近期，网络安全的话题成为焦点，国家相关监管部门动作不断。7月10日，国家网信办就《网络安全审查办法(修订草案征求意见稿)》公开征求意见;7月12日，工信部官网发布《网络安全产业高质量发展三年行动计划(2021-2023年)(征求意见稿)》，向社会公开征求意见及建议。
在汽车领域，网络安全的重要性也在日益凸显，尤其在智能网联汽车发展方面，政府正积极统筹数据安全保护的建设，相关的意见稿纷纷出台。5月12日，网信办发布了《汽车数据安全管理若干规定(征求意见稿)》;6月21日，工信部就《车联网(智能网联汽车)网络安全标准体系建设指南》公开征求意见，随后又发布《关于加强车联网(智能网联汽车)网络安全工作的通知(征求意见稿)》，在加强车联网网络安全防护、加强平台安全防护、加强数据安全、强化安全漏洞管理等方面均提出了要求。
巧的是，不久前，记者就曾与国汽智控(北京)科技有限公司(简称“国汽智控”)总经理兼首席技术官尚进博士深度交流了智能网联汽车网络安全方面的话题。尚进在网络安全领域经验丰富，不仅拥有清华大学汽车工程系本硕博学位和南加州大学计算机硕士学位，更有近20年的硅谷高科技公司研发和管理的实战经验，是网络安全领域资深的专家。如今他从信息安全行业跨界转型到汽车领域，把在ICT(信息和通信技术)行业的深刻理解注入汽车，拥有许多新鲜且极具价值的思路和方法。记者在此将尚进对智能网联汽车网络信息安全、自动驾驶计算基础平台、数据安全行业新规等方面的理解进行梳理呈现，希望对读者带来启发。
《中国汽车报》：如何理解网络信息安全?ICT行业的网络安全管理对汽车行业有何借鉴?
尚进：信息安全或者说网络安全是一个大产业。我是4年前从网络安全行业转到智能汽车行业，此前我在硅谷的高科技公司从业近20年。30年前，我们这批清华毕业留美的第一代人很多都成为了硅谷的工程师，而且许多人都从事网络信息安全相关的研发工作。值得骄傲的是，如今在网络安全设备领域基本都是中国人的天下。这是一个大的背景。
我认为，在网络安全管理方面，ICT行业与智能家居、智能网联汽车行业有很多相似性。比如都要打造设备级产品并在其上加入大数据、云计算等，并由之产生一些网络安全功能，目的是将产品打造得实时、可靠。所以，从宏观上讲，许多思路和观点是相通的。网络安全是一个成熟产业，网络的攻击和防护是人与人的争斗，也将一直持续下去。做好网络安全管理，有几个基本的观点。
首先，网络安全是个体系，或者说是生态。所谓生态，就是有攻也有防，也有查漏补缺以及应急响应，而不仅仅是简单的某个点。
其次，网络安全圈有句行话叫“不知攻焉知防”。攻击和防护是不同思路、不同体系。攻是广泛寻找、分析和尝试漏洞;防是根据防护对象、功能来建立防护体系和架构。所以，攻击和防护是两种不同的思维和体系，不能因为某个攻击的案例就将攻击与防护划等号。
再者，网络安全防护是个永无休止的工作，是永远做不完的。对手的能力在增长，我们作为防守方也要不断增长能力，所以信息安全防护是项长期的工作。
回到汽车的网络安全来说，汽车与ICT有很强的相似性，所以ICT行业对汽车行业而言有一定借鉴意义。我认为，汽车行业应该借鉴ICT行业发展近30年来建立起的信息安全防护体系和生态，也就是说车要做边界，做处理器防护。无论车内通讯、车外通讯、安全服务(包括云安全、手机安全、应急响应等)，这些都不是从天而降的，而是从信息产业多年来积累的经验和体系移植过来的，是有成熟技术可以借鉴的。但也有一部分是要融合创新的，这部分需要我们来发力。
这里有个值得关注的点是，汽车与ICT设备也有不同之处，即对于汽车而言，主机厂不会为了某个虚无缥缈的事情去增加成本，车一定有网络安全的需求，但是没有人会为此买单。从另一个角度来说，黑客也是讲究成本的，一般不会去做为了操控车辆而造成人员伤亡的事情。从这个意义上说，网络安全防护一定是有优先级的，因为其有成本的要求。
《中国汽车报》：智能网联汽车的网络信息安全需要做什么工作?
