数字化浪潮以来，装备制造业很早就已经开始对传统生产制造方式进行数字化转型升级。尤其汽车产业对数字化技术的使用，在促进产品力不断提升的同时，也让消费者感受到了更民主、舒适的驾乘体验。将视线展望到下一个十年——网络连接的丰富、多样性传感器的使用、终端算力的提升都将给产业的未来赋予无限可能。而这些可能和未来从技术表现上看，明显地呈现出数字化技术在从车外向车内蔓延的趋势。随之而来的挑战是，信息安全管理也在发生根本性的变化，之前行业关注的主被动安全已经不能解决消费者的安全顾虑，信息安全、功能安全问题开始越来越多被行业所提及和重视。
过去的二十年，汽车行业把大量的数字化技术应用在协同工作、设计开发、销售及服务等方面，因此信息安全建设过去几乎没有围绕汽车实施。同时由于生产环境和物理环境的相对封闭，我们也看到国内大量整车厂针对传统信息安全建设的缺位。信息安全不是个新话题，但是在汽车行业开始被重视并且实践，是近两年才开始的。
近年通过大量的走访、调研，我们发现汽车行业在智能网联汽车信息安全建设过程中，目前存在大量的建设误区，导致成本及资源的浪费，未来甚至可能埋下新的安全隐患。因此我们总结了几大常见误区，供行业管理者参考——
信息安全战略不清晰
智能网联汽车信息安全与车辆主被动安全不同，需要同时考虑人员、策略、技术等多维度的风险控制。而风险战略自上而下、由内而外都需要兼顾，需要调配供应链、IT、法务、风控、电子电器、车内网络甚至销售运维等多个部门，需要项目参与人都拥有相当的风险控制意识，需要在车辆的整个生命周期都贯彻风险管理措施……因此信息安全战略的缺失或者不完善，很大程度上会影响整车企业信息安全建设的走向。
同时，预计整车企业未来将要面对的合规挑战也将异常艰巨。除国内外层出的网络安全、数据隐私法规以外，随着未来行业标准的落地，车辆信息安全检测也将补位并实施执行。而以当前的情况来看，大量的车企在信息安全建设过程中都存在安全战略不清晰，安全建设被项目主导而非规划主导的情况，甚至许多企业迄今为止没有专职安全团队或者责任人负责车辆信息安全。尤其在安全建设的关键时期，由不同部门在不同框架下实施安全项目也将给企业带来较高的管理成本，不利于企业培养建设独立有效的安全团队。
忽略组织安全的必要性
我们一直强调，不安全的组织管理不了安全的系统。同样，如果企业上下没有安全基因或者风险控制意识的话，哪怕实施最高成本的安全技术，都有可能导致安全管理的内部塌陷。信息安全管理作为企业风险控制的重要一环，需要持续地与各种风险管理做并行考虑。由于智能网联汽车生命周期较长，车辆设计开发生产运维等过程涉及到的企业内部部门及人员较多，每一个人都有可能成为关键信息的泄密者，因此这就更需要关注组织安全的重要性。而我们目前看到的现状是，当前大量车企对已有组织安全标准ISO 27000系列的贯彻及认证都处于缺失状态。
在智能网联汽车信息安全管理建设过程中，组织安全始终应当是一切信息安全管理的基础，也是企业对合作伙伴、消费者的基本安全承诺。没有人会放心把自己的资产交给一个不可靠的组织，也没有人会相信不可靠的组织会开发运营一套可靠的系统。因此组织安全的重要性、保密文化的建立都需要企业管理者做更好的实践及贯彻。
重技术轻管理
目前智能网联汽车处于关键技术发展期，而信息安全建设中的很多难题也让管理者辗转反侧，整个行业目前处于“急体焦虑”阶段。因此有太多时候工程师们将精力放在了如何解决单点技术问题上，如：TCU安全怎么解决，如何用更可靠的代码保护，如何保护云端资产等……很容易就陷入“工程师思维”的泥沼，忽略安全管理的重要性。
与车辆可靠性管理类似，信息安全管理并非采用了最好的安全零部件或者安全产品就够了，需要同时考虑信息资产的特殊性——许多时候信息资产是不可见的，而对不可见资产的管理，需要综合考虑其在生成、流转、销毁等全生命周期的风险。这其中大量的风险，单靠技术手段是无法有效解决的，如对供应商的风险转移，对内部员工的保密要求，对私钥的严苛管控，对安全权限的合理划分，对安全流程的严格执行等，不只需要考虑采用何种技术手段，还需要同时兼顾安全管理的并行保障。所有安全准则都会强调安全管理的重要性，而管理实质是人员及流程的管控，成功有效的安全管理可以用相对较低的成本达成更高的管理效果。
