搜索结果: GB/T 44774-2024, GB/T44774-2024, GBT 44774-2024, GBT44774-2024
| 标准编号 | GB/T 44774-2024 (GB/T44774-2024) | | 中文名称 | 汽车信息安全应急响应管理规范 | | 英文名称 | Specifications of emergency response management for vehicle cybersecurity | | 行业 | 国家标准 (推荐) | | 中标分类 | T40 | | 国际标准分类 | 43.020 | | 字数估计 | 22,298 | | 发布日期 | 2024-10-26 | | 实施日期 | 2024-10-26 | | 发布机构 | 国家市场监督管理总局、国家标准化管理委员会 | GB/T 44774-2024
Specifications of emergency response management for vehicle cybersecurity
汽车信息安全应急响应管理规范
ICS 43.020
CCS T 40
中华人民共和国国家标准
2024-10-26发布
2024-10-26实施
国家市场监督管理总局
国家标准化管理委员会 发 布
目次
前言 ··· Ⅲ
引言 ··· Ⅳ
1 范围 ···· 1
2 规范性引用文件 ···· 1
3 术语和定义 ···· 1
4 总体结构图 ···· 2
5 准备阶段 ··· 2
6 核验阶段 ··· 5
7 处置阶段 ··· 7
8 恢复阶段 ··· 8
9 事后处理阶段 ···· 9
附录 A （资料性） 汽车信息安全应急响应流程及相关文件示例 ····· 10
附录 B （资料性） 汽车信息安全应急响应分级及事件分级 ····· 14
参考文献 ··· 16
前言
本文件按照 GB/T 1.1-2020《标准化工作导则 第 1部分：标准化文件的结构和起草规则》的规定
起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由中华人民共和国工业和信息化部提出。
本文件由全国汽车标准化技术委员会（SAC/TC 114）归口。
本文件起草单位：国汽（北京）智能网联汽车研究院有限公司、国家计算机网络应急技术处理协调
中心、中国汽车技术研究中心有限公司、广州汽车集团股份有限公司、重庆长安汽车股份有限公司、
华为技术有限公司、斑马网络技术有限公司、公安部第三研究所、北京汽车研究总院有限公司、浙江
吉利控股集团有限公司、东风商用车有限公司、宝马（中国）服务有限公司、中国信息通信研究院、
上汽通用五菱汽车股份有限公司。
本文件主要起草人：罗承刚、王晖、张琳琳、薛宇、张宁、林慧雯、满志勇、潘凯、唐迪、孙航、
汪向阳、牟洪雨、尹杨、赵红旺、郭岩、何逸波。
引 言
随着汽车电动化、网联化、智能化交融发展，车辆运行安全、数据安全和网络安全风险交织叠加，
安全形势更加复杂严峻。
为贯彻落实《关于加强智能网联汽车生产企业及产品准入管理的意见》等文件要求，根据《国家车
联网产业标准体系建设指南（智能网联汽车）》提出的智能网联汽车标准体系，工业和信息化部组织汽
车及相关行业的有关单位共同编制本文件。本文件落实《关于加强智能网联汽车生产企业及产品准入管
理的意见》中提出的网络安全事件报告和处置要求，规范了汽车制造商、供应商及其他利益相关者等组
织的汽车信息安全应急响应管理体系流程，指导其控制汽车信息安全事件的影响，提升其对突发信息安
全事件的应急响应能力，减少汽车信息安全事件对组织和业务的影响，满足网络安全等过程保障要求。
本文件部分借鉴了信息技术领域的安全管理体系，根据汽车信息事件的特点，提出了符合我国实际情况
的汽车信息安全应急响应管理规范，并在公开征求意见阶段组织企业验证了本文件的主要内容。
汽车信息安全应急响应管理规范
1 范围
本文件确立了汽车信息安全应急响应的管理流程，描述了相关管理方法。
本文件适用于相关组织开展的汽车信息安全应急响应管理，包括准备、核验、处置、恢复及事件后
处理等各阶段工作。
2 规范性引用文件
本文件没有规范性引用文件。
3 术语和定义
下列术语和定义适用于本文件。
