随着智能汽车产业驶入发展快车道，“数据安全”的重要性也日益突出。2020年以来发现的针对整车企业、车联网信息服务提供商等相关企业的恶意攻击达到280余万次。2023年初至今，就发生超过20起与车企相关数据泄露事件，汽车数据安全的现状不容乐观。
在消费市场层面，2023年广州车展期间的一项调研显示，43%的用户会把信息安全/隐私安全纳入了购车的首要考虑因素。在政策层面，2023年7月，《汽车整车信息安全技术要求》等四项“强标”也完成征集意见稿，即将进入正式发布。数据安全，成为智能网联汽车发展的“压舱石”。
2024年1月16日，中国电动汽车百人会联合腾讯云发布《智能网联汽车数据安全年度洞察（2023）-企业免疫力建设》报告，调研了十余家汽车主机厂商及安全厂商，对汽车行业在边界安全、端点安全、应用开发安全、安全运营、数据安全治理几个维度上进行了考察，结果显示，车企在车端安全上普遍达到了较高水位，而在数据安全治理（数据分类分级、数据加解密、防泄露等）上则面临较大的挑战。
当日活动现场，由邀请到中国法学会网络与信息法学研究会常务副秘书长、《人工智能示范法》首席专家周辉，蔚来数据合规及反垄断法务负责人王诗笋，星纪魅族集团数据合规执行总监朱玲凤，腾讯智慧出行解决方案总经理姚振，腾讯安全数据安全产品总监徐展等专家及企业代表，由21世纪经济报道合规科技新闻部副主任王俊担任主持，围绕“强标发布在即，汽车数据安全挑战与应对”主题展开对话。
王俊：车企的数据安全一般分为哪几个维度？在企业管理层面的维度是什么样的，实操层面又应该如何“庖丁解牛”分拆成几个关键板块？
徐展：从车企包括车联网对于数据安全的分类，一个是车辆本身的数据安全，还有涉及到车和人之间的交互，还有涉及到车辆服务平台和云端，包括基础设施服务平台相关安全。涉及到人的方面，一个是涉及到本身车辆用户、车辆驾驶者、车辆乘用者和车辆和外界人员的交互，这些都涉及到类似于图像视频这些数据安全。
第二个是公民个人数据能够识别个人唯独识别的信息，包括人脸、声音、图像视频等等。
第三个是车企本身整体车辆从设计到车辆制造、销售到服务，整体涉及到汽车制造全生命周期的设计主力，这也是相当于对企业内部生产的数据管理。
朱玲凤：落实到实践的时候，我们会考虑分域的方式，这个好处在于每个都是有对应分工的，管理体系上的责任可以落实到部门和落实到人的。分域的情况下，可以很清晰的梳理出来数据的流向，车外的数据原则上只能在车里，不能出车，在我们的视角来看数据安全既要高，也要细，落实到每一条条款在既有技术、架构设计、产品交互以及到所有代码层面都需要做到全面合规的落地。
王诗笋：现在智能网联汽车在车交付后，整体的数字化生活才刚刚开始。基于这些特点，我们看的整体数据合规在车企其实是三位一体三个特点相结合，是一个法律、技术和管理学相融合的更上层是管理学的科学。关键点我们认为还是要尊重安全与发展并重，在企业最上层的意识是一个自上而下的管理行为，以及要根据不同监管的侧重点以及有前瞻性的设计。
周辉：未来在车上不单单是为了体验一个驾驶，围绕车可以开展更多的业务和生活方式的创新。
车和一般的笔记本、手机这种设备不一样，它在整个社会公共空间里面可能不单单是对车内乘客和驾驶人的权益会产生影响，甚至会因为汽车采集数据方式的不同，也会影响社会安全乃至国家安全，这些东西都是车企整体考量数据安全的时候做一个整体考量的角度。
王俊：第二个问题是“强标”的发布，如何看待这样一些标准的发布对于行业的意义，以及对于汽车哪些细分领域影响会很大？企业对此有没有展开一些相应的准备工作？
姚振：中国在标准这块相比于欧洲和美国整体来说是经历了一个从学习、模仿、超越的过程，现在从《个保法》来说，相比欧洲的GDPR和美国的法规已经是更严格了，中国还有一个特殊的要求就是自然资源部对于地理信息的要求，我们都需要对这些数据进行一些合规的处理、脱敏，包括数据不能出域，有非常细的要求。
我们发现国内外的自动驾驶这两年出了有一些安全事件，但是数据泄露事件大部分还是发生在平台，发生在车端的相对来说比较少的，一方面因为中国在快速发展过程中政策的稳定性，当然也包括整体来说大家的研发团队比较卷。
徐展：现在国家对于网联车的强四条落地，也是参照了科恩研究员介绍的欧盟R155和R156两个欧盟标准，目前国内已经向国际上标准看齐了，我相信在未来国内相关的法规标准也会比目前国际上在行的标准更完善。
王俊：第三个问题，中国有什么特殊的交通道路特色和研发环境，对于汽车安全有什么特殊的合规要求和挑战？尤其是对比欧盟和美国来看。
姚振：中国的政策最大的区别就是因为自然资源部针对于道路的法规，自动驾驶我们知道在欧美国家大部分以视觉为主，因为道路信息比较简单，在中国不管如何，只要采集道路数据肯定是受自然资源部的监管，从自动驾驶的采集到标注、编译等等过程中，每个环节监管都非常严格，因为自然资源部有单独一套合规要求。
