01

引 言

隨著智能網(wǎng)聯(lián)汽車技術(shù)的飛速發(fā)展，車輛的信息系統(tǒng)正在逐步走向高度集成與高度互聯(lián)，傳統(tǒng)的車輛控制系統(tǒng)逐漸被復(fù)雜的車載操作系統(tǒng)和車聯(lián)網(wǎng)應(yīng)用所取代。與此同時，汽車成為網(wǎng)絡(luò)攻擊目標(biāo)的風(fēng)險也日益增加，信息安全問題成為智能汽車發(fā)展的關(guān)鍵挑戰(zhàn)。為規(guī)范行業(yè)技術(shù)要求、提升整車信息安全保障能力，我國于2024年8月23日正式發(fā)布國家強制性標(biāo)準(zhǔn) GB 44495-2024《汽車整車信息安全技術(shù)要求》，并將于2026年1月1日正式實施。該標(biāo)準(zhǔn)為整車廠及其供應(yīng)鏈提供了全面的信息安全技術(shù)基線，成為汽車產(chǎn)業(yè)信息安全合規(guī)建設(shè)的重要里程碑。

02

標(biāo)準(zhǔn)背景與核心內(nèi)容

GB 44495-2024《汽車整車信息安全技術(shù)要求》參考吸收了ISO/SAE 21434、UNECE WP.29 R155等國際主流標(biāo)準(zhǔn)和法規(guī)內(nèi)容，結(jié)合我國智能網(wǎng)聯(lián)汽車發(fā)展現(xiàn)狀和實際應(yīng)用場景，制定了一套覆蓋廣泛、要求明確的信息安全技術(shù)框架（如圖1所示）。該標(biāo)準(zhǔn)由工業(yè)和信息化部歸口，委托全國汽車標(biāo)準(zhǔn)化技術(shù)委員會智能網(wǎng)聯(lián)汽車分會執(zhí)行。上?？匕苍趦?nèi)的汽車科技領(lǐng)域企業(yè)、主機廠、Tier1、高校院所、機構(gòu)中心等單位聯(lián)合參與編制（如圖2所示）。

圖1 標(biāo)準(zhǔn)框架

圖2 標(biāo)準(zhǔn)參編單位

1.1 適用范圍和實施日期

該標(biāo)準(zhǔn)適用于M類、N類及至少裝有1個電子控制單元的O類車輛。

圖3 標(biāo)準(zhǔn)適用范圍

實施日期如下圖所示：

圖4 標(biāo)準(zhǔn)實施日期

1.2 汽車信息安全管理體系要求

整車企業(yè)應(yīng)建立覆蓋產(chǎn)品全生命周期的信息安全管理體系，包括制定內(nèi)部安全管理流程、識別與處置安全風(fēng)險、建立測試機制、監(jiān)測與響應(yīng)網(wǎng)絡(luò)攻擊，以及管控與供應(yīng)商、服務(wù)商之間的信息安全依賴關(guān)系，構(gòu)建系統(tǒng)化的管理體系。

1.3 信息安全基本要求

信息安全基本要求涵蓋風(fēng)險管理、專用環(huán)境保護、安全測試與監(jiān)測取證、密碼模塊應(yīng)用、默認安全設(shè)置和數(shù)據(jù)保護等方面。標(biāo)準(zhǔn)要求企業(yè)識別關(guān)鍵風(fēng)險，實施有效管控措施，確保系統(tǒng)具備抗攻擊能力和取證能力；同時，使用符合標(biāo)準(zhǔn)的密碼算法與模塊，采用默認安全設(shè)置，保障數(shù)據(jù)處理過程中的個人隱私和用戶知情同意權(quán)，全面滿足信息安全防護的基礎(chǔ)要求。

1.4 信息安全技術(shù)要求

標(biāo)準(zhǔn)將信息安全技術(shù)要求劃分為以下四大核心領(lǐng)域：

1) 外部連接安全：要求對外部通信接口（如USB、藍牙、WIFI、蜂窩網(wǎng)絡(luò)等）進行訪問控制、身份認證和數(shù)據(jù)保護。

2) 通信安全：規(guī)定整車內(nèi)部和外部通信在數(shù)據(jù)傳輸過程中必須具備加密、防篡改、防重放等能力，確保數(shù)據(jù)完整性與保密性。

3) 軟件升級安全：包括升級包完整性驗證、簽名認證、版本控制、回滾防護等機制，保障遠程升級的安全可控。

4) 數(shù)據(jù)安全：涉及用戶隱私數(shù)據(jù)保護、車輛運行數(shù)據(jù)加密存儲、本地訪問控制等內(nèi)容，強化車輛對關(guān)鍵數(shù)據(jù)的生命周期管理能力。