3.1
汽车信息安全 vehicle cybersecurity
汽车的电子电气系统、组件和功能被保护，使其资产不受威胁的状态。
[来源：GB/T 40861-2021，3.1]
3.2
汽车信息安全事件 vehicle cybersecurity incident
与可能危害组织资产或损害其运行相关的、单个或多个被识别的汽车信息安全事态。
注：信息安全事态，表明一次可能的信息安全违规或某些控制失效的发生。
3.3
应急响应计划 emergency response plan
组织为了应对突发/重大信息安全事件而编制的，对包括信息系统运行在内的业务运行进行维持或
恢复的策略和规程。
[来源：GB/T 24363-2009，3.5]
3.4
汽车信息安全应急响应 emergency response for vehicle cybersecurity
汽车制造商、供应商及其他利益相关者等组织，为了应对突发汽车信息安全事件发生而做的准备工
作、在事件发生后所采取的措施（不包括供应商及其他利益相关者内部与事件无关的工作和措施），以
及事后评估、追踪和总结工作。
3.5
利益相关者 stakeholder
由于违背一个或一组资产的一个或多个信息安全属性（保密性、完整性和可用性等）而导致不良后
果或不利结果，由此可能影响到或意识到自己可能被影响的个人或者组织。
3.6
组织 organization
具有自身的职责、权威和关系以实现其目标的个人或集体。
注：组织的概念包括但不限于个体经营者、公司、法人、商行、企业、机关、合伙关系、慈善机构或院校，或者其
部分或组合，无论注册成立与否、是公共的还是私营的。
[来源：GB/T 20984-2022，3.1.3]
4 总体结构图
本文件各个阶段总体架构见图 1，完整的应急响应流程示例，见附录 A中的 A.1。
图 1 汽车信息安全应急响应管理规范总体架构图
5 准备阶段
5.1 概述
组织在本阶段完成应急预案的编制和修订，即制定应急响应计划，确立角色职责，完成应急响应计
划的培训、演练、管理和更新，制定信息安全事件分类分级规范，制定和分发信息安全应急响应操作手
册等，并在本阶段建立与外部相关组织的协同合作机制。
注：信息安全应急响应操作手册由组织自行制定，用于指导组织内部/内外部在应急响应过程中与技术有关的具体
操作。
5.2 应急响应计划制定
5.2.1 应急响应计划应至少明确规定以下内容：
角色及职责；a）
应急响应流程；b）
核验阶段、处置阶段、恢复阶段和事后处理阶段中各流程的时间要求，按照不同应急响应级别
制定不同级别的时间要求，应急响应分级见附录B中的B.1；
c）
其他相关的表单附件等。d）
5.2.2 应急响应计划应基于组织自身情况，结合自身业务特点，计划应具备可操作性。
5.2.3 在制定应急响应计划工作时，参与人员遵守以下原则。
保密性原则：不向未授权的个人、实体或过程提供或泄露应急响应工作信息。a）
规范性原则：制定应急响应计划的过程中，遵循组织相关信息安全管理制度。b）
最小影响原则：应急响应计划涉及的内容为完成应急响应目的所需工作的最小集合。c）
5.3 角色及职责确立
5.3.1 角色划分
组织应结合本单位日常机构建立信息安全应急响应的工作机构，明确其职责，要求如下。
如有一人承担多项职责、一项职责由多人承担的情况，应急响应计划文档中应明确人员和职责
的映射关系，单项职责还应明确人员的替代顺序。
a）
应急响应的工作机构应由管理、业务、技术和行政后勤等人员组成，按角色可划分为五个功能
小组：应急响应领导小组、应急响应专家小组、应急响应实施小组、应急响应技术保障小组和
应急响应日常运行小组等。组织应按照人员所具备的技能和知识将其分配到这些小组中，分配
到相关小组中的人员在日常工作中宜负责相同或类似的工作。在以上五个功能小组中，组织应
至少设置应急响应领导小组、应急响应实施小组（合并专家小组职责）、应急响应日常运行小
组（合并技术保障小组职责）。组织按照自身业务特点和组织架构，设立其他小组（名称可自
拟），但相关职责应完备。
b）
组织能聘请具有相应资质的外部专家协助应急响应工作，也能委托具有相应资质的外部机构承
担实施小组以及日常运行小组的部分工作。在聘请外部专家或委托外部机构时，应与其签订相
