SUP.6 信息安全管理是 ASPICE 支持过程组的重要组成部分，核心目标是保障项目所有信息资产的机密性、完整性、可用性，覆盖研发全场景的文档、代码、数据、工具、沟通渠道。车载研发本身具备高保密性，需求文档、架构设计、标定参数、安全策略都属于核心敏感资产，一旦泄露会直接影响企业产品竞争力与安全合规性。不少团队的信息安全只停留在公司层面的 IT 制度，研发场景没有针对性落地措施，权限划分粗放、外发随意、涉密文档无分级管控，既存在数据泄露风险，也无法满足 ASPICE 评估对于信息安全过程的证据要求。

研发场景下信息安全落地，经常遇到几类典型现实问题。访问权限粗放划分，所有研发人员都能查看全部项目文档，核心敏感数据没有做权限隔离。研发文档、代码外发给供应商、合作方没有审批流程，也没有外发记录，泄露之后无法追溯。涉密信息没有分级，普通文档和安全相关机密文档同等管理，要么管控不足要么过度管控。信息安全只靠制度约束，没有和研发工具、流程结合，执行全靠员工自觉，缺少管控手段。信息安全相关的评审、检查记录缺失，ASPICE 评估时拿不出过程执行证据。

SUP.6 不是写一份信息安全制度就可以，要把信息安全要求嵌入研发全流程，访问、外发、存储、归档每个环节都要有管控、有记录。

亚远景 APMS 研发过程管理平台承载研发场景信息安全管控。所有工作产物按敏感等级分类标记，不同等级对应不同的访问权限，核心涉密文档仅授权指定人员访问，权限变更走审批流程。文档、代码外发执行线上审批，记录外发对象、版本、时间、审批人，外发文件加水印与溯源标识，泄露可追溯。所有信息资产统一存储，禁止核心敏感数据保存在工程师个人设备。平台定期生成信息安全检查记录，留存检查与整改证据，满足 ASPICE 评估取证要求。

亚远景 DPAI 垂类 AI 可以辅助扫描文档与代码，识别敏感信息与涉密内容，提示分级标记建议，辅助排查违规外发风险；信息安全的最终审批、等级判定依旧需要管理人员与安全负责人确认。

亚远景 PCAT 过程能力评估工具预置 SUP.6 专项检查点。内部预评估阶段核查权限管控、外发审批、信息分级、检查记录，识别信息安全管控松散的情况，在正式 ASPICE 评估之前完成整改。

工具负责权限管控、流程审批、记录留存，但信息安全策略制定、分级标准、风险判定，必须依靠企业安全与管理团队完成。把信息安全嵌入研发全流程，用工具落地管控动作，留存完整证据链，才能够落实 SUP.6 各项基础实践，满足 ASPICE 评估取证要求。