基于能力成熟度模型的車聯網漏洞管理探索

漏洞作為網絡安全問題的核心，已引起國家層面的高度關注。《2022 上半年網絡安全漏洞態勢觀察》報告指出，網絡安全漏洞形勢依舊嚴峻，漏洞利用漸趨隱蔽，融合疊加風險攀升，這對網絡空間中關聯主體的漏洞治理能力提出了更高要求。車聯網（智能網聯汽車）作為網絡空間的重要組成部分，其漏洞問題也受到主管部門和汽車行業的廣泛關注。

通過管理手段實現漏洞的有效消控是保障汽車安全的重要手段。當前，以整車生產企業為核心的車聯網產品提供者和車聯網服務提供企業已逐步認識到網絡安全及漏洞管理的重要性，部分企業已通過完善組織結構、管理機制、技術能力，來構建動態、高效、敏捷的漏洞全生命周期管理體系。然而，在實踐過程中，這些企業依然存在一些管理問題，如漏洞管理策略落地難、資產識別不全、漏洞發現能力差、漏洞修復時效低以及修復處置方案不適合業務場景等管理問題。因此，在合規需求下，建立全面完善的漏洞管理流程體系已成為車聯網企業漏洞管理的普遍需求。

本文以深入分析國內外法律法規要求為基礎，充分結合汽車行業漏洞的特點，基于傳統的能力成熟度模型（Capability Maturity Model，CMM）研究思路，提出了針對車聯網漏洞管理成熟度評估模型框架和思路。該模型劃分了漏洞管理的主要過程域，并制定了相應的評估目標，為車聯網漏洞管理能力的建設與評估提供了全面的參考依據。

一、車聯網行業漏洞管理特點

相比傳統網絡，車聯網網絡涉及多個學科的交叉融合，其漏洞呈現重復率高、修復難度大、安全隱患突出等特點。相應的，其管理工作也呈現出行業特殊性。

(一）漏洞在產品研發過程中引入并不斷融合疊加，盡早介入管理是關鍵

車聯網產品漏洞的本質是多個傳統漏洞在車聯網框架中的組合利用，其采用的網絡產品安全漏洞會從根本上影響汽車產品的安全。軟件定義車聯網（Software Defined Internet of Vehicles，SD-IoV）架構引入了眾多單點風險，進一步拓寬了網絡的攻擊面。硬件層漏洞在產品研發和生產過程初期引入，隨著功能開發進程不斷推進，軟件層漏洞、軟硬件結合漏洞以及協議層漏洞由于網絡協議和軟件編碼的復雜性而產生，并通常貫穿產品全生命周期。如果不及時修復，隨著產品生命周期不斷推進，其修復代價與難度將難以估算。

車聯網產品安全“底座”的夯實，需要在設計之初將網絡安全納入產品需求中，并在產品的全生命周期中加入對產品的安全設計、安全研發、安全測試、安全運營的策略。因此，在研發與生產環節，盡早引入漏洞管理機制成為車聯網產品安全漏洞管理的重點。

(二）行業專門漏洞研究積淀不足，技術實施難度大成為管理難點

汽車作為重要的車聯網產品，其本身制作工藝極為復雜，面臨的網絡安全風險呈現多樣化、碎片化、多場景的復雜特點；我國智能網聯汽車起步相對較晚，主機廠在不斷由傳統型向數字化、智能化轉型的過程中，缺乏針對汽車行業信息安全專門人才，因此在自主挖掘自身產品漏洞方面的能力不足；此外，安全公司、白帽子等目前多聚焦于傳統互聯網行業的漏洞挖掘，缺少對汽車產品的系統全面的了解，增加了挖掘汽車產品漏洞的難度。綜上，當前車聯網行業漏洞研究積累不足，漏洞挖掘技術難度大、成本高，也給漏洞管理帶來了困難。