因此我们在两年前腾讯在上海松江包括张家口建了合规数据处理中心，包括跟蔚来也有合作数据怎么在专区合规处理。我们跟一些主机厂也在探讨怎么把TSP这块的业务做了合规，以应对草案变成强规以后，怎么更加合理合规。
王俊：做技术的对于法律的理解是非常深刻的，我们看到蔚来也有跨国影响，肯定对这样一个全球的数据合规也有自己的体验，诗笋谈一下你的看法。
王诗笋：对于我们来说未来出海是一个行业的必然选择。从我们数据合规的维度来看全球的特点，我们发现有一个区别的，比如说欧盟大家看到的GDPR，就是以隐私来驱动的，其实中国的智能网联汽车，我们考虑整体底层的安全以及智能网联汽车更进一步发展会不会影响公共安全、国家安全，在一个数据主权国家安全的维度做一个底层的设计。之所以有这样的不同，其实就对我们车企在各个法域底层的设计以及配备的资源会有不同。
周辉：在这样一个情况下面，其实整个合规的环境不能只看行政的角度，要看整个法治环境特别是进入到司法环境下带来的成本会是什么样子，中国过去一年汽车出口量已经走到了世界榜首。这么大的一个生产规模，是不是主要遵循中国的标准，还是说按照其它国家和地区的标准，这方面可能需要在座的一起努力，首先把中国的标准变成一个更加合理、更加科学的标准。
未来我们在汽车这样一个未来新市场，特别智能互联的背景下，是不是也可以在这方面做出中国新的突破和贡献，也是一个期待。
王俊：第四个问题，目前数据安全合规工作最大的挑战是什么？如何做好数据安全和合规，企业在这方面有哪些措施和沉淀？
姚振：这个问题角度出发，核心还是怎么把握用户的体验、成本和合规三者的平衡，我们一直说想做成合规是非常容易的，但是如果做的特别合规，要么是用户体验不好，要么是造成了成本批量上涨。
我们跟蔚来合作也是有这种体验，如果全用私有云，费用非常高，我们怎么平衡好，这个其实是非常难的。只是说把互联网隔离了，这样成本相对低一些，车端的成本也在逐渐的走向算力一体化，把智驾智舱等等这些算力融合在一起，这样的话就能更弹性。
王诗笋：我们企业面临的以及业内面临的也是一个平衡的问题，一个平衡在于在一个不确定的国际环境和监管下，我们的平衡。另一个是发展与安全之间的平衡，落到实处就是说产品创新性和安全成本怎么平衡的。我们跟腾讯合作，走到下一个阶段会发展成什么样的形态，对我们来说也很重要。
朱玲凤：我做汽车行业的数据合规的感受应该会更明显一点，怎么用原来我们已知的数据合规的经验，这是我认为数据合规的做的时候很大的难点，国内的发展远超于海外的智能座舱这部分的发展，像国外哪怕是谷歌的操作系统，其实也没有更新几个版本，但是其中很多权限的问题、权限的机制和国内的解决方案产生了完全不一样的东西，再加上刚刚提到的AI能力上车，大模型加入，对自动驾驶做可能会发生技术上的变革，也许技术和新的合规思路和方法能给我们解决当前可能解决不了的问题。
徐展：现在其实国内的法律都是刚刚开始出，可能不太健全，合规应该是底线，大家应该持续把这个事情做好。我们过了合规以后相应也会有年审和复审，这些都是持续把一件工作做好，或者说把安全事情做好的基础保证。
王俊：2023年广州国际车展开幕前有媒体发出一项随机调研，调研显示43%的用户将信息安全纳入了购买智能汽车的首要考虑因素。不知道各位老师如何看待这样一个情况以及如何理解信息安全、数据安全在未来智能网联汽车领域的一个价值？
王诗笋：车从百年来说，其实实现的基本功能就是安全的把你从A地带到B地，可靠对于人直接的感受就是说这辆车是可控的。
对于我们这样一个国际化的车企来说，走出去不是说营销卖点是什么，可能是想如果从尊重基本规律、尊重国际规律的出发点来说，我们首先应该看到什么，所以说安全和隐私一直放在首位。
姚振：之前一直说汽车是一个大手机，我是不赞成这种说法的，其实车的目的主要还是驾驶从A点到B点，而不是娱乐，这个过程中怎么把娱乐做好，我认为是比手机更难的，至少在L4全面到来之前怎么把这个过渡期做好，要把合规放在整体大的汽车行业用户体验上，这个话题其实比手机的移动互联网更大。
徐展：我觉得其实国人对关于个人隐私的重视也是属于国内公民对于个人包括名誉权、肖像权更高层次的认知，对于这个1情况，车企首先要重视这方面的东西，做车并不是像过去做一个传统汽车，传统汽车其实数据和车辆本身有一定的交互，对于现在的网联车的数据是实时往后端回传的，现在对于个人用户来讲更希望交互信息是受控的，对自己是有益的。
当前，车、路、云、网、图协同发展，信息安全更逐渐成为智能汽车发展的决胜关键。数据安全、信息安全正成为影响消费者购车决策的重要因子，也是车企智能化竞争新的分水岭。汽车是国民经济支柱产业，规范汽车数据安全、促进汽车产业又快又好地实现数字化转型，将有效拉动产业高质量发展。
本文源自：浪潮新闻
原文始发于微信公众号（个人信息与数据保护实务评论）：2024年汽车行业展望：汽车数据安全面临新挑战
