汽車企業(yè)數(shù)據(jù)安全管理體系要求（編制說(shuō)明）

1、項(xiàng)目立項(xiàng)背景1）行業(yè)迫切需求：近年汽車的智能化、網(wǎng)聯(lián)化程度不斷加深，車輛在行駛過(guò)程中采集、使用和產(chǎn)生大量數(shù)據(jù)，并通過(guò)車聯(lián)網(wǎng)發(fā)送這些數(shù)據(jù)至智能網(wǎng)聯(lián)汽車生產(chǎn)和服務(wù)運(yùn)營(yíng)廠商進(jìn)行存儲(chǔ)、使用等。智能網(wǎng)聯(lián)汽車生產(chǎn)和服務(wù)運(yùn)營(yíng)廠商作為汽車數(shù)據(jù)處理者，掌握著大量數(shù)據(jù)資產(chǎn)，一旦安全管理不當(dāng)，發(fā)生濫用、泄露等危害數(shù)據(jù)安全的情形，會(huì)對(duì)用戶個(gè)人利益、相關(guān)組織利益、公眾利益、甚至國(guó)家利益產(chǎn)生不良影響。2）監(jiān)管明確規(guī)范：工信部發(fā)布的《工業(yè)和信息化部關(guān)于加強(qiáng)智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見》和《工業(yè)和信息化部關(guān)于加強(qiáng)車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全工作的通知》中對(duì)智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)以及車聯(lián)網(wǎng)服務(wù)提供商分別提出“建立健全汽車數(shù)據(jù)安全管理體系”的要求。3）盡快填補(bǔ)空白：現(xiàn)階段尚無(wú)針對(duì)汽車行業(yè)數(shù)據(jù)安全管理體系的要求標(biāo)準(zhǔn)發(fā)布。相關(guān)國(guó)家標(biāo)準(zhǔn)仍處于起草階段，距離發(fā)布尚需較長(zhǎng)時(shí)間。2、計(jì)劃任務(wù)編號(hào)2023-63上海機(jī)動(dòng)車檢測(cè)認(rèn)證技術(shù)研究中心有限公司：標(biāo)準(zhǔn)編制工作組牽頭單位，全面負(fù)責(zé)標(biāo)準(zhǔn)項(xiàng)目的立項(xiàng)、標(biāo)準(zhǔn)文本以及編制說(shuō)明的編寫、標(biāo)準(zhǔn)編制工作的組織及協(xié)調(diào)等工作。北京賽西科技與發(fā)展有限責(zé)任公司：標(biāo)準(zhǔn)編制工作組重點(diǎn)參與單位，全面參與標(biāo)準(zhǔn)文本的編寫。其他對(duì)于標(biāo)準(zhǔn)編制有重要貢獻(xiàn)的單位包括（不分先后比亞迪汽車工業(yè)有限公司、北京市競(jìng)天公誠(chéng)律師事務(wù)所上海分所、東風(fēng)汽車集團(tuán)有限公司技術(shù)中心、廣汽研究院、一汽大眾、吉利汽車研究院（寧波）有限公司、上汽通用五菱汽車股份有限公司、合眾新能源、騰訊云計(jì)算（北京）有限責(zé)任公司、云從科技集團(tuán)股份有限公司、上海富數(shù)科技有限公司。2022年11~12月，上海機(jī)動(dòng)車檢測(cè)認(rèn)證技術(shù)研究中心有限公司組織數(shù)據(jù)安全工作人員對(duì)于國(guó)內(nèi)汽車數(shù)據(jù)安全管理體系情況進(jìn)行了調(diào)研。2023年3月，上海機(jī)動(dòng)車檢測(cè)認(rèn)證技術(shù)研究中心有限公司與北京賽西科技與發(fā)展有限責(zé)任公司共同成立核心工作組，對(duì)標(biāo)準(zhǔn)的方向、框架進(jìn)行了確定，并初步編制了框架性草案。2023年4月，上海機(jī)動(dòng)車檢測(cè)認(rèn)證技術(shù)研究中心有限公司組織召開線上專家立項(xiàng)評(píng)審會(huì)議。