【51CTO.com原創(chuàng)稿件】2020年全國兩會正在進行中，全國政協(xié)委員、啟明星辰信息技術(shù)集團股份有限公司首席執(zhí)行官嚴望佳提交了7份提案，涉及網(wǎng)絡(luò)安全和環(huán)保兩個方向。其中2份提案關(guān)于網(wǎng)絡(luò)安全：《關(guān)于推動人工智能賦能工業(yè)互聯(lián)網(wǎng)安全發(fā)展的提案》、《關(guān)于推進智能車聯(lián)網(wǎng)安全風險評估的提案》。

[[327848]]

全國政協(xié)委員、啟明星辰信息技術(shù)集團股份有限公司首席執(zhí)行官嚴望佳

在《關(guān)于推動人工智能賦能工業(yè)互聯(lián)網(wǎng)安全發(fā)展的提案》中，嚴望佳建議，應(yīng)在大力推動工業(yè)互聯(lián)網(wǎng)技術(shù)應(yīng)用部署的同時，注重與之相匹配的網(wǎng)絡(luò)安全防御保障技術(shù)的研發(fā)，推動人工智能賦能工業(yè)互聯(lián)網(wǎng)安全發(fā)展，以進一步加強對工業(yè)互聯(lián)網(wǎng)的安全保障。

在《關(guān)于推進智能車聯(lián)網(wǎng)安全風險評估的提案》中，嚴望佳表示，一旦隨著智能網(wǎng)聯(lián)汽車的普及，缺乏相關(guān)的評估檢測措施及防護手段，后果不堪設(shè)想。因此，她建議針對智能車聯(lián)網(wǎng)進行常態(tài)化信息安全風險評估和車輛信息安全檢測分析，保護智能車聯(lián)網(wǎng)及交通安全，并給出了七點具體建議。

下面，讓我們一起來看看這兩個提案的具體內(nèi)容。

關(guān)于推動人工智能賦能工業(yè)互聯(lián)網(wǎng)安全發(fā)展的提案

◆工業(yè)互聯(lián)網(wǎng)存在的三大安全難題

近年來，我國工業(yè)互聯(lián)網(wǎng)發(fā)展迅速。工業(yè)互聯(lián)網(wǎng)中快速產(chǎn)生積累大數(shù)據(jù)，成為人工智能技術(shù)應(yīng)用的天然平臺，因此人工智能賦能工業(yè)互聯(lián)網(wǎng)必將不斷發(fā)展。與此同時，工業(yè)互聯(lián)網(wǎng)中的安全相關(guān)數(shù)據(jù)也持續(xù)快速產(chǎn)生積累，因此應(yīng)當也積極推動人工智能賦能工業(yè)互聯(lián)網(wǎng)安全，正如網(wǎng)絡(luò)安全與信息化是一體之兩翼、驅(qū)動之雙輪，在工業(yè)互聯(lián)網(wǎng)智能化發(fā)展的同時必須同步推進人工智能賦能工業(yè)互聯(lián)網(wǎng)安全。

當前工業(yè)互聯(lián)網(wǎng)的安全狀況，主要存在如下一些問題：

首先，傳統(tǒng)工業(yè)網(wǎng)絡(luò)以工業(yè)控制、生產(chǎn)運營為核心(即OT網(wǎng)絡(luò))，對網(wǎng)絡(luò)安全重視不足，在向工業(yè)互聯(lián)網(wǎng)演進的過程中需要與IT網(wǎng)絡(luò)相融合，后者引入的復雜網(wǎng)絡(luò)安全問題給前者帶來了極大的安全威脅與風險。這其中涉及到不同領(lǐng)域的多項技術(shù)，再加上人工智能技術(shù)的引入，僅僅依靠某個領(lǐng)域的專家無法提出適用的安全防護解決方案。

第二，工業(yè)互聯(lián)網(wǎng)中設(shè)備、平臺、網(wǎng)絡(luò)類型繁多，受攻擊面廣，存在各式各樣的安全威脅，漏洞與脆弱性管理面臨巨大挑戰(zhàn)。同時，工業(yè)互聯(lián)網(wǎng)中快速產(chǎn)生積累的大數(shù)據(jù)為惡意行為提供了潛藏空間。大數(shù)據(jù)給實時的分析處理帶來了很大困難，攻擊者可以將其惡意行為藏匿起來，從而躲避檢測達成攻擊目標。