(三）漏洞修復成本高、難度大，管理周期長且難以形成閉環

相比傳統互聯網安全漏洞，車聯網產品安全漏洞的修補往往周期更長、成本更高、難度更大，主要體現在：其一，汽車作為我國國民支柱產業，其產品規模覆蓋較大，在具備網絡產品屬性后，部分漏洞可能需要較大修復成本，如召回等方式，成本巨大；其二，整車制造涉及上下游多個產業鏈，核心零部件多為從國外廠商采購，整車企業自主可控能力較低，這在一定程度上影響漏洞的修復進度；其三，汽車行業產業鏈條長，與其他關聯的網絡產品的安全性能緊密聯系，使得汽車網絡產品的安全性不僅取決于產品自身，還取決于網絡中其他關聯設備的安全性能，安全依賴性較高。此外，一些老舊車型由于歷史久遠無法找到對應車型，供應商停止服務等原因導致漏洞難以修復。在上述場景中，車聯網漏洞管理周期長，閉環管理難度大，給行業漏洞管理帶來巨大挑戰。

二、國內外車聯網漏洞管理機制現狀

(一）國外車聯網漏洞管理標準政策

在世界范圍內，美國、歐洲等國家地區針對漏洞管理較為重視，其配套的政策、法規以及標準較為完善。針對汽車行業而言，國外尚未發布專門針對汽車漏洞的管理政策，但在自動駕駛及汽車網絡安全相關政策文件中，針對提出了對車聯網產品漏洞管理的相關條例，這些條例逐步加強了對車聯網產品網絡安全的保護能力，提高了聯網汽車的網絡安全性能。

在政策法規方面，聯合國世界車輛法規協調論壇（UN/WP.29）于 2020 年發布的 R155《信息安全管理系統法規》中指出，整車企業應具有漏洞管理相關的流程機制。美國汽車工程師學會 2016 年發布的J3061《信息物理汽車系統網絡安全指南》中強調要對發現的漏洞以適當網絡安全控制方法解決；美國交通部發布《自動駕駛系統 2.0：安全展望》《為交通的未來做準備：自動駕駛車輛 3.0》以及《確保美國在自動駕駛汽車技術方面的領先地位：自動駕駛4.0》中，都提出了建設汽車漏洞共享機制的要求，鼓勵企業向汽車共享分析中心（Auto-ISAC）等組織共享漏洞及威脅。英國 2017 年發布的《聯網與自動駕駛汽車網絡安全主要原則》中規定企業需要制定漏洞管理計劃來確定關鍵漏洞并緩解漏洞。

在標準制定方面，美國國家標準技術研究院（NIST）、國際標準化組織（ISO）等機構企業，相繼推出了《漏洞評分標準》（CVSS）、《通用漏洞披露》（CVE）等 12 項標準，涵蓋漏洞命名、評級、檢測、管理等各個方面。此外，國際標準化組織（ISO）和國際電工委員會（IEC）聯合制定并發布了關于漏洞披露和漏洞處理流程的《ISO/IEC29147:2018 信息技術 安全技術 漏洞披露》《ISO/IEC30111:2019信息技術 安全技術 漏洞處理流程》等標準。這些國際上成熟的漏洞技術標準，對車聯網產品漏洞具有很強的指導意義。在車聯網方面，汽車行業首個信息安全標準 ISO/SAE21434《道路車輛-網絡安全工程》于 2021 年 8 月 31 日發布，標準中對整車企業開展漏洞識別以及漏洞管理流程提出了要求，為企業建立漏洞管理流程以滿足 UN/WP.29R155 法規中的漏洞合規管理提供了參考。

(二）國內車聯網漏洞管理標準政策

在國內層面，自《中華人民共和國網絡安全法》出臺后，《中華人民共和國數據安全法》《關鍵信息基礎設施保護條例》相繼出臺，形成了網絡空間安全管理的基本法律遵循，為漏洞管理提供了堅實的法律依據。同時，工業和信息化部等三部委聯合發布的《網絡產品安全漏洞管理規定》，是我國漏洞管理專門性法規，要求網絡安全運營者應能采取各類安全措施發現、識別、處置漏洞。具體到汽車領域，工信部也發布了《關于加強車聯網網絡安全和數據安全工作的通知》和《道路機動車輛生產準入許可管理條例（征求意見稿）》等文件，在其中強調落實安全漏洞管理責任，并明確企業漏洞發現、驗證、分析、修補、報告等工作程序。基于國內相關政策法規的合規要求，本文梳理車聯網漏洞管理流程如圖 1 所示。

