在今年7月19日由福特汉姆大学（Fordham University）举行的2022年网络安全国际会议上，跨国科技公司的高层再次强调了网络安全行业中透明度的问题。行业不断反复强调、提醒世界网络攻击的危险性，旨在告诉人们网络攻击的影响之大、攻击方法之多，为那些处于风险中的部门起到警示作用。

如今，随着新技术的迅速发展，汽车与外界的互联程度也在不断增加，汽车受到网络攻击的风险也在增加。很多新车型都具备的新功能，如车载娱乐系统，能控制家庭电器的网联系统，都有可能成为网络攻击的对象。互联与自动驾驶车辆（CAV）和高级驾驶辅助系统（ADAS）等技术也为道路安全带来了作用和影响。保证终端消费者汽车网络安全的信息透明度，让他们清楚地了解自己的汽车是否安全，这是网络安全生态系统的关键因素。此前PC杂志发起的一项问卷调查显示，45%的消费者称其最为担忧自动驾驶汽车的安全问题和技术故障问题，其次便是汽车油耗成本和黑客攻击问题，比率分别为16%和15%。20多年前，第一套汽车安全评价体系发布时，消费者并不关心安全气囊、ABS系统或任何其他安全措施。而30年后的今天，没有消费者敢买不配备安全气囊的汽车。如今时机已到，需要在汽车生态系统中创建汽车网络安全评价体系。然而，网络安全评价体系可能比汽车安全评价体系涉及的内容复杂得多。如今，保险公司对汽车安全相关的几类调查包括：

除了未列出的几类情况以外，上述大多数情况可以由独立于整车厂或汽车制造商的第三方测试员或审核员测试。此外，在大部分情况下，测试结果在产品的大部分生命周期内都有效，且各个环节相互关联。也就是说，一辆汽车的安全评分（如安全气囊、ABS系统等安全措施）在汽车的整个生命周期内大多不会改变。然而，有一项评分是可能改变的——网络安全评分。计算网络安全评分的方法相当复杂，并且有其他方面的要求。

“适应力路线图”的草案中强调了得出安全评分所需的两个主要安全因素：1. 安全评估（风险审计）2. 汽车全生命周期的安全管理（持续进行风险评估和事故处理）风险审计和风险评估是保险界的基础。任何行业的公司要购买网络安全保险时，首先需要进行风险审计。这包括填写一份调查问卷，向保险公司提供有关公司整体安全态势的信息，并允许保险公司评估公司内部的保护和安全水平。如果保额足够高，保险公司就会要求进行更彻底的调查，确保充分了解所需信息，精确评估公司的潜在网络安全风险。计算出公司的安全态势风险后，就会生成一份条例清晰的保险单。客户以后要求续保时，就需要报告任何与最初的调查表内容偏差或变化，此外还有在保期间发生的事故及其影响。有时，公司甚至需要重新填写问卷。这样，保险公司就可以重新进行风险评估，设定相应的保费及保险范围。汽车网络安全的问题就在于，风险审计与风险评估标准与汽车安全的其他方面非常不同：1. 测试（风险审计） — 现在的汽车由复杂网络构成，有时连接到多达200个ECU，其中还不包括汽车制造商的投入。如果进行像传统安全评估那样的彻底评估，即独立进行五次整车测试，会非常昂贵且耗时。此外，由于网络攻击十分复杂，可能无法将评估汽车网络安全水平所需的渗透测试标准化，因为每辆车的表现都不一样。2. 时效性（持续风险评估） — 即使审计员能够彻底进行风险评估，并为某一辆车生成足够详细的报告，其结果也可能在汽车出厂后的几年、几个月甚至几天后过时。一辆车的网络安全态势是非常不稳定的，可能在发现严重漏洞之后恶化。相反，也可能在某次重大安全更新后得到改善。考虑到车辆的寿命，第一次评估对于整个汽车生命周期来说意义不大。如何在汽车的整个生命周期内重新评估安全态势呢？这是否可行？

如果要顺利地在汽车生命周期内进行风险审计和风险评估，需要做两件事：1. 整车厂必须提高其汽车模型的可视性，包括软硬件物料清单，车型架构和拓扑模型。这样，风险审计和风险评估才能得以进行。2. 整车厂及其合作伙伴（保险公司、认证机构等）必须找到能够分享部分数据或结论的方法。目前，这两项要求并没有大规模达成。整车厂很难改善汽车模型的可视性，而且在产品的整个生命周期内，整车厂与合作伙伴之间在网络安全方面缺乏透明度。审计者和被审计者站在天平的两端。顺利实施网络安全评分标准无疑是汽车行业和消费者的共同目标。如果我们想要实现这个目标，就需要找到一种方法，让双方在互不损害对方利益的情况下合作，为消费者提供尽可能准确的评分。

版权声明：本文来源今日头条，内容仅供参考，不代表本站观点，如侵权请告知删除！