4 月 29 日，英國消費者互聯產品安全制度正式開始生效，英國由此成為首個禁止在物聯網設(she)備上(shang)使用默認弱密碼的國(guo)家。
圖源：英國政(zheng)府(fu)官網
該(gai)法(fa)案誕(dan)生的(de)起源最早(zao)可以(yi)追溯到 2016 年 10 月 21 日發生的(de)惡性網絡(luo)攻擊事件(jian)。
當時，黑客們(men)使用了(le)(le)一(yi)種被稱作“物(wu)(wu)聯(lian)網破壞者”的(de) Mirai 病(bing)毒，該病(bing)毒每(mei)掃描(miao)到一(yi)個(ge)(ge)物(wu)(wu)聯(lian)網設備（比(bi)如網絡攝像頭(tou)、智能開關(guan)等）后，就會嘗試使用默認(ren)密碼(ma)進行(xing)登(deng)陸（一(yi)般為 admin/admin，Mirai 病(bing)毒自帶 60 個(ge)(ge)通用密碼(ma)），一(yi)旦登(deng)陸成功，這(zhe)(zhe)臺物(wu)(wu)聯(lian)網設備就進入“肉(rou)雞(ji)”名單，開始(shi)被黑客操(cao)控攻(gong)擊其他網絡設備。黑客們(men)借此控制(zhi)了(le)(le)美(mei)國(guo)大量的(de)網絡攝像頭(tou)和相關(guan)的(de) DVR 錄像機，然后操(cao)縱這(zhe)(zhe)些“肉(rou)雞(ji)”攻(gong)擊了(le)(le)美(mei)國(guo)的(de)多(duo)個(ge)(ge)知名網站，包括(kuo) Twitter、Paypal、Spotify 在內等多(duo)個(ge)(ge)人們(men)每(mei)天都用的(de)網站被迫中斷(duan)服務(wu)，幾乎讓美(mei)國(guo)大半個(ge)(ge)互聯(lian)網陷入癱(tan)瘓狀態(tai)。
Mirai 病毒由(you)三名(ming) 20 歲左右的(de)美國公(gong)民(min)開發(fa)(fa)，雖然他(ta)們很快被逮(dai)捕并處罰，但該病毒卻引發(fa)(fa)了(le)產(chan)業的(de)廣(guang)泛擔憂——如(ru)果物聯網設(she)備制造(zao)商的(de)安全策略(lve)過(guo)于草(cao)率，那么(me)有可(ke)能造(zao)成廣(guang)泛的(de)、出(chu)乎意料的(de)影響。
英國最新法案的落地，正是對這類安全漏洞的有力回應。它要求物聯網設備制造商在生產過程中就加強安全防護措施，從源頭上杜絕弱密碼等安全隱患。具體而言，物聯網設備將不得使用“admin”或者“12345”等默認密碼，而且制造商還需要發布聯系方式，以便用戶可以報告錯誤。
不符(fu)合規定的(de)產(chan)品可能(neng)面(mian)臨(lin)(lin)被(bei)召回，相(xiang)關(guan)公司則面(mian)臨(lin)(lin)最(zui)高(gao) 1000 萬(wan)英鎊或其全球收入 4% 的(de)罰款(kuan)，以較高(gao)者(zhe)為準(zhun)。
英國物聯網安全法案相關細節
從 2024 年 4 月 29 日(ri)(ri)起(qi)，英國消(xiao)費者互(hu)聯產(chan)品(pin)(pin)安(an)全(quan)制度正式生效。從該日(ri)(ri)期起(qi)，該法(fa)律將要(yao)求英國消(xiao)費者互(hu)聯產(chan)品(pin)(pin)（或“智能(neng)”產(chan)品(pin)(pin)）的制造商遵守該法(fa)案中(zhong)規定的相關義務，其中(zhong)包括確保(bao)他們及其產(chan)品(pin)(pin)滿足相關的最低安(an)全(quan)要(yao)求。
該制(zhi)度由兩(liang)項立法組(zu)成：
《2022 年(nian)產品安全和電信(xin)基礎設施 ( PSTI ) 法(fa)案》第(di) 1 部分(fen)；和
《2023 年產品安全和(he)電信基礎設施（相關互聯(lian)產品的安全要求）法(fa)規》。
圖源：英國政(zheng)府官網(wang)
PSTI 法案(an)于(yu) 2022 年 12 月獲得批準。政(zheng)府于(yu) 2023 年 4 月發布了 PSTI（相關互聯產品的安全要求）法規(gui)的完整草(cao)案(an)。這些法規(gui)于(yu) 2023 年 9 月 14 日簽署成為法律。