在標準制定層面，我國出臺的與漏洞管理相關的標準主要包括《信息安全技術信息安全漏洞管理規范》《信息安全技術安全漏洞標識與描述規范》《信息安全技術安全漏洞等級劃分指南》《信息安全技術安全漏洞分類》等，這些標準文件分別對漏洞管理、標識、分級分類提出了技術要求。具體到汽車領域，目前汽車領域漏洞相關的標準正在有序制定和頒布過程中，由TC114（全國汽車標準化技術委員會）歸口的國家標準《GB/T 40857-2021汽車網關信息安全技術要求及試驗方法》《GB/T 40855-2021 電動汽車遠程服務與管理系統信息安全技術要求及試驗方法》《GB/T 40856-2021 車載信息交互系統信息安全技術要求及試驗方法》中，均提出相關系統或部件不應具備由權威漏洞平臺公開發布 6 個月及以上且未經處置的高危漏洞，并對產品漏洞管理提出安全技術要求。

圖 1 基于合規要求的漏洞管理流程

三、車聯網漏洞管理成熟度模型

(一）車聯網漏洞管理成熟度模型框架

成熟度模型的概念源于 20 世紀 70 年代的質量管理領域，卡內基梅隆大學軟件工程研究所（SEI）在美國國防部的資助下開展了軟件開發能力成熟度模型的研發，1991 年推出了成熟度模型 CMM 1.0，后續在系統工程、集成產品和過程開發等不同領域均有應用。總體來說，成熟度模型一般包含成熟度等級、成熟度評價維度以及實踐活動三大基本要素，通過對這三個維度的明確，來實現成熟度評估的目標。

本文搭建了適用于車聯網企業的車聯網漏洞管理成熟度模型框架。將車聯網漏洞管理成熟度劃分成不同的等級水平，對應不同的關鍵過程域的主要活動，同時明確了組織應具備的能力要素，模型框架如圖2所示。

圖 2 車聯網漏洞管理成熟度模型框架

(二）車聯網漏洞管理能力成熟度

車聯網漏洞管理能力成熟度可劃分為五級，具體包括初始級、可重復級、已定義級、管理級和優化級。具體特性如表 1 所示。

表 1 車聯網漏洞管理能力成熟度等級特征

(三）車聯網漏洞管理能力要素

車聯網漏洞管理能力要素，主要是通過對組織漏洞管理過程中應具備的漏洞管理能力的評估，進而評估每項安全過程的實現能力，其要素包括組織建設、制度流程、技術工具和人員能力,如表 2 所示。

表 2 車聯網漏洞管理能力要素評估維度

(四）車聯網漏洞管理關鍵過程域

為滿足能力要素維度評價目標，需進一步識別漏洞管理流程中的實踐活動，其中包括特定實踐和通用實踐兩大部分。在車聯網漏洞管理流程中，特定實踐主要包括漏洞全生命周期流程活動，詳見表 3。

表 3 車聯網漏洞管理關鍵過程域

四、車聯網漏洞管理成熟度模型應用

車聯網漏洞管理成熟度模型主要應用于車聯網產品生產企業、車聯網服務提供企業開展漏洞管理能力建設以及漏洞能力自評估。

在模型使用時，企業應以成熟度目標的評估要素為指導，結合適用于業務屬性的安全管理過程域開展評估。同時，可組織內外部專家形成評估專家組，通過人員訪問、資料查閱、系統核查，必要時通過檢測手段對組織漏洞管理能力進行評估。評估組對每一關鍵過程域進行評價，評價結果包括FS（完全滿足）、PS（部分滿足）和NS（不滿足）以及其他選項。最后，根據評估結果，定義未出現不滿足情況且級別最高的成熟度等級為實際達到的成熟度水平。評估結論確定后，為支持進行能力提升與持續優化，需提出目標差距分析，并制定整改方案，持續改進跟蹤，直至開展下一輪評估。

五、結語

本文從車聯網漏洞管理實際需求出發，提出了基于能力成熟度的車聯網漏洞管理思路。針對車聯網企業構建車聯網漏洞管理能力成熟度評估模型，將有助于通過模型來推動能力建設，并形成對企業組織及管理能力動態持續改進的工作模式，可針對性地提高漏洞管理水平。下一步，將基于車聯網企業實踐參數，進一步評估各過程域活動的權重參數，以形成可量化評價模型，進一步實現對車聯網漏洞管理能力的落地評估。