网络安全信息共享法案

国外篇
通用网络安全方面，美国走得最为领先，通过对立法工作的加强，使信息安全保障能力得到进一步
提高。2015 年发布的《网络安全信息共享法案》（Cybersecurity Infor
mation Sharing Act of 2015）是最为重要的法案之一，也是美国第一部综合性的网络安全法
案。在自动驾驶信息安全方面，美国众议院于2017 年 9 月通过《自动驾驶法案》（H.R.3388 (115th): SELFDRIVE Act，全称《确保车辆演化的未来部
署和研究安全法案》Safely Ensuring Lives Future Deployment and Research In Vehicle Evolution
Act ）。该法案首次从联邦层面进行“强制性”规制，成为美国首个针对启动驾驶汽车的全国性法律。《自动驾
驶法案》要求美国交通运输部道路交通安全管理局（NHTSA）完善自动驾驶汽车各个零部件细分领域的安
全标准，其中包括网络安全要求等基本元素，安全标准和范围需定期审查和更新。2020 年 1 月，美国交通
运输部和总统新政办公室科技政策办公室联合发布《自动驾驶系统 4.0：确保美国自动驾驶领先地位》。
一是积极投资自动驾驶相关领域，其中包括安全和网络安全，促进创新成果转化。二是政府积极开展各种
监管、非监管活动，促进自动驾驶技术安全且充分应用于交通运输系统。2021 年 1 月，《现代车辆安全性的
网络安全最佳实践》（Cybersecurity Best Practices for the Safety of Modern Vehicles）草案征求公
众意见。新版《最佳实践》保持非约束性和自愿性，体现与国际汽车工程师学会（SAE）、国际标准化组织
（ISO）等行业组织制定的关键措施保持一致。《最佳实践》提出专门针对影响机动车在设计、运营、维护和
处置的整个生命周期内安全性（safety）和网络安全（cybersecurity）问题，反映了需要将网络安全考虑纳
入整个软件供应链以及整个软件系统开发、实施和更新的生命周期管理过程中的考虑。同时反映包括
OTA、加密方法、构建网络安全渗透测试和诊断方面能力相关的新知识。
欧洲现行关于网络安全、信息安全和数据保护等法律在很大程度上可以用于智能网联汽车领域。
2016 年 7 月，欧盟正式通过首部网络安全法《网络与信息 系统安全指令》（NISD），此法致力于在欧盟范
围内实现统一、高水平的网络与信息系统安全，明确了欧盟关于网络安全的顶层制度设计，该法案包括确
立网络安全国家战略，强调多方合作与参与，确立网络安全事故与信息分享机制等。2018 年 5 月，欧盟《一
般数据保护条例》正式生效，“条例”定义了了数据的处理基本原则和基本权利义务框架。由于现代智能汽
车运行期间涉及大量的数据处理，因此车联网产业链上的企业也必须符合 GDPR 的要求，也是欧盟智能
网联汽车关于数据保护最主要的法律基础和合规要求。在数据处理方面，GDPR 规定了六大基本原则，包
括合法、完整性和保密性原则、公平和透明原则、存储限制原则、数据最小化原则、目的限制原则、以及准确
性原则，同时设置了完整的权利义务框架，扩大数据主体权利，强化数据控制者和处理者的责任，将欧盟的
个人数据保护提升到了新的高度。2019 年 6 月，确立了第一份欧盟范围内的网络安全认证计划的欧盟《网
络安全法案》（EU Cybersecurity Act）正式生效。法案将欧盟网络和信息安全署（ENISA）指定为永久性
的欧盟网络安全机构，并要求 ENISA 根据实际需求或建议，建立欧盟层级的 ICT 产品和服务网络安全认
证制度，ICT 行业可利用该机制认证联网汽车、智能家居、智能医疗设备等产品。作为本法案的特色制度，通
用的网络安全认证框架能够使欧盟成员国更容易开发具有互操作性的产品，提高用户对相关产品的信任，
促进包括智能汽车在内的智能设备的消费和使用。

参考资料

智能网联汽车信息安全研究报告

友情链接

GB-T 15851.3-2018 信息技术 安全技术 带消息恢复的数字签名方案 第3部分：基于离散对数的机制