8家车企免责安全漏洞被点名 汽车数字安全须强化企业主体责任

近日，江苏省消费者权益保护委员会发布了《新能源汽车行业不公平格式条款调查报告》（以下简称《报告》），指出共有8家新能源车企在网络安全漏洞等方面存在不公平格式条款问题，免责条款过宽，加重消费者的责任和义务。

三六零天枢智库安全专家对此表示，在智能化、网联化已成为汽车未来发展的必然趋势下，汽车作为最重视安全的行业，其数字安全隐患不断显现，网络攻击事件也越来越多，因此车企更需要高度重视数字安全，承担其数字安全方面的相关主体责任，来保障新能源车及司乘人员在行驶过程中的生命及财产安全。

称网络安全漏洞“不可抗” 8家新能源车企被点名

《网络安全法》规定，网络运营者有履行安全保护的义务，应采取相应技术措施。但《报告》指出，8家车企约定此情形下不承担任何责任。

针对于部分车企把网络安全漏洞当作“不可抗力”的行为，江苏省消费者权益保护委员会表示，网络安全漏洞是可以防范的，并不是“不可抗”。例如，一直致力于推动国内外车联网产业创新和安全发展的360 Sky-Go安全团队，此前就曾披露并协助某国际知名品牌汽车修复19个安全漏洞，获得了该品牌汽车的官方肯定。

江苏省消保委公益律师团律师、江苏致邦律师事务所律师夏磊对此认为，不可抗力是指不能预见、不能避免、并不能克服的客观情况。黑客攻击是车企在正常运营中应该预见的，纳入到不可抗力，不符合法律规定，对消费者不公平。

事实上，在车联网和“软件定义汽车”的发展趋势下，以新能源汽车面临的安全问题日益复杂，并且有爆发增长的趋势。 Upstream发布的《全球汽车网络安全报告》显示，与2018年相比，2021年公开报道的针对汽车的攻击事件数量增长了225％。

据360车联网安全实验室统计，国内25家车企的53款在售智能网联汽车中，360公司共计发现漏洞1600余个，其中云端漏洞1000余个，可导致攻击者远程批量控制该品牌所有的智能网联汽车；车端漏洞600余个，可导致攻击者近距离非接触式控制汽车，如开关车门、启动引擎等。

为确保新能源汽车网络安全漏洞的“可防可控”，360创始人周鸿祎曾在今年提出建议，建立智能网联汽车“数字空间碰撞测试”机制和相关标准，规范汽车安全漏洞的上报行为，打造以安全大脑为核心的智能网联汽车行业态势感知体系，来确保智能网联汽车持续保持良好的数字安全状态。

汽车网络威胁加剧360车联网安全框架护航行业安全

另一个事实是，在计算机安全、网络安全升级为数字安全的趋势下，新能源汽车面临的网络威胁甚至会成为危及国家安全的重要突破口。

国家计算机网络与信息安全管理中心专家此前在接受媒体采访时表示，一方面，新能源汽车面临大规模网络恶意控制风险，黑客可以通过获取平台权限或者劫持通信链路、进而对大规模车辆同步实施网络恶意控制的风险，造成难以想象的灾难。另一方面，新能源汽车作为交通关键信息基础设施的神经中枢，如果受到恶意攻击，则会导致交通设施大范围功能瘫痪，极大地破坏交通关键信息基础设施正常运行。

对此国家也高度重视新能源汽车行业的数字安全问题。去年8月，工信部发布《关于加强智能网联汽车生产企业及产品准入管理的意见》，要强化企业主体责任，加强汽车数据安全、网络安全、软件升级、功能安全和预期功能安全管理；今年3月，工信部印发《车联网网络安全和数据安全标准体系建设指南》，为车联网产业安全健康发展提供支撑。

作为全球最大的数字安全公司，360也积极参与新能源车行业的数字安全建设工作，不但参加了30多个车联网网络安全标准制定，将自身在汽车网络安全方面的领先优势标准化，快速提升行业的安全技术能力，同时还推出了360云端安全大脑为核心的车联网安全框架，以安全大数据分析为基础，利用威胁情报订阅、知识库、安全专家等关键能力赋能于车企，进一步提升了车企对安全威胁的检测发现能力。

此外，360还依托本地安全大脑构筑车企安全基础设施，帮助车企完善车辆出厂前后的车联网安全检测和实时检测，做到威胁的可感、可视、可追踪，保证终端用户的安全。