上汽零束如何对汽车的每一行代码进行质检？

如何践行安全左移，以及什么样的流程体系和技术手段能保障安全左移的贯彻实行？本期《CSO面对面》，我们邀请到上汽零束网安实验室负责人王君锋，探讨智能汽车“安全左移”之道。

腾讯安全：智能化、信息化的引入给汽车带来的安全风险主要表现为哪几类？

王君锋：引入智能化和信息化带来了更好的驾乘体验，同时也引入了一些安全风险。归纳来看，主要可分为三类：

一、智驾及行车相关的安全风险：即非预期的车辆行驶干预控制，可能会给车主、乘客及相关方带来安全交通方面的风险；

二、数据安全风险：智能车承载的行驶轨迹、地理信息、车外影像等信息。不规范的采集行为、数据保护能力的缺失带来的安全风险；

三、系统可用及稳定方面的风险：车联网系统可能会受到的拒绝服务攻击影响，导致功能受影响或不可用的风险。

腾讯安全：任何新技术的发展都会伴随一些风险，但这也无法阻挡发展的脚步。汽车智能化似乎是不可逆的进程，零束科技如何兼顾发展和安全？

王君锋：零束科技是智能车新赛道的领跑者，很注重建设端到端的智能网联汽车的网络安全跟数据安全融合的研发体系。当前已经具备了覆盖整个研发生命周期的网安、数安双结合的解决方案。

落地实践方面，我们会遵循产品安全开发生命周期的原则，在早期我们就会引入相应的一个安全工作，尽量地保障产品的安全力是随着产品的研发慢慢生长出来的。我们追求好的产品体验，但绝不会牺牲安全去追求体验。

腾讯安全：人们通常认为“在生命周期越早阶段发现安全隐患，修复成本越低”，您对此有无切身体会？

王君锋：做一个类比可能更好理解。产品研发我们可以类⽐成建房⼦，如果安全隐患在屋顶，直接对屋顶加固就可以，但是如果隐患在地基或者接近地基，修复成本就很⾼了。所以说，安全是产品的固有属性，并⾮可以简单剥离或添加的参数。所以产品安全性的保障需要在研发前期就纳入考虑。

落实到汽车上，⼤家可能会提到用OTA功能去修复安全的问题，但汽⻋并不是纯粹的软件产品，其具备⼀定复杂度，并不是所有的问题都能OTA 修复。因此，推进“安全左移”实践是必须选择的路径。

腾讯安全：零束在落实“安全左移”的过程中，目前遇到主要的挑战是哪些？

王君锋：安全左移工作是个大的系统工程，涉及研发流程、工具、技术人员、问题管理、风险管理、质量等方方面面，但是归纳看，最大的挑战还是在于效率和安全的冲突。开发视角最关心效率，如何高效实现功能及迭代。而安全侧，则关心如何把安全落实到开发过程中去，挑战就在于这种冲突的调节。

腾讯安全：你们用哪些方式（流程制度和技术手段）保障安全左移的落地？

王君锋：零束科技很重视安全工作，我们也是国内最早一批拿到 ISO 21434体系资质认证的公司。流程上，我们在不同的环节定义了不同的安全活动，包括威胁建模，方案设计，代码扫描评审等；有了规范流程，工作可以有章可依；技术上，除了安全评审，在不同阶段我们配置了不同的安全工具，比如SAST、DAST、 SCA等安全分析工具在相应节点帮助开发检测代码中的漏洞和缺陷。安全工具配合好的流程，一起保障安全开发实践真正落地。

腾讯安全：在你们安全左移的过程中，腾讯安全的产品发挥了什么作用？

王君锋：我们和腾讯安全的合作比较早了，起初是把安全分析产品（sysAuditor）用于辅助漏洞挖掘安全研究，提升测试效率；随着产品迭代和推进安全左移工作，安全研发流程进一步完善，我们安全团队把这个分析工具也成功集成到了DevOps流水线，为开发持续进行安全扫描分析，拓展了工具的应用场景，服务了我们安全左移的目标，内部达到了非常好的效果。

腾讯安全：除了车机系统之外，对于一个车企而言，它的整个IT系统里需要引入第三方的软件，开发者在开发进程中需要调用大量容器、API、第三方组件，这些都会涉及开发安全的问题，您认为应该如何尽可能去规避风险？

王君锋：安全实践的思路是共通的。提前规避⻛险，就需要结合现有研发流程去实践安全开发生命周期，即SDL，关键需要做好几方面工作：

• 引入威胁建模：通过威胁建模活动识别风险，提前制定应对策略，包括安全审查，漏洞扫描，安全配置，访问控制等；
• 使用安全工具：集成安全开发工具，包括静态分析，动态分析等，支持开发过程中快速发现潜在安全漏洞和脆弱性；
• 定期安全审计：定期对代码，配置和依赖项等审查，以发现和纠正潜在安全问题；
• 持续监控记录：实施监控机制，及时发现三方组件安全漏洞，迅速识别异常行为，做好日志记录。

腾讯安全：消费者在购买一件商品时，很少会把“安全性”作为一个考量的重要指标，但汽车是例外，您如何理解这个现象？

王君锋：汽车是交通工具，不管怎么发展，其核心功能是帮助人类安全快捷的实现从A点到B点，所以安全是其产品的固有属性。没有安全性，人类是不会拥抱这个产品的，汽车也不会普及起来。

安全技术是汽车技术的底层基础技术，车企在安全方面投入是必须要做的。新技术不断更新发展，安全技术的持续积累，能够帮助产品做得更好，企业走得更远。

腾讯安全：安全是看不见、摸不着的，如何让企业管理者理解安全工作的价值，一直是企业网络安全部门一个很棘手的问题。腾讯安全在2023年和第三方产业界机构一起发布了一个“数字安全免疫力”模型，您如何看待这个模型的价值？

王君锋：从公司领导层的视⻆，需要快速了解整体安全态势、安全薄弱项等宏观信息。（腾讯安全提出的）数字安全免疫⼒模型提供了⼀种⽅法选择，是⼀种很好的思路。