誰受到新法規約束？
簡單來說，相關互聯產品的制造商、進口商和分銷商將受到新法規約束。所以該法規會對中國物聯網設備制造商的出海產生一定影響。
哪些產品受到管控？
PSTI 管控產品范圍包括互聯網連接的產品，例如網絡攝像頭、智能門鎖、報警系統、智能家居助手、智能手機、智能家電、可穿戴設備等；也適用于不能直接連接到互聯網但能同時連接到多個其他設備的產品，如智能照明器具、智能控制器、物聯網基站等。
不在 PSTI 管(guan)控范圍的(de)(de)產品(pin)包括計算機（a) 臺式(shi)電(dian)腦(nao)；(b) 筆記本(ben)電(dian)腦(nao)；(c) 不具(ju)備連接蜂窩網絡能力的(de)(de)平板電(dian)腦(nao)（根據制造商的(de)(de)預期用途，專為14歲以下兒童設計的(de)(de)，不屬于例外產品(pin)）、醫療產品(pin)、智能電(dian)表產品(pin)、電(dian)動汽車充電(dian)器(qi)，及藍牙一對(dui)一連接產品(pin)。
值得注意的是(shi)，這些產品也(ye)可能(neng)有網絡安全要求(qiu)，但不在PSTI法案(an)管控(kong)(kong)范(fan)圍，而是(shi)可能(neng)由其它法案(an)管控(kong)(kong)。
法規關鍵要求
①通用默認密碼要求：法規禁止(zhi)通用默認密(mi)碼，并對密(mi)碼強度有相關要(yao)(yao)求。這意(yi)味(wei)著，用戶(hu)在首次使用時(shi)需要(yao)(yao)提供(gong)唯一的(de)密(mi)碼，或需要(yao)(yao)更(geng)改密(mi)碼。
②安全漏洞報告與處理：制造商(shang)必須提供有(you)關如何(he)向他們報告(gao)其產品安(an)全(quan)(quan)漏洞的信(xin)息。制造商(shang)還(huan)必須提供有(you)關時間(jian)范(fan)圍的信(xin)息，在該時間(jian)范(fan)圍內(nei)確(que)認收到報告(gao)和狀態更(geng)新，直到報告(gao)編(bian)寫者可(ke)以預(yu)期(qi)所報告(gao)的安(an)全(quan)(quan)問(wen)題(ti)得到解決。
③最短的安全更新周期信息：制造商需(xu)要(yao)有(you)明(ming)確(que)且(qie)透明(ming)的(de)(de)(de)方(fang)式對(dui)用戶公(gong)布最短的(de)(de)(de)安全(quan)更新周期，即明(ming)確(que)說明(ming)制造商將(jiang)持(chi)續(xu)提供多(duo)長時間的(de)(de)(de)更新。這(zhe)些信息應以英文免(mian)費(fei)提供，無需(xu)事先請(qing)求，并且(qie)以不具備(bei)任何技術知識(shi)的(de)(de)(de)讀者也能理解(jie)的(de)(de)(de)方(fang)式提供。
同時(shi)，法案范圍內產(chan)品必須(xu)隨附合(he)規聲明，其中(zhong)必須(xu)包括以下信息(xi):
產品(類型和批次)
每個制造商的(de)名稱和地址，以及(如適用)其授權代(dai)表
聲明由產品制造商或其代表(biao)編(bian)寫
符(fu)合(he)(he)(he)相關安全要求(《PSTI條(tiao)例》附表1)或符(fu)合(he)(he)(he)視(shi)為(wei)符(fu)合(he)(he)(he)的(de)條(tiao)件(附表2)的(de)聲明
制造商首次供應產品時正確的(de)產品規定支(zhi)持期(qi)
合規聲明的(de)簽名、簽名人姓(xing)名和(he)職務以及簽發地點(dian)和(he)日期
法規如何執行？
據(ju)悉，產(chan)品安全和(he)標準辦公室 (OPSS) 將根據(ju)與 DSIT 簽(qian)署的諒解(jie)備(bei)忘錄，自(zi) 2024 年(nian) 4 月 29 日(ri)起負(fu)責執行 2022 年(nian)PSTI 法(fa)案和(he) 2023 年(nian)法(fa)規。