第三，工業(yè)互聯(lián)網(wǎng)中廣泛采用多種新一代信息技術(shù)，包括IPv6、5G、物聯(lián)網(wǎng)、人工智能等，這其中也包含著安全風險隱患。這些新技術(shù)及其應(yīng)用所帶來的安全風險較難控制，其中可能潛伏著各種0day漏洞，而現(xiàn)有的安全防御技術(shù)往往是“落后一步”的，無法時刻緊跟新技術(shù)發(fā)展的步伐，從而給惡意攻擊者留下可乘之機。

◆建議用人工智能賦能工業(yè)互聯(lián)網(wǎng)安全

在此背景下，嚴望佳認為，為了進一步加強對工業(yè)互聯(lián)網(wǎng)的安全保障，確保其成為驅(qū)動工業(yè)生產(chǎn)發(fā)展和社會價值提升的可靠力量，應(yīng)在大力推動工業(yè)互聯(lián)網(wǎng)技術(shù)應(yīng)用部署的同時，注重與之相匹配的網(wǎng)絡(luò)安全防御保障技術(shù)的研發(fā)，推動人工智能賦能工業(yè)互聯(lián)網(wǎng)安全發(fā)展。因此，她建議：

首先，引導成立聯(lián)合實驗室促進技術(shù)研究與復合型人才培養(yǎng)。

工業(yè)互聯(lián)網(wǎng)中工業(yè)技術(shù)與信息技術(shù)深度交叉融合，其中很多網(wǎng)絡(luò)安全問題是OT網(wǎng)絡(luò)與IT網(wǎng)絡(luò)相融合所帶來的。要研究針對性的人工智能賦能工業(yè)互聯(lián)網(wǎng)安全技術(shù)，必須對具體應(yīng)用場景有深入全面的了解，這就需要聯(lián)合工業(yè)生產(chǎn)企業(yè)、網(wǎng)絡(luò)安全企業(yè)以及相關(guān)科研院所等一起開展研究。因此，應(yīng)當引導激勵成立多方參與的聯(lián)合實驗室，構(gòu)建工業(yè)場景的仿真環(huán)境以助力網(wǎng)絡(luò)安全問題的發(fā)現(xiàn)(如工控系統(tǒng)漏洞挖掘)及對網(wǎng)絡(luò)安全技術(shù)有效性的驗證;培養(yǎng)具備多元知識技能的復合型人才，促進技術(shù)融合創(chuàng)新探索。

其次，促進人工智能賦能工業(yè)互聯(lián)網(wǎng)安全實踐落地。

工業(yè)互聯(lián)網(wǎng)面臨的安全威脅多，受攻擊面廣，且涉及的數(shù)據(jù)規(guī)模大，現(xiàn)有安全防御體系難以應(yīng)對。同時，由于工業(yè)互聯(lián)網(wǎng)直接影響生產(chǎn)，應(yīng)避免采用掃描探測、滲透測試等主動式技術(shù)手段，而更適合基于網(wǎng)絡(luò)流量分析的被動式漏洞自動挖掘、惡意代碼檢測及異常行為發(fā)現(xiàn)等，人工智能技術(shù)對此可發(fā)揮極大助力。然而，由于缺乏真實數(shù)據(jù)支撐，研究、測試難度大。工信部建設(shè)的國家工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知與風險預警平臺在數(shù)據(jù)采集匯聚與分析預警方面邁出了一步，建議在此基礎(chǔ)上可再采取一些有力措施促進人工智能賦能工業(yè)互聯(lián)網(wǎng)安全的實踐，例如鼓勵相關(guān)數(shù)據(jù)共享供研究使用、設(shè)立實驗試點項目開展真實環(huán)境部署測試等。

