GB 44495-2024 重点解读：休眠安全、数据跨境与应急演练

《汽车整车信息安全技术要求》（GB44495-2024）从车辆低功耗状态防护、跨境数据合规、风险处置能力验证三方面，进一步完善智能汽车信息安全体系，为休眠期安全、跨境数据管控、应急响应能力提供支撑。

车辆休眠安全：守住低功耗状态防护底线

标准针对车辆休眠模式，明确安全要求：一是休眠状态权限管控，车辆进入休眠前自动切断非必要外部接口（如 USB数据接口、Wi-Fi），仅保留紧急通信模块（如碰撞预警、紧急呼叫），核心控制系统（动力、制动）进入锁闭状态，禁止休眠期非法唤醒与操控；二是休眠期数据防护，休眠前自动加密存储未归档的敏感数据，关闭数据传输通道，防止休眠期数据被窃取或篡改，同时记录休眠触发时间、休眠前操作日志，便于异常溯源；三是唤醒安全验证，休眠后唤醒需通过预设验证（如钥匙信号验证、手机APP 身份认证），连续 3 次验证失败则启动休眠锁定，需通过物理钥匙或车企官方渠道解锁，防止非法唤醒。

数据跨境传输：规范跨境数据合规流转

围绕车辆数据跨境场景，标准划定管控要求：一是跨境数据分类，明确 “禁止跨境”“经审批跨境”“合规备案跨境”三类数据，核心控制数据、用户敏感生物数据禁止跨境，车辆诊断数据、非敏感位置数据需经监管部门审批后跨境，脱敏后的统计类数据需备案后跨境；二是跨境传输防护，经批准跨境的数据需采用加密传输（国密SM4 或同等安全等级算法），传输过程需全程记录，包括传输时间、接收方信息、数据类型与量级，记录留存不少于 3年；三是跨境责任界定，车企需对跨境数据负主体责任，确保接收方具备同等安全防护能力，若因跨境传输导致数据泄露，车企需承担整改与赔偿责任，同时向监管部门报备处置结果。

安全应急演练：验证风险处置实战能力

为提升安全事件应对效率，标准明确演练要求：一是演练频率与场景，车企每季度开展一次应急演练，覆盖数据泄露、远程控制攻击、核心系统故障等典型场景，每年需开展一次跨部门联合演练（联合研发、售后、法务部门）；二是演练流程规范，演练需包含“风险识别 - 应急启动 - 处置执行 - 结果复盘” 全流程，明确各环节责任人与响应时限（如风险识别需 30分钟内完成，应急方案启动需 1 小时内完成）；三是演练结果应用，演练后需形成评估报告，分析处置流程漏洞与能力短板，7个工作日内制定整改方案，整改情况纳入车企合规档案，第三方机构每年度对演练效果进行独立评估，评估结果作为合规评级参考。

这三方面要求聚焦智能汽车信息安全的“休眠防护、跨境合规、应急实战”，既通过休眠安全填补低功耗状态防护空白，又通过数据跨境规范合规流转，同时借助应急演练强化实战能力，推动整车信息安全管理更具完整性与实战性。

#GB44495-2024 #车辆休眠安全 #数据跨境传输 #安全应急演练