OPSS 隸屬于(yu)商業貿(mao)易部，已經執行(xing)英(ying)國現(xian)有的產品安(an)全法(fa)規 OPSS 將利用現(xian)有流程和(he)(he)關系，以穩健和(he)(he)基于(yu)風險的方式執行(xing)英(ying)國產品安(an)全制度(du)，并對不遵守義務的企業采取適當和(he)(he)相稱(cheng)的行(xing)動。
各國相繼出臺物聯網安全相關政策
據研究機(ji)構預測(ce)，到 2030 年物(wu)(wu)聯網設(she)備數量(liang)將超過 294.2 億，按(an)照聯合國預測(ce) 2030 年全球人(ren)口 85 億計算(suan)的(de)話(hua)，屆時(shi)平(ping)均每個人(ren)就對應 3 臺物(wu)(wu)聯網設(she)備。
隨著聯網設備的激增，IoT 設備終端受到網絡攻擊的次數也越來越多，消費者對網絡安全和隱私保護意識在逐漸增強，品牌商的網絡安全和數據保護已提升到了戰略地位。網絡安全法規強制性化漸成趨勢，各個國家紛紛出臺了網絡安全法規，例如中國、歐盟、英國、新加坡、巴西、日本以及美國都已經提上了日程，以增強市場物聯網產品規范化管理。
早在 2020 年，新加坡網(wang)絡安(an)全局 (CSA) 表(biao)示，新加坡已加入制定網(wang)絡安(an)全標簽計劃的(de)(de)(de)國(guo)(guo)家行列，這在亞太地區尚屬首(shou)次。該計劃允許用戶在購(gou)買產(chan)品(pin)之前輕松評估產(chan)品(pin)的(de)(de)(de)安(an)全性(xing)，識別具有(you)更(geng)好網(wang)絡安(an)全措施(shi)的(de)(de)(de)產(chan)品(pin)，并做出明智的(de)(de)(de)決定。隨后的(de)(de)(de)幾年間，新加坡陸續推動了(le)和(he)多個國(guo)(guo)家、地區、聯盟的(de)(de)(de)網(wang)絡安(an)全標簽互認證。
今年 3 月，美國聯(lian)邦通訊委員(yuan)會 (FCC) 公開投(tou)票正(zheng)式通過了(le)物(wu)聯(lian)網(wang)(wang)安(an)(an)全(quan)標(biao)簽計(ji)劃 (Cybersecurity Labeling Program)，在該(gai)計(ji)劃下，符合(he)相關條件的(de)消費(fei)物(wu)聯(lian)網(wang)(wang)產(chan)品(pin)將被賦予網(wang)(wang)絡(luo)安(an)(an)全(quan)標(biao)識標(biao)簽 (Cyber Trust Mark)，方便消費(fei)者根據產(chan)品(pin)安(an)(an)全(quan)信息做出購買決(jue)策(ce)，同時安(an)(an)全(quan)可信產(chan)品(pin)在市(shi)場(chang)上(shang)具有差異化優勢，激勵物(wu)聯(lian)網(wang)(wang)產(chan)品(pin)制造(zao)商推(tui)出符合(he)更高安(an)(an)全(quan)標(biao)準的(de)產(chan)品(pin)。
隨后不久的 4 月，日本經(jing)濟產業省發布了《物聯網(wang)安全(quan)(quan)合(he)格評估(gu)計劃草(cao)案》征求意見稿，可以看作是日本版(ban)物聯網(wang)安全(quan)(quan)標簽計劃，對標美國、新加坡等國家(jia)和地(di)區的物聯網(wang)安全(quan)(quan)標簽計劃。
同樣是在 4 月，歐盟投票(piao)通過(guo)(guo)了《網(wang)絡(luo)安全(quan)(quan)彈性法案(an)（CRA）》，這(zhe)是一項旨在全(quan)(quan)面提(ti)升歐盟(meng)境內(nei)數字產品(pin)(pin)安全(quan)(quan)防護水(shui)平(ping)的(de)重大舉(ju)措(cuo)。該法案(an)的(de)覆蓋范(fan)圍廣泛，不僅關注產品(pin)(pin)的(de)設計和(he)生產過(guo)(guo)程，還延(yan)伸到產品(pin)(pin)的(de)銷售、使用以及(ji)報(bao)廢處理等(deng)環節(jie)。這(zhe)意味(wei)著，在歐盟(meng)市(shi)場上(shang)銷售的(de)每一款(kuan)數字產品(pin)(pin)，都(dou)必(bi)須(xu)(xu)經過(guo)(guo)嚴格的(de)審查，確(que)保其符合法案(an)規(gui)定的(de)網(wang)絡(luo)安全(quan)(quan)標準。