2025年6月19日，在第四屆中國車聯網安全大會上，上海汽檢數據安全實驗室副主任趙劍主要圍繞GB/T 44464《汽車數據通用要求》的發布背景、內容及其對汽車數據安全管理體系建設的影響進行了分析。
趙劍指出，GB/T 44464明確了汽車數據處理的一般要求、個人信息保護、重要數據保護等內容，部分條款被強制性國家標準引用，具有強制效力。他還強調了法律、法規對企業數據安全體系建設的要求，以及GB/T 44464在體系建設方面的創新要求。
趙劍 | 上海汽檢數據安全實驗室副主任
以下為演講內容整理：
GB/T 44464汽車數據通用要求發布背景
GB/T 44464《汽車數據通用要求》于2024年8月23日正式實施。該國家標準涵蓋多個章節，包括體系要求、汽車數據處理的一般要求、個人信息保護要求、重要數據保護要求，以及實驗方法和評判準則等內容。
圖源：演講嘉賓素材
在GB/T 44464—2024中，5.1、5.2、5.3、5.6部分被強制性國家標準GB 44495—2024《汽車整車信息安全技術要求》所引用，并與工信車型準入相關聯，具備強制效力。從實驗方法和法規要求層面而言，具體涵蓋以下要求：一是遵循7號文規定，座艙數據默認不收集；二是座艙數據應在車內處理，不得外傳；三是針對個人信息，需向用戶顯著告知；四是車外傳感器采集的車外影像應進行匿名化處理，且標準對匿名化處理指標提出了相應要求。
汽車數據安全管理體系建設
部分車企構建數據安全體系，主要源于法律法規及標準的相關要求。從法律層面來看，《數據安全法》與《個人信息保護法》這兩部重要法律均明確規定，企業需建立全流程的數據安全管理體系?！毒W絡數據安全管理條例》同樣提出了相關要求，即企業應建立完備的數據安全管理制度，并采取加密、備案、訪問控制等技術措施。
總體而言，法律層面的要求較為寬泛，僅規定企業必須建立相應的制度和機制，但未明確具體建設方式，尤其未針對汽車行業或特定行業提出具體要求。不過，近年來已陸續對汽車行業提出了具體的體系建設要求。例如，工信領域的數據安全管理辦法、車聯網準入相關意見等，均對企業安全保障能力提出了建立相應管理體系的要求。試點準入實施指南則進一步明確了數據安全管理制度的具體內容，包括分類分級、數據出境管理等，并進行了拓展與細化。此外，針對車聯網行業，相關部門發布的關于車聯網網絡安全和數據安全管理工作的通知，也要求企業建立管理制度，明確責任人和機構，切實落實數據安全保護責任。
圖源：演講嘉賓素材
在梳理相關法律法規的過程中，可以發現，盡管法律與法規對企業數據安全體系建設提出了要求，但目前尚未就體系具體建設方式給出明確指引。不過，GB/T 44464在4.1條款中提出了體系建設的新要求，明確了需構建的幾個關鍵維度與工作域，包括管理機構的設立、數據的分類分級管理、數據全生命周期管理、數據跨境管理、用戶權益維護、風險監測與安全管理，以及第三方管控等方面。
然而，GB/T 44464所提出的要求仍較為宏觀，主要通過逐條列舉的方式闡述相關要點，但對于具體實施路徑的說明尚不夠細致。
基于前期為企業提供體系建設與審核服務的經驗，我們在前兩年發布了一項團體標準。在該團體標準的附錄中，我們總結并推廣了審核過程中關注的要點。這些審核要點能夠全面覆蓋GB/T 44464 4.1條款中的所有要求，畢竟這些要求均源于法律法規，而法律法規作為上位法，具有基礎性和指導性。
圖源：演講嘉賓素材
依據標準、法規及法律的相關要求，我們針對體系建設提出以下方法論建議，旨在提供方向性指導。
首先，需構建完善的數據資產臺賬，并做好數據的分類分級工作。其次，應強化數據全生命周期管理。7號文已對數據全生命周期作出明確界定，涵蓋從數據采集、存儲、使用、傳輸、對外提供，直至數據出境的各個環節。企業需通過結構化數據管理方式，或借助相關平臺與系統等工具，對數據全生命周期實施有效監控。
