T38628信息安全技术汽车电子系统网络安全指南配套支撑标准《中华人民共和国网络安全法》《中华人民共和国数据安全法》《智能网联汽车道路测试与示范应用管理规范》汽车电子网络安全管理及智能网联汽车行业专项监管政策文件。3术语和定义3.1汽车电子系统：集成车载电子硬件、车载电控单元、车载操作系统、车载应用软件、车载通信模块、车内总线网络共同组成，用于实现车辆动力驱动控制、车身安全防护、智能驾驶辅助、车载信息交互、远程联网管控、电池能源管理等车辆全功能控制与运行支撑的一体化电子控制系统总称，核心包含整车电控ECU单元、车载中央计算平台、车载总线网络、车联网T-BOX终端、车载智能座舱系统等核心组成部分。3.2车载网络：专门用于承载汽车电子系统内部电控指令传输、车辆运行数据交互、车载设备通信调度的车内专属总线网络及车内外通信网络总称，具备行车实时性要求高、控制指令优先级高、车载通信协议专用、行车安全等级优先的核心运行特征，分为车内本地总线网络与车外远程通信网络两大类别。3.4汽车电子网络安全防护：汽车整车企业及供应链相关单位为防范车载网络入侵、车载电控单元恶意攻击、车辆控制指令篡改、车主隐私及车辆数据泄露、远程非法控车、车载软件恶意篡改、车辆电子系统故障失控等各类汽车专属网络安全风险，在不影响车辆正常行驶安全及整车基础性能前提下，采取的组织制度规范、车载网络边界防护、车载设备安全加固、车载软件安全管控、远程运维安全管理、应急备份处置的综合网络安全防护措施总和。3.5车辆远程车控运维：车企运维机构、车载软件服务商通过云端车联网平台、移动管控终端、远程通信通道远程接入汽车电子控制系统，开展车载软件升级OTA、车辆故障远程诊断、车载参数调试、车辆功能运维管理、车辆异常远程处置的远程操作管理行为。3.6汽车电子安全漏洞：汽车电子软硬件设备、车载专用通信协议、车载操作系统、车载控制软件及OTA升级程序中存在的安全缺陷、配置隐患、代码漏洞及设计短板，可被恶意攻击者利用实施车载网络入侵、车辆指令劫持、远程非法控车、车载数据窃取、软件恶意篡改等恶意操作，直接威胁车辆行驶安全及驾乘人员安全。3.7车载数据：汽车电子系统运行过程中产生的车辆行驶轨迹数据、车身运行状态参数、电控控制指令、车主个人驾乘信息、车载交互记录、电池运行数据、智能驾驶感知数据等各类车辆专属运行数据及车主个人信息资源，是车辆智能化运营及车联网服务的核心基础数据。4汽车电子系统网络安全防护总体基本原则4.1行车安全绝对优先原则。汽车电子网络安全防护工作严格坚守车辆安全行驶首要底线，所有车载安全防护设计、车载软件安全改造、车载网络策略调整、安全补丁及升级推送工作，必须提前做好整车行车工况测试、安全风险验证及试运行核验，严禁盲目开展网络安全改造影响车辆正常行驶、制动操控及核心安全功能，所有网络安全措施必须适配车载系统高实时、高稳定、高可靠的行车专属工况要求。4.2安全设计造车同步原则。汽车电子系统新车研发规划、车型设计开发、车载电子选配集成、整车量产下线全流程严格落实网络安全同步规划、同步设计、同步量产三同步要求，网络安全防护措施与汽车电子系统整车研发生产同步嵌入、同步部署、同步投产，杜绝先造车量产后期补做安全防护、重车辆功能研发轻网络安全设计的片面造车模式。4.3内外网络隔离分区原则。严格区分车内车载专属控制总线网络与车外互联网、云端车联网平台、第三方服务网络安全边界，实行车载网络分层分区隔离管控，车辆动力控制区域、车身安全控制区域、智能座舱娱乐区域、远程联网管控区域之间做好安全隔离防护，严控车载网络跨区域横向联通和非法跨域访问，从车载网络架构层面阻断外部网络安全风险向内渗透扩散。4.4最小权限最小管控原则。