1.5 檢查與試驗方法

該章節(jié)主要包括汽車信息安全管理體系檢查、基本要求檢查和技術(shù)要求測試。前兩部分主要是針對信息安全相關(guān)的文檔進行檢查，確認車輛制造商和測試車輛分別滿足標(biāo)準(zhǔn)第5、6章的要求。技術(shù)要求測試主要針對上述的四大核心領(lǐng)域進行安全測試，具體的測試項目和內(nèi)容如下：

1) 外部連接安全測試

圖5 外部連接安全測試

2) 通信安全測試

圖6 通信安全測試

3）軟件升級安全測試

圖7 軟件升級安全測試

4) 數(shù)據(jù)安全測試

圖8 數(shù)據(jù)安全測試

1.6 同一型式判定

標(biāo)準(zhǔn)中的“同一型式判定”旨在明確信息安全測試的一致性范圍。若車輛在信息安全管理體系、電子電氣架構(gòu)、關(guān)鍵控制器及通信協(xié)議等方面保持一致，且核心軟硬件版本無影響信息安全的差異，即可視為同一型式。若僅部分參數(shù)變更且滿足相應(yīng)條件，經(jīng)審批許可后可獲得擴展。同時，數(shù)據(jù)處理功能中的匿名化算法、控制器和采集設(shè)備一致，也可視為同一型式。

03

汽車信息安全測試方案

為滿足GB 44495-2024《汽車整車信息安全技術(shù)要求》等安全標(biāo)準(zhǔn)的要求，上?？匕不谄囆袠I(yè)信息安全相關(guān)法規(guī)和標(biāo)準(zhǔn)提供安全測試方案，標(biāo)準(zhǔn)覆蓋范圍如下圖：

圖9 標(biāo)準(zhǔn)和法規(guī)覆蓋范圍

主要圍繞六個方面進行測試能力覆蓋。如圖，以測試能力為核心，從“硬件、車外通信、車載網(wǎng)絡(luò)、軟件、數(shù)據(jù)、升級”六大維度系統(tǒng)化布局，全面支撐智能網(wǎng)聯(lián)汽車信息安全能力的合規(guī)建設(shè)和驗證，符合法規(guī)落地與產(chǎn)業(yè)實際需求。

圖10 汽車信息安全測試覆蓋面

主要的測試工具包括SmartRocket TestSec自動化智能模糊滲透測試系統(tǒng)，可針對車載總線及車聯(lián)網(wǎng)協(xié)議的自動化智能黑盒模糊滲透測試工具，主要負責(zé)汽車通信層面的安全測試，提供各種通信協(xié)議的模糊和滲透測試功能，通過自動化、系統(tǒng)化、智能化的模糊滲透測試方法，能夠有效發(fā)現(xiàn)并修復(fù)智能網(wǎng)聯(lián)汽車通信系統(tǒng)中潛在的安全缺陷，提高智能網(wǎng)聯(lián)汽車安全性。

SmartRocket PeneX汽車網(wǎng)絡(luò)安全測試系統(tǒng)，支持對整車及車輛零部件及子系統(tǒng)實施網(wǎng)絡(luò)安全測試，包含硬件安全、軟件安全、數(shù)據(jù)安全和軟件升級四大安全測試系統(tǒng)；支持合規(guī)性測試，包含國內(nèi)外的法規(guī)及標(biāo)準(zhǔn)；提供實驗室機柜部署方案及便攜式工具箱方案，可按需靈活選擇。

圖11 汽車信息安全測試工具

04

總 結(jié)

GB 44495-2024《汽車整車信息安全技術(shù)要求》的發(fā)布，標(biāo)志著我國汽車信息安全法規(guī)體系邁入全面落地階段。該標(biāo)準(zhǔn)不僅強調(diào)組織級的信息安全體系構(gòu)建與基本安全能力建設(shè)，還在技術(shù)層面明確了外部連接、通信、升級、數(shù)據(jù)等防護能力和測試要求。面對日益復(fù)雜的汽車信息安全威脅，行業(yè)各方需從管理、設(shè)計、流程與工具等多個維度協(xié)同推進標(biāo)準(zhǔn)實施，切實提升智能網(wǎng)聯(lián)汽車的信息安全防護能力，推動我國汽車產(chǎn)業(yè)邁向安全、可信、可持續(xù)的新階段。