GB-T 41479-2022 中文版 汽车信息安全 要求 - 副本

GB/T41479-2022中文版汽车信息安全通用要求前言GB/T41479-2022为中华人民共和国国家推荐性标准，由国家市场监督管理总局、国家标准化管理委员会于2022年4月15日发布，2022年11月1日正式实施。本标准原官方名称为《信息安全技术网络数据处理安全要求》，结合汽车行业专项落地应用场景，本文档聚焦汽车信息安全通用合规与技术管控要求，适配整车、车载电子电气系统、车联网、汽车数据全场景安全体系建设，统一汽车行业信息安全基础规范。本标准立足智能网联汽车电子化、网联化、智能化发展特性，针对车载软硬件漏洞、车联网网络攻击、汽车数据泄露、非法刷写篡改、车载系统失控、第三方供应链安全等核心风险，构建覆盖汽车全生命周期、全零部件、全数据链路的通用安全防护体系。本文件为汽车信息安全基础性通用标准，适用于各类乘用车、商用车、智能网联汽车的设计、研发、生产、测试、运维、售后全流程安全管控，是车企合规建设、零部件厂商安全适配、第三方测评机构检测、行业监管核查的核心通用依据，同时兼容现有汽车信息安全专项标准体系。1范围本文件规定了汽车信息安全的通用术语定义、总体安全原则、全生命周期安全要求、车载软硬件安全、车载网络安全、汽车数据安全、车内外通信安全、诊断刷写安全、供应链安全、风险评估与应急处置等基础性、通用性安全规范。本文件适用于国内量产销售、在用的传统燃油汽车、新能源汽车、智能网联汽车，覆盖整车企业、车载零部件供应商、车联网服务提供商、汽车运维服务商等所有汽车信息安全相关主体。管控范围包含车载电子电气架构、车载控制器（ECU）、车载操作系统、车载终端、车联网通信链路、汽车采集数据、诊断运维接口、车辆远程控制系统等全维度车载设施。本文件不适用于特种作业车辆紧急作业场景、封闭场地试验测试车辆、军警专用车辆的特殊作业工况，上述场景可在本通用要求基础上结合专项规范适配调整。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有修改单）适用于本文件。GB/T25069-2022信息安全技术术语GB/T39226-2020信息安全技术智能网联汽车信息安全指南GB/T41871-2022信息安全技术汽车数据处理安全要求GB/T30976-2013工业控制系统信息安全防护指南《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《汽车数据安全管理若干规定（试行）》3术语和定义3.1汽车信息安全：保障汽车电子电气系统、车载软件、车载网络、车联网通信、汽车采集数据在全生命周期内的保密性、完整性、可用性、可控性，防范非法访问、恶意篡改、数据泄露、远程控制、系统失效等安全风险，保障车辆行驶安全、用户信息安全与公共安全的技术与管理体系。3.2车载电子电气系统：由整车控制器、动力控制器、车身控制器、智能驾驶控制器、车载娱乐终端、传感器、执行器及配套通信网络组成的车载软硬件集成系统，是汽车信息安全的核心防护载体。3.3汽车数据：车辆行驶过程、车载设备运行、车联网交互过程中采集、生成、存储、传输的各类数据，包含车辆状态数据、行驶轨迹数据、车内环境数据、用户个人信息、智能驾驶感知数据、车联网交互数据等。3.4车载网络：车辆内部用于设备通信的专用网络，包含CAN、CAN-FD、LIN、以太网、FlexRay等车载总线网络及局域通信网络。3.5车辆远程服务：依托移动通信网络，实现车辆远程诊断、远程控制、远程升级（OTA）、车况推送、紧急救援等车联网服务行为。3.6非法刷写：未经整车厂商授权，通过诊断接口、远程通道等方式，私自修改、替换车载控制器程序、配置参数、标定数据的违规操作行为。4总体安全通用原则4.1安全合规、底线可控：所有汽车信息安全设计、开发、生产、运维、服务活动必须符合国家法律法规、行业监管要求及国标规范，坚守车辆行驶安全、数据安全、公共安全底线，杜绝系统性安全风险。4.2安全前置、全程覆盖：将信息安全要求前置至车辆研发设计阶段，覆盖车辆设计、生产、测试、销售、使用、运维、报废全生命周期，实现安全管控无死角、无断点。4.3最小权限、最小必要：车载数据采集、功能调用、接口访问、远程操作严格遵循最小必要原则，仅实现业务必需功能，严控数据采集范围、访问权限、操作权限，杜绝过度采集、越权操控。4.4纵深防御、分级防护：构建车载硬件、软件、网络、数据、远程通道多层纵深防御体系，根据资产重要性、风险等级实施分级分类防护，重点强化核心控制部件、行车安全相关系统的防护强度。