汽标委智能网联汽车分标委：2021年汽车信息安全风险评估标准需求研究报告（51页）.pdf

1、汽车信息安全风险评估标准需求研究报告汽标委智能网联汽车分标委汽车信息安全标准工作组2021 年 7 月汽标委智能网联汽车分标委I目录1 研究背景及意义.11.1 研究背景.11.1.1汽车信息安全问题凸显.11.1.2整车风险评估的重要性.21.2 研究意义.32 信息安全风险评估方法.42.1 传统 IT 风险评估.52.1.1概述.52.1.2评估方法.52.2 EVITA 风险评估.142.2.1概述.142.2.2评估方法.142.3 HEAVENS 风险评估.202.3.1概述.202.3.2评估方法.212.4 基于 ISO 21434 的风险评估.262.4.1 概述.262.4

2、.2 评估方法.273汽车信息安全风险评估实践.353.1 自动紧急刹车系统案例.353.2 汽车网关案例.39汽标委智能网联汽车分标委II4结论及建议.46汽标委智能网联汽车分标委III前前言言伴随汽车网联化、智能化趋势，汽车信息安全已成为保障车辆行驶安全的重要问题。开展信息安全风险评估分析作为“防患于未然”的重要方式，引导企业采用风险评估的方式，对防护对象的“可用性”、“保密性”、“完整性”及车辆的“攻击可行性”等进行分析，最终确定其风险等级，发现并解决潜在安全问题。因此，如何有效开展汽车信息安全风险评估成为各家汽车企业保障信息安全的首要工作。本文件将为汽车整车企业、零部件供应商、第三方评

3、估机构等开展汽车信息安全风险评估工作提供指导依据。组组织织指指导导：汽标委智能网联汽车分标委。牵牵头头单单位位：中国软件评测中心（工业和信息化部软件与集成电路促进中心），中国汽车技术研究中心有限公司。参参与与单单位位：国汽（北京）智能网联汽车研究院有限公司，东风汽车集团有限公司技术中心，东风商用车有限公司，上汽集团股份有限公司，中国第一汽车股份有限公司，大众汽车（中国）投资有限公司，北京航空航天大学，博世汽车部件（苏州）有限公司，中国信息通信研究院，沃尔沃汽车技术(上海)有限公司，广东为辰信息科技有限公司。参参与与人人员员：郭盈，张亚楠，宋娟，孙航，朱科屹，王海均，李宝田，赵浩，刘书勇，陈彦，

4、杨洋，李红波，李木犀，赵闻，冀浩杰，郑亮，张宁，张成鑫，贾晓红。汽标委智能网联汽车分标委11 研研究究背背景景及及意意义义1.1研研究究背背景景1.1.1 汽汽车车信信息息安安全全问问题题凸凸显显智能网联汽车的发展带来了信息安全问题，不同于传统的主动安全和被动安全，汽车信息安全问题一旦爆发，轻则造成驾乘人员隐私泄露、财产安全，重则危及到社会稳定、国家安全。因此，不解决汽车信息安全问题，智能网联汽车未来将无法上路。国家高度重视智能网联汽车信息安全问题。我国将汽车信息安全上升为国家网络安全的重要组成部分，高度重视信息安全带来的风险，加快推进智能网联汽车信息安全技术的研发及应用、建立标准法规、制定相

5、应的测试规范，有效实现多部门的协同机制，实现全方位的安全防护。2020 年 2 月，国家发改委、中央网信办、科技部、工信部、公安部、交通部等 11 个部委为顺应新一轮科技革命和产品变革趋势，抓住产业智能化发展战略机遇，加快推进智能汽车创新发展，联合印发了智能汽车创新发展战略。战略提出，到 2025 年，中国标准智能汽车的技术创新、产业生态、基础设施、法规标准、产品监管和网络安全体系基本形成。汽车企业日益认识到汽车信息安全的重要性，并加快推动智能网联汽车网络安全技术能力建设。汽车企业加强对网络加密技术、可信计算等网络传输安全技术、针对智能网联汽车终端设备的认证机制的研究，确保终端设备的可信性，避

6、免未经认证的终端设备连入智能网联汽车，对汽车造成安全威胁。汽标委智能网联汽车分标委21.1.2 整整车车风风险险评评估估的的重重要要性性随着智能汽车智能网联汽车的迅猛发展，信息安全问题也日益凸显。汽车智能化、网联化在带来节约能源、减少排放、提高驾驶体验等效益的同时，也面临信息泄露、非法入侵、非法远程控制等信息安全风险，对给汽车产业健康发展带来巨大的挑战。智能网联汽车融合了汽车技术和网络通信技术，打破了原本汽车系统内部相对独立的网络状态。这种融合，使得汽车成为网络空间的节点，进而产生了新的安全风险。近年来，越来越多的汽车厂商和零部件供应商开始重视关注汽车信息安全问题，积极布局汽车信息安全领域开展