第三，推動人工智能賦能工業(yè)互聯(lián)網(wǎng)安全可持續(xù)自適應(yīng)演進。

工業(yè)互聯(lián)網(wǎng)中采用的新一代信息技術(shù)對現(xiàn)有網(wǎng)絡(luò)安全防御體系帶來了重大挑戰(zhàn)。另一方面，隨著工業(yè)互聯(lián)網(wǎng)的智能化發(fā)展，攻擊者也將采用智能化手段，帶來新的威脅。人工智能技術(shù)可通過不斷從新數(shù)據(jù)中學習實現(xiàn)自動提升，而且可采用對抗式學習的方法持續(xù)增強能力，與惡意的人工智能應(yīng)用相對抗。因此，研究人工智能賦能工業(yè)互聯(lián)網(wǎng)安全，可實現(xiàn)網(wǎng)絡(luò)安全防御體系的可持續(xù)性自適應(yīng)演進。建議采取的措施包括：引導激勵人工智能賦能工業(yè)互聯(lián)網(wǎng)安全技術(shù)自主學習演進、對抗提升的研究，設(shè)立研究項目課題推進產(chǎn)學研合作攻關(guān)其中的關(guān)鍵技術(shù)問題等。

關(guān)于推進智能車聯(lián)網(wǎng)安全風險評估的提案

◆智能車聯(lián)網(wǎng)安全風險分析

隨著全球新一輪科技革命和產(chǎn)業(yè)變革，汽車與能源、交通、信息通信等領(lǐng)域加速融合，自動駕駛汽車、無人作業(yè)車等各類新型智能網(wǎng)聯(lián)汽車成為了產(chǎn)業(yè)融合創(chuàng)新的重要載體。其搭載的車載傳感器、控制器、執(zhí)行器等裝置，具備復雜環(huán)境感知、智能決策、協(xié)同控制等功能，在實現(xiàn)車與人、車、路、云端等智能信息交換、共享的同時，也帶來了巨大的信息安全風險和隱患。

智能網(wǎng)聯(lián)汽車按照系統(tǒng)架構(gòu)可以分為車載駕駛電子系統(tǒng)、車載輔助系統(tǒng)、移動互聯(lián)網(wǎng)、車路協(xié)同系統(tǒng)、云端服務(wù)系統(tǒng)。

車載電子系統(tǒng)由總線系統(tǒng)、數(shù)據(jù)交互核心系統(tǒng)、胎壓監(jiān)測系統(tǒng)等系統(tǒng)構(gòu)成。通過測試發(fā)現(xiàn)，目前僅有少量進口高端車型具有實用的控制系統(tǒng)保護機制。對于絕大多數(shù)的市面車型，如被入侵即可實現(xiàn)對車輛的遠程控制。

車載輔助系統(tǒng)包括車載娛樂系統(tǒng)和車載通訊系統(tǒng)，尤其是車載娛樂系統(tǒng)，一般被人所忽視。根據(jù)試驗證明，該系統(tǒng)不僅實際處理車輛駕駛?cè)藛T的大量隱私信息，而且部分車型還將其信息同步至國外云端服務(wù)系統(tǒng)。如車載輔助系統(tǒng)數(shù)據(jù)泄漏，將對個人隱私的保護產(chǎn)生巨大隱患。根據(jù)調(diào)查，目前國內(nèi)車型普遍對該信息缺乏保護。

車載通訊系統(tǒng)是智能網(wǎng)聯(lián)汽車最容易受到攻擊的系統(tǒng)之一，該系統(tǒng)承擔了智能網(wǎng)聯(lián)汽車對外通訊的功能。目前，對智能網(wǎng)聯(lián)汽車和傳統(tǒng)汽車的外部網(wǎng)絡(luò)攻擊大部分來自于該系統(tǒng)。該系統(tǒng)一般至少包括無線通訊模塊，通過無線信號的模擬，在實驗環(huán)境下目前已經(jīng)能夠?qū)崿F(xiàn)對大部分車型的門禁系統(tǒng)的入侵、對車輛對外通訊系統(tǒng)的干擾。

車路協(xié)同系統(tǒng)是各類無人車的核心系統(tǒng)，包括無人試驗車和無人出租車等車輛行駛的交通安全嚴重依賴于該系統(tǒng)。目前雖然業(yè)內(nèi)開發(fā)了大量該類系統(tǒng)，但車路協(xié)同技術(shù)仍然處于發(fā)展的初始階段。目前已經(jīng)發(fā)現(xiàn)包括多種國內(nèi)外同類系統(tǒng)存在視覺識別缺陷等缺陷，冒然投入實用可能產(chǎn)生巨大的安全風險。