尚进：我有几点理解。第一，智能网联汽车是需要网络安全防护的，因为其代码很多，难免会有漏洞;对外提供的服务很多，外部可以对其访问，攻击的可能性也因此增大;还有就是智能网联汽车能够提供数据，有数据就有价值。传统的汽车并不存在这些问题，原来对于黑客来说，攻击汽车是件很丢人的事情，就像一个大人欺负小孩，根本没有攻击的必要;但是智能网联汽车出现后情况就不一样了，其软件和对外服务都增多了，自然会产生许多吸引人攻击的东西。所以说智能网联汽车的信息安全防护很有必要性，“没有网络安全就没有国家安全”，对于我们而言，没有网络安全就没有智能网联汽车安全。
第二，智能网联汽车的网络安全防护首要做的是围绕计算平台。原因很简单，因为智能网联汽车有代码、有服务、有数据，这三个点刚好集中在计算平台。所谓计算平台就是为自动驾驶功能开发的控制器，是车辆内计算力最大的，也是上面软件最多的平台。传统车辆软件是很简单也很难有漏洞的，而自动驾驶的软件则需要提供一大堆服务以及开源代码，所有的数据汇聚于此，也因此有很大价值以及有漏洞风险。因此，智能网联汽车首要的防护是要针对计算平台。
第三，智能网联汽车所要做的融合创新或者说融合防护功能主要在于自动驾驶安全和数据安全。自动驾驶安全很容易理解，数据安全则包括数据隐私保护和数据价值安全。数据隐私安全是指你有权知道谁使用了你的个人数据，并有权决定是否允许使用，这是个管理问题，可以做到可审计可追踪;数据价值安全则不仅仅是个管理问题，而是信息安全防护问题。智能网联汽车的融合创新比较有挑战的是自动驾驶安全和数据安全防护。
第四，做好自动驾驶安全和数据安全防护一定是围绕自动驾驶操作系统。自动驾驶汽车系统是覆盖了包括自动驾驶数据的整个生命周期和数据流，所以自动驾驶安全一定是与自动驾驶操作系统耦合的。汽车的数据安全与PC和数据安全最大的不同在于，汽车收集的数据在上传过程中可能经过多次变形，进而成为离散结构，所以对于汽车数据安全而言很重要的就是要对数据的全生命周期进行管控，即数据安全防护要与自动驾驶操作系统达到强耦合。
应该说，自动驾驶是风口，但网络安全永远不会是风口。没有网络安全不能实现自动驾驶，这是有道理的;但也不能因为网络安全的问题就不让自动驾驶上车，那会阻止人类科技进步的步伐。所以我们说，网络安全防护要跟上自动驾驶的发展。自动驾驶安全和网络安全一定是与自动驾驶操作系统深度耦合的。
《中国汽车报》：国汽智控在推进网络信息安全管理方面有哪些优势?
尚进：信息安全是智能网联汽车领域的底线和核心要素。近期，国家有关部门在逐步加强对智能汽车数据的监管，推动建立智能网联汽车安全健康发展的良性生态。我们认为运行操作系统的计算平台是智能汽车信息安全防护的重点，构建车载智能计算基础平台功能安全方案是推动智能网联汽车发展的关键。
在汽车网络安全、信息安全方面，国汽智控提出了明确的保障方案。第一，建立符合智能网联汽车数据特征的数据管理规则以及多级权限管理，比如基于地理信息、传感器等;第二，建立数据在自动驾驶操作系统内全生命周期的管理，如数据分类、标识、追踪等，以达到全生命周期的管控;第三，建立围绕计算平台的信息安全防护体系，防止数据泄露等网络安全问题。通过这三方面，实现对数据隐私保护，以及数据信息安全防护。
《中国汽车报》：请分享国汽智控的发展思路以及近期的工作进展。
尚进：操作系统和计算平台作为智能网联汽车发展过程中关键的“卡脖子”难题，一定要实现完全自主可控。国外先进企业依托先发优势，深度融合ICT和车辆工程等交叉技术，已取得技术和市场的“双领先”优势。对于我国汽车产业而言，加快打造计算基础平台产品及其生态，不仅关乎核心技术和产业安全，也有助于把握智能汽车这一全新产业带来的发展主动权。
内置基础平台1.0的试验车
智能汽车操作系统的自主可控开发，需要研究具有本地属性的“中国方案”。国汽智控所做的，就是通过一套平台化的软硬件基础产品，以硬件、系统操作、应用开发的生态，帮助主机厂实现自动驾驶功能的高效定制开发，以快速响应市场环境变化，迎接竞争对手带来的挑战。
计算基础平台是智能汽车最核心的新型增量零部件，是兼顾市场亟需与国家监管的“软硬”一体的高科技产品。国汽智控定位Tier1.5，向上支持主机厂的智能驾驶应用自定义，向下集成和整合Tier2的资源。我们不做成熟产业链的自主成熟产品，如果有成熟产品我们更乐意合作共赢。无论芯片硬件厂商还是软件及算法模块厂商，只要是能够满足主机厂需求、有市场竞争力的自主可控成熟产品，都可以成为生态伙伴中的一员。
截至目前，国汽智控已与宇通、比亚迪等主机厂签署面向量产的联合开发合同，并与长城、潍柴、广汽、长安、智己汽车进入商业合同洽谈阶段，东风、北汽、吉利、一汽红旗处于实质沟通阶段。国汽智控的硬件已经跟华为、地平线、黑芝麻等展开合作，统一OS覆盖主流自主可控芯片提供商，同时与智能驾驶算法及应用开发等供应商签订战略合作协议，开展更广泛的合作。
这里还要跟大家分享一个好消息，国汽智控已于今年完成近亿元天使轮融资，Pre-A轮融资也于近日完成，融资金额几个亿。接下来，我们将继续发挥“国家队”的优势，赋能智能汽车及生态融合平台，推动形成智能网联汽车的中国标准、中国方案。
营业执照公示信息