关协议（例如信息保密协议、服务水平协议、服务持续协议等）。
c）
应急响应各功能小组应明确内部分工职责，各小组内部应具备统筹负责的人员。d）
5.3.2 各功能小组的职责确立
5.3.2.1 应急响应领导小组
应急响应领导小组是信息安全应急响应工作的领导机构，组长应由组织最高管理层成员担任。领导
小组的职责是领导和决策信息安全应急响应的重大事宜，要求如下：
组建应急响应专家小组、应急响应实施小组、应急响应技术保障小组和应急响应日常运行小
组，并负责应急响应全过程管理；
a）
对应急响应工作的承诺和支持，包括发布正式文件、提供必要资源（包括人、财、物）等；b）
批准应急响应计划及各阶段文档；c）
批准和监督应急响应计划的执行；d）
负责在组织内部通报发生的汽车信息安全事件；e）
负责批准汽车信息安全事件恢复方案的实施；f）
负责组织内部、外部（如供应商、其他利益相关者）的协调工作。g）
5.3.2.2 应急响应专家小组
应急响应专家小组是信息安全应急响应工作的技术专家机构之一，成员应包括组织内部专家和/或
具有相应资质的外部专家，应急响应专家小组的职责包括：
评估重大信息安全事件，提出启动应急响应的建议；a）
研究分析信息安全事件及其发展趋势，为应急响应提供咨询或提出建议；b）
分析信息安全事件原因及造成的危害，为应急响应提供技术支持；c）
定期启动应急响应计划评审；d）
评审应急响应计划及各阶段文档。e）
5.3.2.3 应急响应实施小组
应急响应实施小组是信息安全应急响应工作的技术专家机构之一，成员应包括组织内部技术部门的
专业人员（如设计人员、开发人员、测试人员等）和业务部门的专业人员（如客户对接人员、法务合规
人员、政府对接人员、舆论监督人员、供应链管理人员、生产制造人员、运维服务人员等）等，应急响
应实施小组的职责包括：
分析应急响应需求（如风险评估、业务影响分析等）；a）
确定应急响应策略和级别；b）
编制、管理和更新应急响应计划；c）
实施应急响应计划；d）
部署和使用应急响应资源；e）
总结应急响应工作，提交应急响应总结报告；f）
执行应急响应计划的评审、修订任务；g）
控制信息安全事件发生时的损失，并评估损害。h）
5.3.2.4 应急响应技术保障小组
应急响应技术保障小组是信息安全应急响应的技术保障机构，成员应包括组织内技术部门和业务部
门的管理人员（如项目管理人员等）等，应急响应技术保障小组的职责包括：
制定信息安全应急响应操作手册；a）
协助应急响应领导小组，制定跨部门的应急响应协同调度方案，并在应急响应全流程中负责组
织内跨部门的协调调度以及组织与供应商或其他利益相关者的沟通协调。
b）
5.3.2.5 应急响应日常运行小组
应急响应日常运行小组是信息安全应急响应的日常运行机构，成员应包括组织内技术部门的日常运
维、运营团队（如信息技术人员、质量管理人员、车辆信息安全人员等），应急响应日常运行小组的职
责包括：
备份和管理汽车信息安全应急响应管理过程中产生的数据；a）
运行、管理和维护应急响应相关的系统；b）
落实必要资源（包括人、财、物）的保障工作；c）
发现、识别和确认信息安全事件；d）
评估、通报和跟踪信息安全事件；e）
组织培训和演练应急响应计划。f）
5.4 应急响应计划的培训、演练、管理和更新
5.4.1 应急响应计划的培训和演练
各组织应按以下要求组织应急响应计划的培训和演练：
制定培训计划，定期开展培训活动，记录培训过程的详细信息并形成报告；a）
制定演练计划，定期开展演练活动，记录演练过程的详细信息并形成报告；b）
每年至少完成一次Ⅱ级及以上的应急响应完整演练。c）
5.4.2 应急响应计划的管理和更新
业务流程的变化、信息系统的变更、各功能小组人员的变更都应在应急响应计划文档中及时更新。
经过审核和批准的应急响应计划文档，应按以下要求进行管理和更新：
分别具有纸质版和电子版的多份拷贝，并在不同的地点（如办公室、机房、备份机房）和介质
中保存；
a）
由日常运行小组负责保存和分发；b）
分发给参与应急响应工作的全部人员；c）
根据演练和信息安全事件的总结进行修订；d）
在每次修订后统一更新所有拷贝；e）
按相关规定销毁所有旧版本，必要的档案存档除外；f）