汽车电子系统所有车载设备账号、车载网络访问权限、远程车控操作权限、车载数据调用权限严格落实最小必要分配要求，按需赋权、按需访问、用完回收，严禁车载设备配置通用超级管理员权限、严禁多车共用同一管控账号、严禁超范围违规访问车载电控设备及车辆核心数据。4.5预防为主全周期管控原则。坚持事前安全设计预防、事中车载实时监测、事后安全应急复盘整改的全周期防护思路，常态化开展汽车电子网络安全风险自查、车载漏洞隐患排查、防护措施有效性核验，发现安全短板限期闭环整改，提前化解各类汽车电子潜在网络安全风险，杜绝车辆网络安全事件事后被动补救处置。4.6全链协同责任落实原则。明确汽车整车企业主体责任、车载电子供应商配套责任、车联网运营商运维责任、车载软件研发单位开发责任等全产业链各级网络安全管理责任，逐级压实网络安全主体责任，岗位职责分工清晰、防护工作落实到岗到人、安全追责问责到位，形成全产业链协同、全车机全覆盖、全周期闭环管控的汽车网络安全管理格局。5汽车电子网络安全组织与制度管理防护要求5.1专职汽车网络安全管理组织建设。汽车整车企业须设立汽车电子网络安全专项管理部门，明确专职汽车网络安全管理人员及车载安全合规岗位，统筹负责汽车电子网络安全整体规划、防护加固推进、研发环节安全管控、售后运维安全管理、风险自查整改、安全培训教育、应急处置协调等专项工作，建立汽车研发部门、生产制造部门、售后运维部门、安全管理部门跨部门协同工作机制，杜绝汽车电子网络安全管理无人负责、工作无人落地的管理空白问题。5.2全链条系统化安全管理制度体系编制。车企结合自身车型品类、汽车电子系统架构、车载设备配套规模、车联网运营模式、售后升级运维现状，编制适配汽车研发生产及售后运维全场景的汽车电子网络安全综合管理制度、车载网络安全管理规程、车载账号权限管理办法、远程OTA升级安全管理规定、汽车电子漏洞整改管理细则、车辆网络安全应急处置管理规范等全系列制度文件，所有制度贴合汽车研发量产及车载运维实操需求，杜绝制度纸面化、落地虚化、执行形式化问题。5.3常态化安全考核与追责问责机制建立。建立汽车电子网络安全工作定期考核机制，将车载安全防护落实情况、研发环节安全合规情况、售后隐患整改完成情况、远程运维操作合规情况纳入相关部门及岗位人员绩效考核范围，对研发设计安全缺位、防护落实不到位、漏洞隐患整改逾期未完成、违规远程操作运维的岗位及人员落实追责问责，强化网络安全制度执行刚性约束，保障汽车电子网络安全管理制度长效落地执行。5.4供应链第三方安全合同专项约定。车企与车载电子零部件供应商、车载软件研发商、车联网运维服务商、第三方远程运维机构签订合作合同时，必须同步签订汽车电子网络安全专项保密协议及安全运维补充协议，明确供应链上下游网络安全责任边界、车载软硬件研发安全规范、远程访问管控要求、车载数据保密义务、安全违约追责条款，严控供应链配套引入的外部网络安全风险。6车载网络边界与车载网络架构安全防护要求6.1车内车外网络安全物理及逻辑隔离。严格落实车内车载控制总线网络与外部互联网、云端车联网平台、第三方外接设备网络安全隔离要求，优先采用硬件隔离及安全网关防护方式阻断直接无防护连通，确因车联网服务刚需需要数据交互的，必须部署车载安全网关、车联网安全隔离防护设备，配置严格单向安全访问控制策略，严禁车载核心控制网络直接无防护对接公网及外部陌生网络，严防外部网络安全风险渗透入侵车辆核心电控系统。6.2车载网络分区分域安全防护。按照车辆控制功能重要程度、行车安全等级划分车载网络安全区域，将整车动力电控核心控制区、车身安全防护控制区、智能座舱娱乐交互区、远程联网运维管理区相互隔离划分，各车载区域之间部署车载安全防护管控策略，设置专属访问控制规则，严控跨区域非法访问和网络横向渗透攻击，避免单一车载区域安全风险扩散至整车全电子控制系统。