智能网联汽车:供应链网络安全研究报告

一辆智能网联汽车由多少家供应商共同造就？

答案可能是数百家。从芯片到软件，从传感器到云服务，从通信模组到数据算法——一辆车的网络安全的水平，不取决于最强的那个环节，而取决于最弱的那个。

这就是供应链网络安全的本质：木桶效应。

汽标委最新发布的这份报告（91页，联合30+家机构编写）试图回答一个核心问题：在GB 44495-2024、ISO/SAE 21434等整车标准已经建立的基础上，供应链层面的网络安全标准如何落地？

读下来的关键判断是：行业不缺标准，缺的是能让标准穿透整条供应链的执行机制。

一、供应链到底有多复杂？

报告给出了一个清晰的供应链结构图：

第一层：车辆制造商（OEM）——供应链安全的总责任人，负责整车集成、供应商管理、合规验收。

第二层：产品供应商

• 一级供应商（Tier 1）：直接对接OEM，提供关键系统与核心组件
• 二级供应商（Tier 2）：向一级供应商提供子系统或关键技术
• 三级及以下：提供基础原材料、基础组件

第三层：第三方服务商：测试认证、咨询审计、云服务、网络安全运营等。

问题来了：链条越长，漏洞越多。

一辆智能网联汽车的供应商层级可能延伸至四五层，每一层都有软件、硬件、数据、服务——任何一层出问题，都可能成为攻击者的突破口。

二、七大问题，戳中行业痛点

报告系统梳理了当前供应链网络安全的七大问题：

1. 责任边界模糊 OEM、一级供应商、二三级供应商之间的网络安全责任没有清晰的划分标准。出问题时互相推诿，归属难定。

2. 需求传递衰减 主机厂向Tier 1传递安全需求时尚能说清，但Tier 1向Tier 2、3传导时，理解偏差、简化遗漏是常态。"网络安全要求"到末端供应商手里往往已经"缩水"。

3. 能力参差不齐 头部OEM和核心Tier 1已建立专业安全团队，但大量中小零部件供应商既没有专职安全人员，也缺乏漏洞扫描能力——他们是供应链安全的最薄弱环节。

4. 信息共享的两难 过度共享容易泄密（报告提到某Tier 1员工违规下载主机厂路测核心数据，在暗网标价数千万元）；过度保密则导致漏洞响应延迟。平衡是难题。

5. 威胁监测滞后 多数供应商缺乏实时化、全链路的威胁感知体系，更谈不上快速响应。OTA升级的合规审批流程冗长，导致高危漏洞修复周期被人为拉长。

6. 评价机制缺失 供应商准入阶段缺乏量化网络安全指标，合作存续阶段缺乏动态复评制度。重形式、轻实效是普遍现象。

7. 管理流程不规范 技术文档流转无严格审批，数据访问权限管理松散，保密协议形同虚设。

这七个问题相互交织，形成了一个系统性的安全风险网络。

三、政策节点：2026年和2028年

报告指出了两个关键时间节点：

• 2026年：新申报车型必须满足GB 44495-2024合规要求
• 2028年：存量车型完成升级适配

这意味着供应链网络安全不再是"建议项"，而是倒计时的合规任务。

国际层面，UNECE R155/R156已将供应链网络安全纳入型式批准要求，ISO/SAE 21434成为跨国供应链的"安全信用证"——通过认证的企业可大幅缩短国际合作审核周期。

欧盟《网络弹性法案》（2024年10月）更进一步：所有出口欧洲的数字化产品必须提供软件物料清单（SBOM）、漏洞报告机制和安全补丁更新。

出海，就必须满足国际规则。

四、核心机制：SBOM与CIA

报告提出两个贯穿全篇的关键机制：

SBOM（软件物料清单）：要求企业维护规范化的软件组成清单，覆盖所有第三方库、中间件、操作系统，细化至源代码版本和依赖关系层级，并与漏洞数据库联动分析。

禁止使用存在高危及以上漏洞未经处置的开源组件。

CIA（网络安全接口协议）：需方与供方之间签署的网络安全接口文件，明确安全边界、数据交互方式、加密认证机制、密钥管理策略，以及安全事件处置的职责分工。

这不是合同附录，而是具有法律约束力的安全责任载体。

五、技术要求：13个维度

报告从13个维度提出了供应链网络安全的基本技术要求：

密码模块、SBOM、第三方组件安全、访问控制、敏感个人信息存储、硬件安全（单元级+芯片级）、云服务安全、软件开发安全、安全架构设计、安全启动与可信执行、通信与接口安全、安全事件日志与审计、OTA软件升级。

其中几个值得特别关注的细节：

• 高危漏洞72小时修复：时限要求（软件开发安全章节）
• 调试接口必须封闭：JTAG、UART等在量产阶段应禁用
• OTA双重签名机制：供应商+主机厂双方密钥签名
• 密钥存储在HSM（硬件安全模块），遵循"专人管理、分级授权"原则
• 数据跨境：必须通过主管部门安全评估，使用国密算法

六、趋势判断

1. 从"整车安全"到"全链安全"：GB 44495解决了"车本身"的安全问题，但供应链的"责任穿透"和"需求传递"问题必须另有一套机制。

2. SBOM从"可选项"到"必选项"：欧盟市场准入倒逼SBOM成为行业标配，国内标准化只是时间问题。

3. 漏洞响应进入"小时级"时代：72小时的修复时限要求，意味着供应商必须建立7×24的安全运营能力。

4. 中小供应商面临洗牌：缺乏安全能力的供应商将被头部OEM排除在核心供应链之外，安全投入不再是成本而是准入门槛。

5. 车载AI带来新挑战：报告明确提出，下一步工作计划将聚焦车载人工智能技术的网络安全风险——大模型上车带来的供应链安全新课题。

本文基于全国汽车标准化技术委员会《智能网联汽车：供应链网络安全研究报告》整理解读，更多详细内容请阅读原文。