會(huì)上專家認(rèn)為：1)目前行業(yè)內(nèi)尚未有成熟的國(guó)標(biāo)、行標(biāo)可供企業(yè)使用，汽標(biāo)委雖有相關(guān)國(guó)標(biāo)起草計(jì)劃，但國(guó)標(biāo)整體流程較長(zhǎng)，行業(yè)急需該領(lǐng)域共識(shí)的形成，因此建議團(tuán)標(biāo)先行，為后續(xù)國(guó)標(biāo)要求的編制奠定基礎(chǔ)；2)標(biāo)準(zhǔn)牽頭單位具備數(shù)據(jù)安全管理體系建立的實(shí)際經(jīng)驗(yàn)，是第三方機(jī)構(gòu)，滿足牽頭標(biāo)準(zhǔn)制定的基本條件；3)本標(biāo)準(zhǔn)的編制，能有效支撐主管部門后續(xù)行業(yè)管理工作，同時(shí)能夠給予企業(yè)數(shù)據(jù)安全管理工作的有效指導(dǎo)；4)建議標(biāo)準(zhǔn)制定過(guò)程中多吸納整車企業(yè)參與，多與企業(yè)已有體系相結(jié)合，著重在標(biāo)準(zhǔn)的可操作性。整體同意立項(xiàng)。2023年5月，上海機(jī)動(dòng)車檢測(cè)認(rèn)證技術(shù)研究中心有限公司召集整體工作組第一次會(huì)議，會(huì)議介紹了標(biāo)準(zhǔn)的初步方向與框架，并獲得了各參與單位的確認(rèn)和同意。針對(duì)具體條款內(nèi)容，采取了組內(nèi)征求意見的形式征集工作組內(nèi)各成員單位意見，并于5月底完成了工作組內(nèi)88條詳細(xì)意見的匯總。經(jīng)過(guò)細(xì)致分析與非會(huì)議形式溝通，上海機(jī)動(dòng)車檢測(cè)認(rèn)證技術(shù)研究中心有限公司于6月8日完成88條組內(nèi)意見的溝通與回復(fù)，其中采納54條、部分采納6條、不采納28條。同時(shí)召集全體成員單位再次確認(rèn)，并針對(duì)以下意見較多的重點(diǎn)問題進(jìn)行了具體溝通并達(dá)成一致意見：1)數(shù)據(jù)操作日志記錄的保存時(shí)限：原要求為在技術(shù)條件允許的情形下保存2年；成員單位提出此要求過(guò)于模糊，且可以參照《網(wǎng)絡(luò)安全法》第21條（三）的要求。因此修改為最低保存不少于6個(gè)月時(shí)間（公開征求意見稿8.1.6）。2)數(shù)據(jù)提供和委托處理的義務(wù)責(zé)任：根據(jù)《個(gè)保法》內(nèi)容，刪除了原有的“共享”概念；同時(shí)，成員單位提出，參考《個(gè)保法》中針對(duì)個(gè)人信息提供和委托處理兩種情形下的義務(wù)責(zé)任模型、并考慮到數(shù)據(jù)提供方無(wú)法持續(xù)對(duì)數(shù)據(jù)接收方保留約束能力，應(yīng)不要求數(shù)據(jù)提供方持續(xù)監(jiān)督和定期審計(jì)數(shù)據(jù)接收方數(shù)據(jù)安全保障能力（公開征求意見稿8.93)產(chǎn)品開發(fā)階段的數(shù)據(jù)安全過(guò)程保障：成員單位提出，在產(chǎn)品開發(fā)過(guò)程中，應(yīng)當(dāng)針對(duì)數(shù)據(jù)安全保障的嵌入進(jìn)行具體的要求，因此在原草案的基礎(chǔ)上進(jìn)一步明確應(yīng)在產(chǎn)品開發(fā)啟動(dòng)前，結(jié)合數(shù)據(jù)安全目標(biāo)和相關(guān)法律法規(guī)標(biāo)準(zhǔn)要求進(jìn)行產(chǎn)品數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估。相關(guān)評(píng)估結(jié)果應(yīng)上報(bào)至數(shù)據(jù)安全管理負(fù)責(zé)人，并形成數(shù)據(jù)安全風(fēng)險(xiǎn)處置方案；風(fēng)險(xiǎn)處置方案應(yīng)依照組織內(nèi)部新產(chǎn)品開發(fā)流程要求的形式形成文件化信息，并向產(chǎn)品設(shè)計(jì)開發(fā)團(tuán)隊(duì)進(jìn)行有效傳遞（公開征求1、標(biāo)準(zhǔn)編制原則1）規(guī)范性原則：本標(biāo)準(zhǔn)按照GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第一部分：標(biāo)準(zhǔn)的結(jié)構(gòu)和編寫》的規(guī)定和要求編制，在標(biāo)準(zhǔn)框架、結(jié)構(gòu)和內(nèi)容等方面符合要求。2）科學(xué)實(shí)用原則：標(biāo)準(zhǔn)內(nèi)容全面，采納多方面實(shí)際經(jīng)驗(yàn)，適應(yīng)汽車企業(yè)數(shù)據(jù)安全的實(shí)際管理需要。