6.3车载网络设备安全基线配置加固。对车载交换机、车载网关、车载通信模块、总线交互设备等车载网络设备开展安全基线全面加固，修改车载设备出厂默认管理账号密码、关闭车载设备不必要闲置通信端口、禁用高危车载网络协议、关闭车载设备远程默认裸奔管理访问功能，定期优化车载网络安全访问策略，清理无效冗余网络配置，定期开展车载网络设备配置安全核查，消除车载网络设备基础配置固有安全隐患。6.4车载网络安全监测与异常告警部署。在车载网络核心总线节点、车内外网络边界关键位置部署车载网络安全监测审计模块，实时监测车载网络异常访问、违规连接、恶意控制报文、电控异常指令传输等网络安全行为，及时触发车载本地及云端后台安全告警并留存车载网络审计日志，运维管理人员定期核查监测告警记录，快速处置车载网络异常安全风险，实现汽车电子网络安全态势全车可视、风险可控。7车载电子电控设备本体安全加固防护要求7.1车载电控设备默认弱口令强制修改。针对整车各类ECU电控单元、车载中央计算平台、T-BOX远程通信终端、车载智能座舱主机等所有车载电子电控设备，全面排查设备出厂默认账号密码及通用弱口令，所有出厂默认配置密码必须第一时间修改为高强度专属加密密码，严禁车载设备保留出厂默认安全配置、严禁多车型多设备共用同一管控密码，定期轮换更新车载设备登录管控密码，从源头防范弱口令破解、车载设备非法入侵风险。7.2车载电控设备闲置功能与无用端口关停。全面梳理各类车载电子电控设备闲置无用后台服务、冗余通信端口、未启用远程管理调试功能，对所有非行车必需的闲置功能、高危通信端口、无用后台服务全部关停禁用，最大限度减少车载电子设备网络攻击暴露面，降低车载设备被恶意利用和远程入侵攻击的安全概率，保障车载电控设备仅保留车辆行驶及运营必需基础功能。7.3车载设备安全漏洞分级管理修复。结合车辆行车安全运行工况，建立汽车电子安全漏洞分级管理修复机制，对不影响车辆行车安全的低危常规漏洞补丁及时批量推送修复，对影响车辆制动、动力、操控等核心行车安全的高危严重漏洞补丁，提前实车多场景安全测试、数据备份演练、试运行验证工作，在售后合规运维窗口期稳妥完成漏洞安全加固修复，杜绝盲目推送安全补丁引发车辆行驶故障、电控系统异常停机问题。7.4车载电子设备运行状态常态化安全巡检。建立车载电子设备本体安全常态化云端及本地双重巡检机制，定期核查车载电控设备运行状态、配置变更记录、账号登录日志、异常操作控制记录，及时发现车载设备异常远程登录、违规配置修改、非正常电控启停等安全异常情况，第一时间排查处置车载设备安全隐患，保障汽车电子电控设备本体安全稳定运行。8车载操作系统与车载软件安全防护要求8.1车载操作系统安全基线全面加固。对车载实时操作系统、智能座舱操作系统、车载中央计算平台系统等各类车载操作系统开展系统安全基线全面加固，关闭系统闲置共享功能、禁用高危远程控制服务、开启车载系统账户安全管控策略、设置车载系统登录安全认证规则，优化车载系统安全基础配置，消除车载操作系统原生基础安全漏洞及配置隐患。8.2车载软件恶意代码安全防护部署。所有车载操作系统及车载应用软件必须部署适配车载专属运行场景的恶意代码防护及安全防护工具，定期开展车载病毒木马查杀、恶意程序清理工作，定期更新车载安全防护病毒库及防护策略，严控外接U盘、移动设备、外部蓝牙设备随意接入车载系统使用，防止恶意代码、车载专属病毒入侵感染车载系统引发车辆电控异常及行车故障。8.3车载软件账号权限严格分级管控。