2025年6月19日，在第四届中国车联网安全大会上，上研智联智能出行科技（上海）有限公司网络和数据安全总工程师潘政伟表示，企业需以法律法规标准为合规基础，紧密结合自身业务场景与战略规划，适配企业文化特点，构建可落地、可运行、可持续的数据安全制度体系。他强调，应围绕数据及处理活动，通过数据安全风险评估机制，帮助企业全面掌握安全现状，精准识别潜在隐患，并从管理与技术层面提出防护建议，切实提升数据防攻击、防破坏等综合防护能力。

作为专注智能网联、智慧交通领域的“国内领先、国际一流”第三方专业机构，上研智联以“智能网联汽车 - 智能交通 - 智慧出行”为技术主线，依托智能网联领域功能型平台优势，聚焦检测认证、技术服务、产品研发及政府智库服务，致力于打造国内领先的智能网联汽车创新服务平台。

潘政伟 | 上研智联智能出行科技（上海）有限公司网络和数据安全总工程师

以下为演讲内容整理：

法律法规&标准

上研智联成立于2018年，回溯至2019年，彼时国家已在数据跨境流动方面展开规划。当年在临港新片区选取了三家企业开展数据出境试点工作，我司受临港管委会委托，负责支撑此项工作。

由于试点需求，我们对企业内部数据字段进行了梳理，涉及近3000个字段，工作较为复杂。最终，在各方努力下，该试点工作顺利促成。此后，在数据跨境领域，相关工作得以逐步推进。目前，我司仍在支撑开展数据相关工作，包括合规云建设等。

在支撑上海地区安全工作方面，相关工作于2020年起步，至2021年全面展开。2020年，行业内开展了相关工作，我司参与其中，并将车联网企业纳入行动范畴。当时的工作重点聚焦于平台安全以及APP相关安全领域，未过多涉及车端安全。

2023年，辅助驾驶行业处于上升发展阶段，辅助驾驶相关安全工作被纳入整体安全工作体系。同年，结合工信部“筑网行动”，在上海地区开展了针对自动驾驶和车路协同两个赛道的专项演练。此次演练共有12家自动驾驶企业和6家车路协同企业参与。演练过程中发现，相关领域仍存在一些安全方面的问题。

在辅助驾驶企业产业链层面，存在不同的发展模式。部分辅助驾驶企业由主机厂主导，自行组织相关业务；另有一些企业则专注于提供自动驾驶解决方案，通过与主机厂合作，以购买车辆等方式开展业务。这些模式均涉及监管问题，当前面临产业链选择与权责划分的困境。

在权责归属方面，应明确是将责任赋予供应商，还是归于主机厂，这是当前亟待解决的问题。从监管角度来看，监管以结果为导向，关注最终呈现的结果。就目前监管思路而言，主机厂需承担相应责任，对供应商进行约束。

2021年被视为智能网联汽车及数据安全发展的元年。从标准发布情况来看，自2021年起，相关标准密集出台。例如，2021年发布、2022年5月1日实施的GB/T 8558、GB/T 857等非强制性标准，主要针对车载交互系统、网关以及远程通信等相关领域。

图源：演讲嘉宾素材

此后，行业头部企业参与推动了GB 9596等两项强制性标准的制定工作。近期又发布了关于汽车数据促进的指引文件。该指引对《汽车数据安全管理若干规定》中关于重要数据、敏感个人信息等内容进行了进一步落地与扩充，为行业发展提供了重要指导。

从法律法规层面分析，无论是产业界还是国家层面，均投入了大量精力，积极推动智能网联汽车产业的全面发展。

在合规层面，我们所遵循的是基础性规定。2016年我开始涉足智能网联汽车行业，彼时数据安全概念鲜少被提及。当时的数据安全工作主要围绕DRP展开，企业更多聚焦于保护自身内部数据，如车型设计、财务信息等。然而，如今行业已发生巨大变化，发展极为迅速。这种变化给行业带来了新的挑战。

数据安全建设实践

从下图可以看出，当前工作主要聚焦于响应合规要求，尚未达到行业所提及的60分或70分的更高标准。当前工作重点在于基本网络数据安全制度的建设，开展相关培训以及资质认证工作。此外，在今年工作任务中，还提及了数据成熟度模型认证的相关工作。

图源：演讲嘉宾素材

从端、管、云架构来看，在“端”侧，监管范畴不仅涵盖整车，还包括零部件、路侧设施等相关领域。此方面涉及合规检测，包括基于通告的基本检测以及更深层次的渗透测试。

在“管”侧，即通信层面，早期建设的核心系统为PKI/CA系统。该系统在身份认证与通信加密方面，最初借鉴了金融行业的经验，并结合汽车行业特性进行改造后实施。后续，国内率先开展了IDPS等相关工作，早在2019年，国内便已提出相关安全工作要求并着手推进。

自2021年起，车联网领域开始实施网络安全等级保护定期备案工作，该工作针对车联网企业展开。备案范围涵盖车联网企业的多个平台，包括信息服务平台、OTA平台、监管平台、运维平台，以及自动驾驶企业相关平台，还涉及地区性的区域监管平台等。

这些平台需开展合规性评估工作。以上海地区为例，相关工作推进较为领先。评估从物理安全、虚拟化安全、容器安全、数据库安全、业务层面安全以及数据安全等8个维度展开，进行了几十项基础测评。

数据安全是当前各企业及行业内高度关注的领域，在落地实施层面，相关指导标准尚需进一步细化，这也是业内普遍感到棘手的问题。当前，数据资产台账建设、数据分类分级工作已逐步推进，个人信息影响评估等相关工作也在开展。在数据安全检测方面，隐私标识的推行成效显著，在行业内引发较大反响。