2、主要內(nèi)容介紹標(biāo)準(zhǔn)主要針對(duì)汽車企業(yè)數(shù)據(jù)安全管理體系提出相關(guān)要求。標(biāo)準(zhǔn)整體框架基于先行數(shù)據(jù)安全法律、法規(guī)和標(biāo)準(zhǔn)的內(nèi)容進(jìn)行確定，并充分參考GB/T22080-2016/ISO/IEC27001:2013要求。主要包括以下幾個(gè)模塊的內(nèi)容：1）內(nèi)外部環(huán)境確認(rèn)：本標(biāo)準(zhǔn)參照GB/T22080-2016及其對(duì)應(yīng)ISO標(biāo)準(zhǔn)（ISO27001-2013以涉及數(shù)據(jù)安全管理的組織的最高管理層為體系建設(shè)的發(fā)起者。在此前提下，標(biāo)準(zhǔn)本章節(jié)首先要求汽車數(shù)據(jù)處理者的最高管理層提出對(duì)于數(shù)據(jù)安全管理體系預(yù)期達(dá)到的目標(biāo)，然后根據(jù)提出的目標(biāo)識(shí)別相關(guān)的內(nèi)外部影響因素（例如內(nèi)部組織機(jī)構(gòu)設(shè)置、人力技術(shù)資源情形、行業(yè)最佳實(shí)踐等）。同時(shí)，最高管理層應(yīng)識(shí)別確認(rèn)數(shù)據(jù)安全管理的相關(guān)實(shí)體，以及其具體的需求。在綜合考慮內(nèi)外部影響因素和相關(guān)實(shí)體具體需求的情況下，最高管理層應(yīng)對(duì)汽車數(shù)據(jù)安全管理體系的范圍進(jìn)行劃定。2）最高管理層：在數(shù)據(jù)安全管理體系劃定完成之后，要求汽車數(shù)據(jù)處理者履行其領(lǐng)導(dǎo)職責(zé)，通過(guò)一系列承諾來(lái)自上而下地推動(dòng)體系建設(shè)和落實(shí)。同時(shí)，要求以正式文件形式來(lái)將這種承諾正式化并在汽車數(shù)據(jù)處理者內(nèi)部進(jìn)行充分傳播溝通。3）汽車數(shù)據(jù)安全管理組織：在體系范圍劃定之后，要求汽車數(shù)據(jù)處理者建立相應(yīng)的數(shù)據(jù)安全管理組織架構(gòu)，并符合一系列強(qiáng)制性要求。至此，汽車數(shù)據(jù)處理者內(nèi)部正式建立汽車數(shù)據(jù)安全管理組織。為了保證組織內(nèi)各項(xiàng)具體活動(dòng)有效開展，要求分解高層級(jí)目標(biāo)形成具體的工作計(jì)劃。4）管理制度：前期規(guī)劃與準(zhǔn)備工作完成后，要求以規(guī)章制度的形式正式對(duì)于數(shù)據(jù)安全管理的活動(dòng)進(jìn)行規(guī)范。根據(jù)法律法規(guī)要求，包括：數(shù)據(jù)分級(jí)分類、全生命周期管理、數(shù)據(jù)訪問權(quán)限管理、數(shù)據(jù)安全用戶反饋及投訴管理、產(chǎn)品數(shù)據(jù)安全管理、數(shù)據(jù)安全運(yùn)營(yíng)管理、數(shù)據(jù)安全風(fēng)險(xiǎn)管理、數(shù)據(jù)出境安全管理、數(shù)據(jù)提供、數(shù)據(jù)安全審計(jì)、數(shù)據(jù)加密和數(shù)據(jù)安全文化建設(shè)等。5）支持性措施：提出了數(shù)據(jù)安全管理體系正常運(yùn)轉(zhuǎn)在資源、人員能力、人員意識(shí)、文件管控等支持性方面需要滿足的要求。6）體系運(yùn)行：要求當(dāng)具體制度制定完成后，對(duì)于其規(guī)范的機(jī)制和流程進(jìn)行規(guī)劃和控制，從而確保其有效運(yùn)行。同時(shí)，在機(jī)制和流程運(yùn)行的過(guò)程當(dāng)中，進(jìn)行相應(yīng)的數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估和處置。7）體系各環(huán)節(jié)效果評(píng)價(jià)：要求為了保障整個(gè)體系的有效運(yùn)行，建立相應(yīng)的監(jiān)測(cè)、分析和評(píng)價(jià)機(jī)制，并對(duì)實(shí)際執(zhí)行的記錄進(jìn)行審計(jì)。