车载操作系统及车载应用软件实行一人一车一号实名登录管理，严格区分车企运维管理员、车主普通操作员、售后调试员不同权限等级，严格分配车载软件操作管控权限，严禁普通车主及运维人员拥有车载电控核心配置修改、软件程序删除、系统参数篡改等高权限操作，所有车载软件权限变更全程审批留痕，定期清理冗余账号和过期管控权限。8.4车载软件操作行为全程审计日志留存。开启车载操作系统及车载应用软件系统操作日志、登录审计日志、配置变更日志、软件升级日志记录功能，对所有车载系统登录访问、软件操作、配置修改、数据调取、升级更新行为全程日志留存，日志留存时长满足网络安全及数据安全合规监管要求，车辆发生安全事件后可快速溯源定位、追溯核查、责任界定。9车载数据全生命周期安全防护要求9.1车载数据分类分级梳理专项管控。车企全面梳理摸排车辆电控工艺参数、行车运行轨迹数据、车辆控制指令、电池运维数据、智能驾驶感知数据、车主个人隐私信息等各类车载数据资源，按照数据重要程度、影响行车安全范围、个人隐私敏感等级完成车载数据分类分级专项标识管控，对核心车辆控制数据及车主敏感隐私数据实行重点专项加密防护管控，普通车辆运行常规数据实行基础安全防护。9.2车载数据存储与访问安全加密防护。核心敏感车载控制数据及车主隐私数据实行全程加密存储防护，严格管控车载数据本地访问、云端查询、远程导出、数据拷贝操作权限，严禁随意私自拷贝导出车辆核心控制数据及车主敏感隐私信息，车载数据对外导出及共享传输操作实行专项审批、全程加密、操作留痕管控，严防车载核心数据及车主隐私数据泄露、篡改、丢失安全风险。9.3车载数据定期备份与恢复测试保障。建立汽车电子系统电控配置文件、车载控制程序、核心车载运行数据常态化定期备份机制，实行车载本地备份与云端异地备份相结合的双重备份策略，定期开展车载备份数据恢复实操测试工作，验证备份数据完整性和恢复可用性，确保汽车电子系统遭遇网络攻击、软件故障、误操作后可快速恢复车辆电控运行及车联网服务正常使用。10车辆远程访问与OTA升级安全管控要求10.1严控车辆电子系统互联网直接暴露访问。原则上严禁汽车电子核心控制系统、车载电控设备、车载操作系统直接面向互联网开放远程访问端口、高危网络服务及调试管理接口，杜绝车载系统公网直接暴露引发的恶意扫描、暴力破解、远程非法入侵控车等网络安全风险，从网络接入源头筑牢车辆远程访问安全基础防线。10.2远程运维及OTA升级加密安全通道接入。确因车载软件OTA升级、车辆故障远程诊断运维刚需需要开展远程访问操作的，必须采用专用加密VPN、安全加密专线、车联网专属加密通道等安全接入方式，严禁使用明文远程运维工具、无防护远程控制软件接入车载核心电控网络，所有远程运维及升级操作全程加密传输、身份严格双向认证。10.3远程访问操作时限与权限严格管控。车辆远程运维及OTA后台访问实行限时开通、按需赋权、操作完成立即关闭的管理模式，严格限定远程访问操作时段、可访问车载设备范围、操作管控权限等级，远程运维及升级工作完成后立即关闭远程接入通道、回收临时运维管控权限，杜绝长期开放远程访问通道遗留永久安全隐患。10.4远程运维与OTA升级全程审计追溯。所有车辆远程运维接入、电控设备操作、车载软件修改、系统配置调整、OTA升级推送及安装行为全程操作日志记录、安全审计云端留存，远程运维操作专人全程后台监管看护，第三方运维及升级操作全程台账记录存档，确保所有远程控车及升级行为可查询、可追溯、可复盘核查、可责任界定。11汽车电子网络安全风险评估与漏洞隐患整改要求11.1新车研发量产上线安全前置评估。全新车型汽车电子系统研发定型量产、现有车型汽车电子系统重大升级改造、车载网络架构调整变更前，必须开展专项汽车电子网络安全风险评估工作，排查新车量产及系统升级潜在网络安全隐患，制定风险防控和应急保障措施，安全评估合格后方可新车量产上市及系统升级投产。11.2汽车电子安全常