定期评审和修订，评审至少每年一次。g）
5.5 信息安全事件分类分级规范制定
组织应制定汽车信息安全事件分类分级规范，汽车信息安全事件的分类可根据 GB/T 20986-2023
描述的分类方法进行，汽车信息安全事件分级见 B.2。
5.6 应急响应操作手册的制定和分发
5.6.1 应急响应操作手册的编制应遵从简明扼要、便于有效执行的原则。
5.6.2 应急响应操作手册中所列出的具体技术操作，应说明适用对象、适用情况、操作人员权限和具体
分步操作指引，并在适当条件和环境下进行测试验证，确保技术操作有效可靠。
5.6.3 应急响应操作手册应以电子版和纸质版的形式，分发给相关功能小组，并做好查找索引，便于发
生信息安全事件时快速处置。
5.6.4 应急响应操作手册应按照车辆软硬件的更新，及时做出更新调整。
5.7 协同与合作机制建立
5.7.1 同监管部门
组织应协同安全监管部门进行汽车信息安全事件的整理及分析，并按监管部门要求进行汽车信息安
全事件通报。
5.7.2 同供应商
5.7.2.1 组织应同供应商在合同以及汽车信息安全工作接口协议中，约定关于信息安全应急响应责任分
工、对接流程、响应时效要求等条款。
5.7.2.2 组织应同供应商建立有效的协调沟通渠道，明确各方的沟通负责人，供应商包括汽车零部件供
应商、信息系统服务提供商、电信服务提供商、信息安全服务商和第三方测评机构等。
5.7.2.3 在进行应急响应演练时，组织宜邀请供应商一起参与。
5.7.3 同行业组织
5.7.3.1 组织可参与一家或多家汽车信息安全信息共享平台和/或联盟等行业组织，以保障更广泛、及
时的安全信息获取。
5.7.3.2 组织可在安全漏洞修复或汽车信息安全事件平息后将事件问题连同修复措施同步提报给相关行
业组织。
5.7.4 同安全服务方
组织可同安全服务方开展持续的汽车信息安全应急响应合作，以获得更广泛的专业技术及人员
支持。
6 核验阶段
6.1 概述
依据组织制定的应急响应计划和汽车信息安全事件分类分级规范，应急响应日常运行小组执行汽车
信息安全事件确认和事件评估流程，应急响应领导小组执行事件通报流程。
6.2 事件确认
收到汽车信息安全事件情报后，应立刻启动事件确认流程，要求如下。
考察并确认汽车信息安全事件情报的来源，包括但不限于：a）
应急响应日常运行小组发现的安全预警事件；1）
行业权威平台收到的行业安全预警情报；2）
组织自建的外部事件搜集渠道收到的客户或者安全研究人员上报的安全问题。3）
记录事件和情报完整性检查的要素和身份核对的情况。b）
初步判断事件相关资产与汽车制造商、供应商和其他利益相关者的相关性。c）
详细记录并备案事件确认的结果。d）
6.3 事件评估
6.3.1 汽车信息安全事件确认后，应立刻启动事件评估流程，流程及相关文件的要求如下：
初步判定汽车信息安全事件的类型、级别和应急响应的级别，形成初判评估结论，宜从人员安
全、经济财产、车辆功能及性能、隐私及法规、社会影响多个角度进行事件综合考虑，得出事
件相关性、影响范围、造成的最坏情况等几个方面的判断；
a）
评审初判评估结论，相关文档应提交至应急响应专家小组评审，形成汽车信息安全事件评估评
审表（示例见A.2）；
b）
事件评估流程的执行过程中，数据安全、信息保密相关工作应满足可追溯需求。c）
6.3.2 汽车信息安全事件评估评审表中应至少包括：
参与事件评估过程的每位专家的关注方向；a）
获得的相关信息，包括影响危害等；b）
对信息的处理过程和逻辑推理过程；c）
最终做出的评估评审结论，包括汽车信息安全事件的类型、级别和应急响应的级别等。d）
6.3.3 事件评估过程如需引入应急响应功能小组以外的人员参与，应在汽车信息安全事件评估评审表中
记录的引入人员信息至少包括：
在组织内的职位和职责；a）
被引入本次事件的原因；b）
在本次工作中获得的事件信息等。c）
6.4 事件通报
6.4.1 事件评估结束后，应立刻启动事件通报流程，流程及相关文件的要求如下。
事件通报应易于记录、易于流程追溯，信息扩散范围应可控，能通过电话会议、现场会议、网
络会议等方式进行。
a）
事件通报会议应形成汽车信息安全事件记录表（示例见A.3）并归档备案，如结论是不需要启
