【摘要】本文围绕数字车钥匙领域的发展现状，从信息安全建设的角度，剖析当下车联网安全建设存在的误区及潜在安全隐患。旨在建立全面的信息安全概念，推动车联网信息安全建设健康、有序发展。

数字化革命正在给汽车行业带来深刻变革。传统用车体验在不断地被数字化新业务替代，其中数字车钥匙就是一个典型的代表。基于不同近场通信技术(如NFC、蓝牙)或者生物识别技术的数字车钥匙业务正在以各种形式（如手机、可穿戴设备、NFC卡片）不断在市场上涌现。Technavio*预测到2020年，全球数字车钥匙市场会增长11%，同比实现193万辆车增长。

在国内，数字车钥匙业务建设也正在如火如荼地进行中，笔者有幸深度参与了大多数汽车厂商的数字车钥匙项目规划。在这一过程中，让笔者感受颇深的一点就是整个行业在这一业务规划时对信息安全的高度重视；对“信息安全是数字车钥匙建设的基础”这一理念有高度统一的认知。这为刚刚起步的车辆网信息安全产业的发展无疑提供了良好的基础。

但与此同时，也不得不承认由于专业的局限性和传统汽车行业在信息安全工程建设方面的经验不足，以及车联网信息安全建设还在起步阶段，整个行业对于信息安全建设还存在一些误区。笔者愿借此文抛砖引玉，就观察到的一些现象做一个总结并与业内专家分享，以期引起大家关注和讨论,并借此呼吁行业内各方携起手来，共同推动车联网信息安全建设健康、有序发展。

误区一：重方案设计，轻方案实施

当前市场主流的数字车钥匙方案在设计方面基本上都已从云、管、端入手，非常完善的考虑了通信传输的安全、通信实体间的双向认证、业务逻辑的安全设计、关键敏感数据、指令的安全保护等。
对于车内安全防护，汽车厂商尤为重视，绝大多数厂商会采用国际专业机构（如CC）评估和认证过的安全芯片来保护数字钥匙核心业务逻辑及安全资产。尽管如此，他们仍不免对成本感到“心疼”，更有被“劣币”驱逐的担忧。这是因为市场上有少数厂商出于专业局限或者成本考量，倾向采用低成本实施方案。这少部分厂商把信息安全等同于 “加解密”能力，认为只要能实现“加密”就是安全的，而对加解密载体是否具备足够安全等级抵御攻击这一点认知不足，从而倾向于使用通用MCU软件实现防护或者没有安全等级评定的加解密模块/芯片进行所谓的车内信息安全防护。

完善的安全设计只是良好的开端，但实施不当，仍会为未来埋下不可弥补的安全隐患。

他山之石可攻玉，金融支付行业在信息安全方面有非常成熟的经验可以汲取，比如已建立的规范标准、对安全芯片/模块的强制使用要求以及认证机制等都值得汽车行业学习借鉴。汽车行业也应从根本上建立本行业的信息安全标准、制度及认证机制。汽车厂商有“规”可循，就不再迷茫；也不再会因为增加了安全实施的成本而有“吃亏”的感觉。

误区二：重视“技术”安全，忽视“管理”安全

严谨的安全设计加上正确的安全载体是否就意味着业务安全了呢？答案显然是否定的。俗话说“三分技术、七分管理”，这确实是当前汽车厂商在考核供应商能力时最容易忽略的一点：重视考察供应商的技术开发能力、方案设计能力，却忽视供应商开发过程中的安全管理能力。而这恰恰是数字车钥匙供应商最应具备的基本资质。

汽车厂商选择方案供应商时，可以参照ISO270001标准，关注该企业整体的信息安全管理能力，重点考察供应商：

● 是否建立了公司宏观层面的安全策略、信息安全管理方针

Ÿ● 是否建立了信息安全管理组织体系，内部持续开展和控制信息安全的实施能力

Ÿ● 是否有完善的安全资产管理制度，确保安全信息资产受到适当保护

● 是否有员工安全管理制定，以减少人为差错、盗窃、欺诈或误用信息的风险

● 是否有物理安全的开发环境，以防止信息资产的丢失，损坏或被盗，以及对企业业务的干扰。

物理环境安全，对绝大多数汽车厂商而言还是一个陌生的概念，是整个行业的短板。安全敏感代码开发，尤其是车内安全业务代码是需要在安全的物理环境中进行的。比如汽车厂商可考察其供应商是否具备国际组织CC认证过的安全研发场所，以保证开发过程在可靠的代码安全管控机制下、安全的研发环境中进行。这样才能确保交付的代码安全，不会因人为因素导致代码泄露等不可控的安全风险。

误区三：安全生产管控意识有待提高

生产环节实现数字车钥匙业务的敏感业务代码灌装、安全资产（秘钥、证书等）注入是信息安全防护的非常关键的一步，而这恰恰可能成为信息安全防护最薄弱的环节。当前大多数传统汽车零部件供应商工厂还不具备完善信息安全管理体系（比如符合IS0270001的标准），换言之还不具备安全生产的资质。大部分汽车厂商受限于经验不足，缺乏足够的管控意识和管控手段，很容易把关注重点放在生产流程设计上，而忽略了安全生产的重要性。

面向未来，汽车行业应逐步建立对汽车零部件企业工厂的安全考评体系、安全认证机制/许可机制。作为一个短期的手段，汽车厂商可以通过考察供应商是否具备等效的其他行业的安全生产经验及资质来保障这一环节的信息安全。比如考察工厂是否有金融领域数据安全生产资质、其他行业权威机构认证等，从而降低管理风险。

误区四：安全运营管理能力有待提升

业务上线运营后的持续安全运营管理是目前绝大多数汽车厂商容易忽视的一面。有的汽车厂商认为一次性建设完成，后期即可高枕无忧，却忽略了信息安全建设是一个业务生命周期内需要持续维护、更新、改进的过程。绝大多数汽车厂商处于有心无力的局面，现实的组织架构、业务划分、人员设置还无力支撑一个完整的信息安全管理及运营体系。
在这种情况下，许多汽车厂商倾向于把责任完全划归给技术方案供应商，而忽略自身在运营过程的安全管理职责。但是笔者坚信，随着汽车行业信息安全能力的整体提升，这一局面终会得到改善。

结束语：

数字车钥匙信息安全建设不是一个“点”，而是一个“面”，是一个体系：它贯穿于方案设计、产品研发、工程实施、安全生产、业务运营整个业务的生命周期。忽视其中的任何一个安全环节都可能危及整体业务的安全。

信息安全建设永远在路上，是一个持续地、长期建设、终身维护的过程，绝不是一劳永逸的工作。这一方面要求技术方案本身要有突发安全事故的应对设计、动态地长期安全管理设计；另一方面要求供应商具备参照ISO22301标准的业务连续性管理能力。当然汽车厂商也应提高自身的安全管理水平，不断地完善信息安全管理体系。

囿于当前行业内信息安全供应商能力良莠不齐、汽车厂商的成本压力等多重因素的影响，完善的、体系化的、持续的信息安全建设依然道阻且长，但是笔者坚信随着行业整体认知水平的提升、汽车厂商和供应商共同不懈努力，这一目标终究会实现。