移動互聯(lián)網(wǎng)是智能車聯(lián)網(wǎng)基礎(chǔ)技術(shù)之一，也是智能車聯(lián)網(wǎng)絡(luò)安全的核心。傳統(tǒng)的網(wǎng)絡(luò)攻擊手段對智能車聯(lián)網(wǎng)同樣有效。例如通過非法接入智能車聯(lián)網(wǎng)并對車載電子數(shù)據(jù)進行破壞、篡改，在車載娛樂系統(tǒng)中植入監(jiān)聽軟件進行監(jiān)聽，利用電子系統(tǒng)漏洞進行拒絕服務(wù)器攻擊癱瘓在高速行駛的車輛電子系統(tǒng)等。

總之，一旦隨著智能網(wǎng)聯(lián)汽車的普及，缺乏相關(guān)的評估檢測措施及防護手段，后果不堪設(shè)想。

◆建議加強智能車聯(lián)網(wǎng)信息安全風險評估和車輛信息安全檢測分析

基于此，嚴望佳建議，針對智能車聯(lián)網(wǎng)進行常態(tài)化信息安全風險評估和車輛信息安全檢測分析，保護智能車聯(lián)網(wǎng)及交通安全。具體如下：

1、建議相關(guān)單位啟動或加快完成包括智能網(wǎng)聯(lián)汽車信息安全通用技術(shù)、車載網(wǎng)關(guān)、車載娛樂系統(tǒng)、車載信息交互系統(tǒng)、汽車遠程管理與服務(wù)、智能網(wǎng)聯(lián)汽車云平臺等涉及智能網(wǎng)聯(lián)汽車和智能網(wǎng)聯(lián)汽車重要部件、車路協(xié)同系統(tǒng)、智能車聯(lián)網(wǎng)絡(luò)系統(tǒng)的信息安全標準制定;

2、建議在《機動車運行安全技術(shù)條件》中增加信息安全要求，明確智能網(wǎng)聯(lián)汽車、車輛輔助駕駛系統(tǒng)的信息安全風險評估要求和信息系統(tǒng)與數(shù)據(jù)安全要求;

3、建議要求對含有電子系統(tǒng)、尤其是具有操作系統(tǒng)的智能網(wǎng)聯(lián)汽車重要零部件進行銷售前進行信息安全檢測;

4、建議包括無人試驗車、無人出租車、低小慢速智能設(shè)備等智能網(wǎng)聯(lián)車和含有輔助駕駛功能傳統(tǒng)汽車、新能源汽車的在投入使用前必須進行全面的信息安全風險評估。評估內(nèi)容建議至少包括車載總線系統(tǒng)(CAN總線系統(tǒng))、車載核心交互系統(tǒng)(T-BOX系統(tǒng))、車載電子娛樂系統(tǒng)(IVI系統(tǒng))、車載智能天線、車載無線系統(tǒng)、車路協(xié)同系統(tǒng)、車-云交互系統(tǒng)、云端車輛服務(wù)系統(tǒng)(V2X系統(tǒng))等;

5、建議要求針對無人試驗車、無人出租車、低小慢速智能設(shè)備、電動車等智能網(wǎng)聯(lián)車建立常態(tài)化的信息安全檢測和評估機制。建議要求包括在車載電子系統(tǒng)或軟件出現(xiàn)重大版本變更或升級、云端服務(wù)系統(tǒng)出現(xiàn)重大版本變更或升級、惡意代碼或病毒爆發(fā)、車輛開始投入使用前、車輛年檢等情況下必須進行信息安全評估;

6、建議對全國在建或已建成的各無人車、智能網(wǎng)聯(lián)汽車、低小慢速智能設(shè)備的示范區(qū)及封閉型試驗區(qū)進行智能車聯(lián)網(wǎng)絡(luò)風險評估，并形成常態(tài)化評估機制;

7、建議針對目前國內(nèi)市場上所有的國外進口整車型號，根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》和《個人隱私保護條例》等法律條例進行全面信息安全風險評估，并根據(jù)法律要求將云端車輛服務(wù)系統(tǒng)遷移至中國境內(nèi)，以防止我國公民個人隱私信息的泄漏。

【51CTO原創(chuàng)稿件，合作站點轉(zhuǎn)載請注明原文作者和出處為51CTO.com】