4、准备阶段-策略制定：安全策略与应急响应策略的制定、策略文档化与审批
好，咱们接着聊准备阶段。前面我们把团队拉起来了，工具也搭好了，但说实话，这些只是“硬件”。真正让应急响应跑起来的，是策略。没有策略，你就像没带地图开车——能跑，但大概率跑偏。
我个人习惯，在项目启动的第一周，就必须把安全策略和应急响应策略的初稿拍下来。为什么这么急？因为策略这东西，越往后拖，利益相关方越多，扯皮越厉害。你想想看，等出了事再定策略，那叫“救火”，不叫“应急”。
4.1 安全策略：给车载系统画条“安全红线”
安全策略是什么？说白了，就是告诉所有人：什么能做，什么不能做，做了会有什么后果。车载系统尤其特殊，它不像IT服务器，重启一下就行。车在路上跑，安全策略的失误可能导致物理伤害。
安全策略的核心要素：
- 资产分级：哪些ECU是核心？哪些是辅助？我在项目中遇到过，有人把网关和车窗控制器放在同一个安全等级里，结果网关被攻破后，车窗也跟着失控了。嗯，这显然不合理。
- 访问控制：谁可以刷写固件？谁可以读取诊断日志？必须明确到角色，甚至到个人。
- 加密与认证：通信链路用什么加密？密钥怎么管理？OTA升级包要不要签名？这些都得写清楚。
- 漏洞披露机制：外部研究员发现漏洞了，找谁？怎么联系？响应时间窗口是多少？
避坑指南：我曾经见过一份安全策略，写了整整80页，但没人看得懂。策略不是学术论文，它是操作手册。每一条都要能落地，能检查。
4.2 应急响应策略：从“发现”到“关闭”的完整路径
安全策略是“平时”的规矩，应急响应策略是“战时”的兵法。应急响应策略要回答几个关键问题：
- 发现漏洞后，谁先知道？——是Tier 1供应商？还是OEM自己的安全团队？
- 怎么确认漏洞是真的？——复现步骤是什么？需要什么环境？
- 怎么控制影响？——是远程切断某个功能，还是强制OTA升级？
- 怎么修复？——是打补丁，还是换硬件？
- 怎么复盘？——漏洞的根本原因是什么？流程哪里需要改进？
我建议，应急响应策略至少要包含以下阶段：
| 阶段 | 关键动作 | 时间目标 |
|---|---|---|
| 检测与报告 | 漏洞发现、初步分类、上报安全团队 | 2小时内 |
| 评估与确认 | 复现漏洞、评估影响范围、确定严重等级 | 8小时内 |
| 遏制与根除 | 制定缓解措施、开发补丁、测试验证 | 48小时内 |
| 恢复与复盘 | 部署补丁、监控效果、撰写事件报告 | 72小时内 |
这里的时间目标，是我个人经验。实际项目中，有些漏洞可能几分钟就搞定了，有些则要拖几周。但策略里必须有个“deadline”，否则大家会无限期拖延。
小技巧：应急响应策略里，一定要留一个“例外处理”通道。比如，某个漏洞影响到了刹车系统，那48小时的修复时间就太长了。这时候需要启动“紧急通道”，直接跳过部分审批流程。
4.3 策略文档化：把“脑子里的东西”变成“纸上的规矩”
策略不写下来，就等于没有。我见过太多团队，开会时说得头头是道，但真出了事，每个人对策略的理解都不一样。文档化，就是为了消除这种歧义。
文档化的几个要点：
- 模板化：每个策略文档都用统一的模板。标题、版本号、生效日期、责任人、审批人，一个都不能少。
- 版本控制：策略会不断更新。我用Git来管理策略文档，每次修改都有记录，谁改的、为什么改，一目了然。
- 可读性：别写长句子。多用列表、表格、流程图。我曾经把一份策略文档改成了“一页纸”版本，贴在每个工程师的工位上，效果比80页的文档好得多。
举个例子，安全策略中关于“密钥管理”的部分，可以这样写：
# 密钥管理策略 v2.1
## 适用范围
- 所有车载ECU的对称密钥与非对称密钥对
## 密钥生成
- 对称密钥：由HSM（硬件安全模块）生成，长度256位
- 非对称密钥：使用ECC P-256曲线，私钥永不离开HSM
## 密钥分发
- OTA升级密钥：通过安全通道（TLS 1.3）分发
- 诊断密钥：由OEM安全团队线下分发，每季度更换一次
## 密钥销毁
- 车辆报废时，由Tier 1供应商远程触发密钥销毁指令
- 销毁后需返回确认码，记录在区块链上
你看，这样写，工程师拿到手就知道怎么干。不需要再猜。
4.4 审批流程：让“老板”签字，让“法务”点头
策略写好了，不能直接发。必须走审批流程。为什么？因为策略是有法律效力的。一旦出了安全事故，策略就是你的“护身符”——证明你已经做了该做的事。
审批流程通常包括：
- 技术评审：安全架构师、系统工程师、测试负责人一起过一遍，确保策略技术上可行。
- 法务评审：法务团队要确认策略符合GDPR、ISO 21434等法规要求。我记得有一次，我们的策略里写了“可以远程收集用户驾驶行为数据”，法务直接打回来，说没有用户同意条款。
- 管理层审批：CTO或VP签字，表示公司层面认可这个策略。这一步很重要，因为应急响应有时候需要调用大量资源，没有管理层支持，寸步难行。
- 发布与培训：审批通过后，策略正式发布。然后必须培训所有相关人员。我见过最惨的情况是，策略发布了，但没人看过，出了事才发现“哦，原来我们有这个规定”。
警告：审批流程不能太长。我见过一个项目，策略审批走了两个月，结果审批完，漏洞已经爆发了。建议设置“紧急审批通道”，对于高风险策略，24小时内必须完成审批。
好了，策略制定这部分就聊到这儿。说白了，策略就是给应急响应画了个框，框里怎么跑，看你的本事。但框本身，必须清晰、可执行、有约束力。下一章，我们会聊聊准备阶段的最后一步——演练与测试。到时候我会分享一个我亲身经历的“翻车”案例，保证让你印象深刻。