4.5风险可控、持续迭代：建立常态化风险监测、漏洞修复、安全迭代机制，针对新型车联网攻击、车载漏洞、数据安全风险，持续优化安全策略与防护能力。4.6安全与功能兼容：信息安全防护措施不得影响车辆正常行驶功能、安全制动、动力控制等核心行车安全功能，兼顾安全性、实时性与可用性。5全生命周期通用安全要求5.1设计研发阶段安全整车及零部件研发阶段需嵌入信息安全设计流程，开展安全需求分析、威胁建模、风险评估，输出整车信息安全设计方案。车载硬件选型、软件开发、网络架构设计需同步落实安全加固要求，规避原生安全漏洞。建立研发安全评审机制，所有车载系统、核心零部件上线前必须通过信息安全测评，测评合格后方可进入量产阶段。5.2生产制造阶段安全汽车生产环节需严控车载程序烧录、参数标定、硬件装配安全，建立生产密钥、固件版本、标定数据台账，杜绝生产环节固件篡改、密钥泄露、非法植入后门程序。生产车间车载测试网络与外部网络物理隔离，测试设备、操作账号专人专管，全程留存生产安全操作日志。5.3测试验证阶段安全建立完善的汽车信息安全测试体系，包含漏洞扫描、渗透测试、总线攻击测试、数据安全测试、远程接口安全测试等专项测试。针对极端网络环境、恶意攻击场景、异常数据交互场景开展模拟测试，验证车载系统抗攻击能力、风险自愈能力。所有测试记录、漏洞整改记录全程留存，实现测试闭环。5.4销售使用阶段安全车辆销售交付时，需向用户明确告知车辆数据采集范围、使用用途、安全防护机制与用户权益。车辆在用阶段，依托OTA升级、后台监测实现常态化安全加固，及时修复公开漏洞。严禁私自改装车载电子系统、破解车载权限、篡改行车程序，防范用户端人为引入安全风险。5.5运维报废阶段安全售后运维操作需全程授权、全程审计，严控诊断接口、远程运维权限。车辆报废前，需对车载存储的用户数据、行车数据、系统配置数据进行彻底清除销毁，杜绝报废车辆数据残留泄露。建立报废车辆信息安全台账，留存数据销毁记录。6车载硬件系统通用安全要求6.1核心控制器安全整车ECU、智能驾驶控制器、动力控制器、车身控制器等核心硬件需具备安全启动能力，校验固件完整性，防止恶意固件植入、篡改。硬件存储区域分区隔离，核心程序区、配置区、数据区权限独立管控，禁止非法读写。硬件预留安全防护机制，针对电压异常、电磁干扰、物理拆解等风险具备防护能力，防止硬件被破解、篡改。6.2车载终端与外设安全车载中控终端、T-BOX、智能传感器、车载通信模块等外设设备需做安全加固，关闭默认账号、冗余端口与非必要服务。设备接入车载网络需经过身份认证，禁止非法设备接入总线网络。外设采集数据需做源头校验，防范虚假数据注入攻击。6.3物理防护安全车载核心电子部件具备防拆解、防篡改、防复制能力，关键部件设置防拆标识，拆解后自动触发安全告警或数据锁定。车载硬件密钥、加密芯片等安全部件专属适配，禁止随意替换、复制，保障硬件信任根安全。7车载软件系统通用安全要求7.1车载操作系统安全车载操作系统需实现权限最小化管控，系统进程隔离、应用隔离，禁止非法进程驻留、恶意应用安装。关闭系统高危接口、调试端口，禁用系统默认高危权限。定期开展系统漏洞排查，通过合规OTA升级修复系统漏洞，升级过程具备完整性校验、防篡改、防中断机制。7.2车载应用安全车载娱乐、导航、车控类应用来源合规，具备应用签名校验机制，禁止未授权第三方应用安装运行。应用运行过程中禁止超权限采集数据、调用车控接口，应用操作全程日志留存。建立车载应用白名单机制，严控第三方应用风险。7.3OTA升级安全车辆远程升级需建立严格的授权、校验、下发机制，升级包全程加密传输、签名校验，防止升级包篡改、劫持、伪造。升级过程具备断点续传、回滚恢复机制，避免升级失败导致系统瘫痪。所有OTA升级操作、版本变更、升级结果全程审计留存，严禁私自推送非法升级包。7.4软件漏洞管理建立车载软件漏洞常态化监测、收集、研判、整改机制，及时跟进公开高危漏洞情报。针对车载软件漏洞，区分风险等级制定整改方案，低风险漏洞定期迭代修复，高危漏洞紧急推送补丁升级，建立漏洞闭环管理台账。8车载网络通用安全要求8.1车载总线安全CAN、CAN-FD、以太网等车载总线网络需做好访问管控，禁止未授权设备接入总线。部署总线异常监测机制，实时监测总线报文异常、报文篡改、高频报文攻击、拒绝服务攻击等风险，发现异常及时拦截、告警。划分总线安全域，核心行车控制总线与娱乐总线逻辑隔离，防止横向风险扩散。8.2车载网络访问控制建立车载网络白名单访问机制，仅授权设备、授权IP、授权端口可进行网络交互。关闭车载网络所有非必要通信端口、调试服务，杜绝端口暴露引发的攻击风险。