动应急响应工作，则应结束本次应急响应工作；如结论是需要启动应急响应工作，应由应急响
应领导小组最终批准并通报给应急响应各功能小组全体成员。
b）
6.4.2 事件通报会议应形成会议纪要，会议纪要内容应至少包括：
参会人员；a）
会议上呈现的信息和情报细节；b）
评估记录；c）
应急响应功能小组人员和其他人员对相关信息的讨论过程；d）
会议决议；e）
遗留的待明确和待解决的问题等。f）
7 处置阶段
7.1 概述
依据组织制定的应急响应操作手册等相关文件，应急响应实施小组执行汽车信息安全事件处置方案
的制定、开发和实施流程。
注：处置阶段的工作一般是时效性较强，能够在较短时间内控制汽车信息安全事件的影响。
7.2 处置方案制定
7.2.1 核验阶段结束后，如需启动应急响应流程，应首先查阅和评估已有的应急处置方案，如有可完全
借鉴的处置方案则按方案实施，如有可部分借鉴的处置方案则在其基础上启动处置方案制定流程，如没
有可完全或部分借鉴的应急处置方案，则应立刻启动处置方案制定流程。处置方案应满足以下要求：
按照汽车信息安全事件的类型、级别和应急响应的级别进行编制；a）
分析应急响应需求及其应对方案，明确处置对象，如脆弱性涉及零部件，应细化到零部件
层级；
b）
记录和修复汽车信息安全脆弱性，并保证处置方案的保密性；c）
在汽车信息安全事件总结报告（示例见A.4）中记录。d）
7.2.2 如引起该信息安全事件的脆弱性无法在现有相关产品上进行处置修复，应经过应急响应实施小组
研提、应急响应专家小组评估复核，并应在处置方案中阐释情况和理由，采取有效缓解措施后，进入实
施阶段。
7.2.3 如需求或者方案涉及供应商或其他利益相关者，应由应急响应技术保障小组将相应需求发送至供
应商或其他利益相关者的沟通负责人，沟通负责人接到需求后应立即进行内部通报，并启动内部处置流
程，供应商或其他利益相关方应参与方案的制定和评审。
7.3 处置方案开发
处置方案制定结束后，应立即启动处置方案开发流程，流程及相关文件的要求如下：
按照应急响应实施小组内部流程要求，释放本次应急响应的信息安全技术要求，并启动软件开
发、测试用例编写等工作；
a）
按照应急响应实施小组内部流程要求，释放测试用例，并启动测试；b）
应急响应实施小组完成测试后，输出测试报告，测试报告应进行小组内评审并存档，评审过程
应联合应急响应专家小组进行；
c）
如处置方案开发过程涉及供应商或其他利益相关方，则供应商或其他利益相关方应在双方协定
的时间内将处置结果反馈至应急响应技术保障小组。
d）
7.4 处置方案实施
处置方案开发结束后，应立即启动处置方案实施流程，流程及相关文件的要求如下：
按照组织内部要求的方式发布处置方案；a）
按照应急响应计划对汽车信息安全事件实施处置方案；b）
将所有的信息安全脆弱性更新至信息安全技术要求，组织应将更新的信息安全技术要求应用到
新车型，保障后续车型脆弱性防护的实施；
c）
完成方案实施后，应完成应急处置报告并存档（示例见A.5），报告中应至少包含事件分类、
事件级别、处置时间、实施效果和恢复建议等，对于无法在现有相关产品上进行处置修复的情
d）
况，应按照事件级别说明影响情况；
应将应急处置报告提交至应急响应专家小组和应急响应领导小组进行评审和批准；e）
如构成产品召回，应按照相关要求进行处理；f）
组织应在当前发生汽车信息安全事件的影响已被控制的情况下，进入恢复阶段。g）
8 恢复阶段
8.1 概述
依据组织制定的应急响应计划等相关文件，应急响应实施小组执行汽车信息安全事件恢复方案的制
定、验证和实施流程。
8.2 恢复方案制定
8.2.1 应急响应实施小组应对涉事车型或零部件制定恢复方案，恢复方案中应阐明消除本次汽车信息安
全事件相应的信息安全脆弱性的方法。
8.2.2 恢复方案制定过程中应满足如下原则：
结合涉事车型或零部件的开发流程及处置阶段的结论分析和制定恢复方案；a）
结合以往的共性事件或类似事件制定恢复方案；b）
覆盖受汽车信息安全事件影响的各类车型或零部件；c）
对汽车信息安全事件影响到的个人或组织的保密信息进行访问权限控制。d）
8.2.3 应急响应实施小组应平衡恢复方案的制定时间与对制定完毕的恢复方案进行全面测试所......
|