汽车供应链易受攻击 网络安全监管迫在眉睫

近三分之二(64%)的汽车行业领导者认为，他们的供应链容易受到网络攻击，许多企业没有为互联汽车时代做好充分准备。这是根据卡巴斯基对汽车行业至少1000名员工的大型企业C级决策者进行的200次采访得出的最新研究结果。它揭示了汽车公司在生产的几乎每个阶段——从厂商到供应商——遭遇的广泛攻击。

信息娱乐系统及其连接，蕴含着最大的网络安全问题

软件提供商提供的信息娱乐系统和连接技术的整合是汽车行业面临的最大供应链风险，根据汽车威胁情报报告，34%的受访者将此列为他们最关心的网络安全问题。连接程度越来越高的信息娱乐系统是许多驱动程序的主要卖点，但它们也带来了一系列新的漏洞。

报告发现，人们对联网汽车、软件更新和车与车通信的担忧巨大，被认为是未来两年最大的汽车网络安全挑战。受访者提到的最大攻击担忧是网络钓鱼、Wi-Fi/蓝牙和勒索软件攻击。据卡巴斯基称，在过去12个月里，Conti、LockBit和Have是汽车网络攻击中最常见的勒索软件。

尽管认识到企业面临的风险，但汽车高管似乎很难将威胁情报的真正影响与具体的业务运营联系起来，近三分之一(29.5%)的受访者表示，他们目前看不到网络情报投资的价值，更重要的是，与解释和理解网络安全术语相关的持续问题加剧了高管的挑战，研究发现，超过三分之一(35%)的受访者表示，令人困惑的行业术语是更广泛的管理团队对网络风险以及他们应该如何应对的整体理解能力的最大障碍。

新的汽车网络安全法规即将出台

从2024年7月起，UN155/156(由联合国欧洲经济委员会WP.29规定)将要求所有原始设备制造商(OEM)及其供应链包括多层网络安全解决方案，以防御当前和未来的网络攻击，这是有史以来第一个在网络安全方面要求车辆类型审批的法规，正在开发的车辆从开发和生产到客户使用都需要遵守这些新法规，如果做不到这一点，可能会导致汽车生产被关闭。

然而，调查结果表明，汽车行业在很大程度上仍然落后，42%的受访者表示，他们目前没有在最后期限之前制定计划，另有63.5%的受访者表示，他们不太参与合规规划，尽管64%的受访者同意应对网络威胁是一个战略性的董事会问题，超过三分之二的受访者表示，整个行业需要更多地了解这些标准的含义及其对企业的意义。

汽车网络攻击的附带损害可能是严重的

卡巴斯基汽车研究主管克拉拉·伍德告诉记者，汽车供应链容易受到网络攻击，因为其固有的安全和可靠性要求，以及从分层的OEM网络获取的数据范围，每个OEM带来不同的组件。“相互通信的零部件数量之多，如果没有得到适当的保护，就可以成为切入点。供应链的任何中断或损害都可能产生严重后果，但就汽车而言，潜在的附带损害可能非常严重，包括生命损失。”

伍德表示，随着自动驾驶、互联汽车、电动汽车和共享移动性等尖端功能和服务的引入，该行业迅速发展，很可能成为恶意行为者的重点目标。他们的动机可能各不相同，包括通过勒索软件和知识产权盗窃等策略获得经济利益，破坏性攻击，甚至纯粹由恶意动机驱动的网络攻击。

保护汽车供应链需要分层、全面的方法

伍德说，在现代数字环境中保护汽车供应链需要分层、全面的方法。“过去，公司通常专注于保护他们的直接系统和网络。然而，随着互联设备和数字通信的激增，这种方法已经不够了。”

她补充说，网络安全应该无缝地整合到运营的各个方面，以一种协作的方式，让所有供应商、合作伙伴和利益相关者共享相同的网络风险定义，并站在同一立场上，以确保他们都遵守最高的网络安全标准。攻击可能从链中的任何一点开始，来自任何供应商，无论多么小，因此主动审查合作伙伴网络绝对至关重要。

培训和提高认识计划对于确保企业中的每个人以及外部合作伙伴了解网络安全最佳实践至关重要。此外，定制的威胁情报报告可以为来自黑暗网络的新兴威胁和特定于汽车行业的趋势提供有价值的见解，使安全运营中心能够更有效地保护其网络。“在基本层面上，补丁管理、网络分割和定期安全评估是不可替代的，它们为稳固的网络安全战略奠定了基础。”伍德说。然后，可以通过持续监测供应链和制定明确的事件响应计划来加强这一点，以便在发生安全漏洞时迅速有效地做出反应。