此外，要加強對供應商及合作方的資質審核與數據安全保障能力評估，確保其具備相應的數據安全防護水平。企業應嚴守數據出境紅線。近期，相關部門發布了關于重要數據跨境識別的指南，結合前期對個人信息出境的相關要求，目前已形成兩條較為明確的數據出境路徑，企業需嚴格遵循。
需做好權限管理工作。據我們所知，近年汽車行業發生的數據泄露事件，主要源于權限管理不當。部分企業可能為特定崗位人員賦予了過高的權限，導致其能夠無限制地調取、下載系統內部數據，甚至將其發布至外網。因此，企業應合理設置權限，確保數據安全。
需健全用戶權益保障機制，強化用戶投訴響應流程的規范化建設。此項工作尤其針對個人信息保護領域，若能構建完善的個人信息保護機制，則更為理想。此外，應加強數據安全保護意識建設，通過開展培訓、宣傳活動以及推進項目落地等方式予以實現。最后，建議企業做好數據安全風險評估及應急響應機制建設，以有效應對潛在的數據安全風險。
以上內容為體系建設中的部分示例，聚焦于分類分級管理領域。我們已協助企業構建數據資產臺賬，相信對于從事數據處理的人員而言，日常管理和維護此類臺賬是常規工作。
圖源：演講嘉賓素材
汽車數據安全測試
GB/T 44464中的測試要求源于7號文，7號文明確提出了4項具體要求。基于7號文的法規要求，GB/T 44464進一步細化了相關測試要求，并給出了相應的測試方法。
在默認不收集數據方面，部分企業通過車機功能設置來確保該要求的實現。例如，重置車機并進入座艙后，打開車機時，語音和人臉傳感器的默認狀態為關閉，用戶需在車機上進行權限設置，方可開啟相應傳感器以使用相關功能，如DMS的人臉采集功能。此外，也有企業采取了更為便捷且巧妙的方式，將車機上的設置物理化，如為DMS功能配備一個擋板。新車交付時，擋板處于閉合狀態，用戶需自行打開，此操作可視為用戶對數據采集的單獨同意。若擋板保持開啟狀態，則意味著用戶持續同意進行人像采集，這種設計頗具巧思。
同時，測試還涉及敏感個人信息的單獨同意機制，以及一系列車機設置壓力測試。此外，顯著告知義務通常通過車機隱私政策來履行，以向用戶告知其相關權益。
針對數據全生命周期，我們制定了一整套測試方法與合規檢測流程。在數據收集環節，主要通過默認不收集的功能設置來驗證其合規性。而在數據傳輸方面，我們會通過屏蔽室內抓包實驗等技術手段，對數據傳輸鏈路進行深入分析，以判斷數據是否存在跨境傳輸情況。根據GB 44495—2024的規定，嚴禁任何數據從車端直接向境外傳輸。
在GB/T 44464所涉及的測試方法中，匿名化測試的技術含量與難度相對較高。GB 44495—2024附錄C及正文明確提出，匿名化處理的檢出率需達到90%以上。關于該檢出率的計算方式，需依據相關標準規定的具體算法與流程進行操作，以確保匿名化處理的有效性與合規性。
圖源：演講嘉賓素材
以車外傳感器為例，若車輛行駛過程中采集到100個人臉數據，其中有效打碼量達到90個以上，才符合相關標準要求。實際上，標準在匿名化要求方面已為車企提供了一定便利，該要求并非極為嚴苛。因為依據7號文的原文規定，本應達到100%的匿名化檢出率。畢竟，對于全量數據而言，10%的人臉數據量也相當多。
在GB/T 44464相關測試的輸入項中，在匿名化測試方面，需提供設備的相關參數。對于個人信息采集同意，若存在例外情況，需作出說明。例如，某些功能或涉及32960標準的數據上傳存在例外情況，均需詳細說明。此外，7號文與GB/T 44464均提及監督使用原則，該原則要求企業對設備精度試用情況進行說明，并填寫相應的表單。
以下是我們構建的全套檢測流程，該流程圍繞個人信息處理全生命周期展開，涵蓋從數據收集、存儲、傳輸到刪除的各個環節，均會進行全面測試。目前，我們已具備相應的檢測能力與設備。
圖源：演講嘉賓素材
在數據傳輸檢測方面，我們設立了屏蔽室，可有效屏蔽外部信號干擾，確保數據抓取的真實性與準確性。此外，我們的無線通信設備具備開展信息安全相關測試的能力。
針對匿名化要求，我們搭建了一套圖像與視頻脫敏測評系統。該系統可自動對企業數據集進行脫敏處理，并輸出相應的檢出率，以評估匿名化處理的效果。