不同安全等级的车载网络区域设置访问策略，限制跨域非法访问。8.3网络传输安全车载核心控制指令、车辆状态核心数据、远程交互数据采用加密传输，杜绝明文传输。总线报文、车内外通信数据具备完整性校验机制，防范数据篡改、伪造、重放攻击。实时监测网络流量异常、报文异常，实现攻击行为主动识别与拦截。9汽车数据通用安全要求9.1数据分类分级全面梳理车辆数据资产，划分为普通数据、个人敏感信息、汽车重要数据三类实施分级防护。普通行车统计数据执行常规防护；用户人脸、声纹、位置轨迹、手机号等个人敏感信息执行加密存储、脱敏使用；车辆核心控制数据、批量行驶轨迹数据、智能驾驶感知重要数据执行最高等级防护。9.2数据采集安全汽车数据采集严格遵循最小必要原则，明示告知用户采集范围、用途、留存期限，获取用户明示同意后方可采集。禁止静默采集、超范围采集、强制采集用户个人信息。可采集可不采集的数据一律不采集，非必要的感知数据、轨迹数据及时清理。9.3数据存储与脱敏车辆敏感数据、重要数据采用加密存储，车内存储与云端存储双重加固。对外展示、数据共享、日志输出场景必须落实脱敏处理，对手机号、位置信息、人脸信息等敏感字段掩码、匿名化处理。严格限定数据留存期限，超期数据自动清理、不可逆销毁。9.4数据共享与外发汽车数据对外共享、第三方对接、云端传输需经过安全审核，禁止私自批量外发用户敏感数据与车辆核心数据。明确数据共享范围、使用用途、留存时限，签订数据安全协议，全程记录数据流转轨迹，实现数据共享可追溯、可管控。9.5数据备份与恢复车辆核心配置数据、行车关键日志数据定期备份，云端备份数据加密存储、异地留存。建立数据故障恢复机制，在数据丢失、篡改、损坏场景下可快速恢复，保障车辆系统正常运行与数据完整性。10车内外通信通用安全要求10.1车外网联安全车辆与云端平台、手机APP、服务后台的外网通信采用加密安全通道，启用双向身份认证机制，防范中间人攻击、链路劫持。外网通信接口设置频次限制、流量管控、异常拦截机制，防止接口滥用、批量数据爬取、恶意请求攻击。10.2短距离通信安全车载蓝牙、NFC、WIFI、车路协同短距离通信需落实身份认证、加密传输机制，禁止无认证匿名接入。短距离通信会话限时管控，闲置自动断开，防止非法设备就近接入、窃取数据、操控车辆。10.3远程控制安全车辆远程开锁、远程启动、远程空调控制等车控功能，需实现多因素身份认证、操作二次确认、异常行为告警。远程控制指令全程加密、校验，禁止非法伪造指令操控车辆。留存所有远程控制操作日志，实现全程可追溯。11诊断与刷写通用安全要求11.1诊断接口安全车载OBD诊断接口、本地调试接口设置权限管控机制，非授权设备无法接入读写数据、修改参数。日常使用场景默认关闭高危诊断权限，仅授权运维设备、授权账号可开启专项诊断功能，杜绝外接设备非法读取车辆数据、篡改系统参数。11.2程序刷写安全车载控制器程序、标定参数刷写必须经过厂商授权，刷写文件加密校验、签名认证，防止非法固件刷写。刷写过程全程监护、日志留存，刷写完成后自动校验程序完整性，异常情况自动回滚。禁止私自刷写、第三方非法刷写车载核心程序。11.3本地运维审计所有本地诊断、参数修改、程序刷写、接口调试操作全程记录，留存操作设备、操作人员、操作时间、操作内容、操作结果，日志长期留存、不可篡改，实现本地运维行为全程可审计。12供应链与第三方安全通用要求12.1供应商准入安全建立车载零部件、软件服务商、车联网服务商安全准入机制，对供应商安全资质、产品安全能力、安全管理制度进行审核，禁止无安全保障的产品与服务装车应用。将信息安全要求纳入供应商合作协议，明确安全责任与追责机制。12.2第三方产品管控第三方车载软件、硬件零部件、通信服务需通过整车安全测评，适配整车安全体系，不得引入新的安全漏洞与风险。定期对第三方产品开展安全复测，发现安全隐患立即要求整改、停用替换。12.3外包运维安全第三方运维、调试、技术服务人员实行授权管理、全程监护，临时权限最小化、用完即回收。签订保密协议与安全责任书，全程留存运维记录，严控第三方操作引发的漏洞、数据泄露、系统篡改风险。13风险评估与安全监测13.1常态化风险评估车企需定期开展整车信息安全风险评估，全面识别车载软硬件、网络、数据、远程服务、供应链安全威胁与脆弱性，量化风险等级。针对高风险项制定专项整改方案，限期闭环整改，新建车型上市前必须完成全面风险评估。13.2全天候安全监测搭建车联网安全监测平台，7×24小时监测车辆异常登录、非法刷写、异常远程控制、数据批量外发、总线攻击、系统异常等风险行为，实现风险实时告警、快速研判、及时处置。13.3安全自查机制