生命周期安全维度，从监管角度来看，其更侧重于运维层面的工作。实际上，在生产之前，企业在概念设计、产品开发设计阶段已开展诸多工作，以及依据强制性标准开展整车相关工作。然而，监管更关注运维阶段的操作，要求企业建立日常检测机制，具备护网响应能力，并开展数据安全风险评估与应急响应工作。此外，定期备案也是监管的直接要求之一。

图源：演讲嘉宾素材

关于数据安全管理体系建设，当前，相关政策文件均将管理体系建设置于首位。车联网产业具有产业链长、部门间协调沟通难度大的特点，这在安全体系建设服务过程中体现得尤为明显。在推进数据安全管理体系落地时，沟通成本高昂，涉及IT合规等多个不同部门之间的协同合作。

在检查工作中，当前的一般思路是首先审视体系是否完善，例如是否涵盖了一至四级体系。检查的重点在于三级、四级体系的执行情况。以分类分级及应急演练为例，需核查相关规定的执行主体、实施频次等具体内容。同时，针对四级体系的落实情况，包括培训工作的开展方式与实施效果，也将纳入检查范畴。这也体现了制度体系建设后需持续更新完善的特性。

关于管理体系建设的整体思路与理念，特别是在自主企业建设试运行及实施落地阶段，需重点关注持续优化问题，以适应业务发展需求，并应对合规要求不断新增的内容。此外，需明确过程中的监控审计工作应由审计部门负责，并确保跟踪落实到位。在实施落地层面，需针对安全培训、风险评估、应急演练以及投诉举报等关键环节，制定具体的跟进措施与分析方法，确保各项工作的实际成效。

图源：演讲嘉宾素材

关于风险评估工作，目前仍遵循GB/T 39560（2024版）相关要求开展。该标准中明确规定了风险评估的方法与流程。今年，我们牵头编制了行业内的风险评估指导模板，供各单位参考使用。需特别注意的是，GB/T 39560（2024版）明确要求，在风险评估前期组建团队时，应纳入具备数据安全专业能力的人员参与，以确保评估工作的专业性与有效性。

图源：演讲嘉宾素材

此外，风险评估过程中还涉及合规性评审环节，需对多项内容进行必要性审查。在整体管理框架下，如前文所述的制度建设，以及专家所详细阐述的技术层面数据安全风险防护措施，均需与风险评估工作紧密结合。

关于整改与总结工作，其前提是依据特定的计算方式，对风险的可接受程度进行判定，并据此确定是否需要整改。整改完成后，需形成书面报告，以记录整改过程与结果。

关于数据出境合规路径，当前主要有两种合规途径，一是通过国家互联网信息办公室的申报流程，二是遵循自贸区的相关管理办法。

自贸区方面，临港新片区在数据出境合规领域处于领先地位，率先推出了正面清单制度，为数据出境提供了明确的指导。目前，北京地区已出台负面清单，而自贸区内的负面清单制度也已升级至2.0版本。临港新片区还开展了场景化试点工作，在先行先试方面走在前列。我们此前已牵头参与相关工作的推进，并取得了良好成效，现已加入相关工作组，积极参与数据出境合规实践。

网信办申报方面，该路径启动较早，主要依据个人信息出境标准合同等规定执行。针对个人信息数据出境，需首先评估适用情景是否符合豁免条件。同时，需准确识别重要数据及个人信息的量级，特别是敏感信息的数量，当达到一定数量时，需按照相关要求进行研判，确保数据出境的合规性。

公司简介

上研智联是一家专注智能网联、智慧交通技术服务、“国内领先、国际一流”的第三方专业机构。我们以技术创新和融合发展为驱动，专注于辅助驾驶、车联网、智慧交通领域的技术研究、检测认证、平台开发和咨询规划等，依托临港创新引领区建设，积极开展智能网联汽车和智慧交通相关领域技术服务和技术创新。

我们的战略为遵循1 条技术主线、构建1个平台优势、落实4 个业务支撑。主要是以“智能网联汽车-智能交通-智慧出行”为技术发展主线，筑牢智能网联领域功能型平台公司优势，专注于智能网联领域的检测认证、技术服务、产品研发和政府智库，建设国内领先的智能网联汽车创新服务平台。

图源：演讲嘉宾素材

未来思考展望

我们认为，未来法律法规层面，一是需要持续细化完善，从国内来看，目前已构建部门规章也对汽车数据处理活动进行了规范，未来这些法规将进一步细化；二是新兴场景技术覆盖，法规可能会对新兴场景和技术方案进行安全性评估，并建立相应的应对机制确保安全合规；三好似国际法规协同，应对各国可能通过多边或双边协议，减少车企面临的法规冲突。

行业标准层面，一是分类分级等统一深化，制定统一、细化的数据分类分级标准有助于企业更准确地落实数据安全措施，也便于监管部门进行监督管理；二是技术与措施更新，随着网络安全威胁的不断演变，智能网联汽车数据安全技术与措施标准也需持续更新；三是行业自律标准，强化行业协会等组织将制定更为严格的自律准则，推动企业自觉遵守。

行业发展上，一是技术创新降合规成本，更多企业研发新的数据安全架构和技术体系，以更好地适应法规要求和业务发展需求，降低企业成本；二是数据合规赋能竞争力，企业会将数据安全合规作为战略重点，持续投入资源进行优化和提升，以在激烈的市场竞争中脱颖而出；三是产业协同促生态统一，未来产业协同合作将进一步加强，共同构建数据合规生态。

（以上内容来自上研智联智能出行科技（上海）有限公司网络和数据安全总工程师潘政伟于2025年6月19日在第四届中国车联网安全大会发表的《智能网联汽车数据合规落地的挑战与实践》主题演讲。）