在結(jié)合監(jiān)測(cè)、分析、評(píng)價(jià)結(jié)果以及審計(jì)結(jié)果的情況下，由最高管理層對(duì)于整個(gè)數(shù)據(jù)安全管理體系的運(yùn)行效果進(jìn)行評(píng)審，從而發(fā)現(xiàn)整個(gè)體系的不足之處。8）進(jìn)一步改進(jìn)：在發(fā)現(xiàn)整個(gè)體系的不足之處后，要求組織進(jìn)行相應(yīng)的整改和持續(xù)本標(biāo)準(zhǔn)在制定過(guò)程中主要參照ISO/IEC27001:2013中對(duì)于體系規(guī)劃、檢查和執(zhí)行階段的要求，編制了內(nèi)外部環(huán)境確認(rèn)、最高管理層背書、執(zhí)行性組織搭建、支持性措施、體系運(yùn)行保障、體系效果評(píng)價(jià)和進(jìn)一步改進(jìn)的相關(guān)內(nèi)容。本標(biāo)準(zhǔn)在ISO/IEC27001:2013的體系框架基礎(chǔ)上，對(duì)國(guó)內(nèi)適用的數(shù)據(jù)安全法律、法規(guī)和標(biāo)準(zhǔn)內(nèi)容進(jìn)行整合與協(xié)調(diào)。在已發(fā)布的數(shù)據(jù)安全相關(guān)規(guī)定之外，本標(biāo)準(zhǔn)還結(jié)合最佳實(shí)踐對(duì)數(shù)據(jù)安全管理手段進(jìn)行了更深入的探索。其中較為重要的如下所示：重要內(nèi)容對(duì)應(yīng)章節(jié)詳解環(huán)境、最高管理層、汽車數(shù)據(jù)安全管理組織、主要參照GB/T22080-2016內(nèi)容進(jìn)行編制，同《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》的相進(jìn)一步改進(jìn)關(guān)要求要求建立數(shù)據(jù)資產(chǎn)管理8.1.2根據(jù)企業(yè)最佳實(shí)踐的反饋，結(jié)合智能網(wǎng)聯(lián)汽車準(zhǔn)入等其他相關(guān)要求，認(rèn)為建立數(shù)據(jù)資產(chǎn)的管理臺(tái)賬更有利于企業(yè)統(tǒng)籌管理數(shù)據(jù)資產(chǎn)。汽車數(shù)據(jù)安全管理組織應(yīng)加強(qiáng)對(duì)重要數(shù)據(jù)、個(gè)人信息等數(shù)據(jù)的全生命周期保護(hù)，應(yīng)留存至少6個(gè)月的數(shù)據(jù)操作日志記錄。8.1.6主要參考了《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理數(shù)據(jù)安全審計(jì)和追溯的需求，針對(duì)云平臺(tái)的數(shù)據(jù)相關(guān)操作進(jìn)行記錄并規(guī)定日志留存時(shí)限；相關(guān)時(shí)限在組內(nèi)征求意見過(guò)程中改為“至少6個(gè)數(shù)據(jù)全生命周期管理8.2主要參考GB/T35273-2020，GB/T41871-2022和GB/T41479-2022的要求；進(jìn)行了整合和統(tǒng)一。至少在產(chǎn)品開發(fā)啟動(dòng)前進(jìn)行產(chǎn)品數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估。相關(guān)評(píng)估結(jié)果應(yīng)上報(bào)至數(shù)據(jù)安全管理負(fù)責(zé)人，并形成數(shù)據(jù)安全風(fēng)險(xiǎn)處置方案；風(fēng)險(xiǎn)處置方案應(yīng)依照組織內(nèi)部新產(chǎn)品開發(fā)流程要求的形式形成文件化信息，并向產(chǎn)品設(shè)計(jì)開發(fā)團(tuán)隊(duì)進(jìn)行有效傳遞8.5參考?xì)W盟個(gè)人信息保護(hù)的'Privacybydesignanddefault'倡議，認(rèn)為在產(chǎn)品生命周期當(dāng)中（特別是概念開發(fā)階段）嵌入數(shù)據(jù)安全內(nèi)容，從而高效、嚴(yán)謹(jǐn)?shù)貙?shí)現(xiàn)產(chǎn)品端的數(shù)據(jù)安全合規(guī)對(duì)受托方數(shù)據(jù)安全保障能力持續(xù)監(jiān)督和定期審計(jì)的機(jī)制8.9.4參考《個(gè)保法》