以漏(lou)洞(dong)報(bao)告為例：制造商必(bi)須(xu)(xu)在24小時內(nei)向其指(zhi)定的(de)歐盟(meng)成員國計算機安全(quan)(quan)事故響應小組 (CISRT) 報(bao)告任何被惡意行為者利(li)用的(de)產品(pin)(pin)漏(lou)洞(dong)。然后，制造商必(bi)須(xu)(xu)在72小時內(nei)提(ti)交一份(fen)(fen)總(zong)體(ti)跟進報(bao)告，并在緩解措(cuo)施出臺后 14 天內(nei)提(ti)交一份(fen)(fen)詳細報(bao)告。
再看我國， 2021 年，工信部印發物聯網基礎安全標準體系建設指南的通知，提出到2022年，初步建立物聯網基礎安全標準體系，研制重點行業標準10項以上，明確物聯網終端、網關、平臺等關鍵基礎環節安全要求，滿足物聯網基礎安全保障需要，促進物聯網基礎安全能力提升。到2025年，推動形成較為完善的物聯網基礎安全標準體系，研制行業標準30項以上，提升標準在細分行業及領域的覆蓋程度，提高跨行業物聯網應用安(an)全(quan)水平(ping)，保障(zhang)消費者安(an)全(quan)使(shi)用。
物聯網設備制造商需積極應對安全挑戰
近期，Asimily 發(fa)布了一份(fen)題(ti)為《2024 年物聯網設(she)備安全：無所作為的高昂成本(ben)》的新報告，報告有一些核心洞(dong)察值得關注：
從受攻擊的設備來看，路由器是最具針對性的物聯網設備，占所有物聯網感染的 75%。黑客利用路由器作為訪問網絡內其他連接設備的墊腳石。安全攝像頭和 IP 攝像頭是第二大目標設備，占所有攻擊的 15%。其他常見的目標設備包括數字標牌、媒體播放器、數字錄像機、打印機和智能照明。該報告還強調了與專業設備相關的特別嚴重的風險，包括對醫療保健中的患者護理至關重要的設備（包括血糖監測儀和起搏器）、制造業的實時監測設備以及市政當局的水質傳感器。
從受攻擊的行業來看，犯罪分子越來越將注意力集中在制造業、金融和能源行業，零售、教育、醫療保健(jian)和(he)政府組織仍然是熱門(men)目標，而媒體和(he)交通(tong)在過(guo)去(qu)幾年中已(yi)不(bu)再受到重視(shi)。
同時，網絡保險公司正在限制賠付金額。隨著(zhu)網(wang)絡(luo)攻擊(ji)變得越來(lai)越普遍(bian)，網(wang)絡(luo)安(an)全保險(xian)變得越來(lai)越昂貴且難以獲得。現在，越來(lai)越多的保險(xian)公司要(yao)求(qiu)企(qi)業(ye)具備強大(da)的物(wu)聯(lian)網(wang)安(an)全和風(feng)險(xian)管理能力(li)，以獲得承保資格，并且越來(lai)越多地(di)拒(ju)絕(jue)(jue)(jue)或限(xian)制(zhi)那些不符(fu)合特定閾(yu)值的企(qi)業(ye)的承保范圍。在網(wang)絡(luo)保險(xian)公司拒(ju)絕(jue)(jue)(jue)承保的原因中，缺乏安(an)全協議是最(zui)常見的，占 43%。不遵(zun)守合規(gui)程序占承保拒(ju)絕(jue)(jue)(jue)的 33%。
顯(xian)然，安(an)全(quan)風險為(wei)物聯網設備制造(zao)商帶來了新的(de)(de)挑戰，而(er)各個國(guo)家新法案的(de)(de)實(shi)施(shi)都意味(wei)著制造(zao)商需(xu)(xu)要承擔更(geng)多的(de)(de)責任和義務。他(ta)們(men)需(xu)(xu)要確保所生(sheng)產(chan)的(de)(de)物聯網產(chan)品具備足夠的(de)(de)安(an)全(quan)性，包括防止未(wei)經(jing)授權(quan)的(de)(de)訪問、保護數據的(de)(de)完整(zheng)性和有效(xiao)性等(deng)方面。同(tong)時，他(ta)們(men)還(huan)需(xu)(xu)要建立(li)相(xiang)應的(de)(de)流程和文件，以(yi)證明其產(chan)品符合(he)法案的(de)(de)要求。
從各個國家的法律來看，違反方案會遭遇嚴厲的處罰，除了巨額的賠償金外，企業的聲譽損失可能更加難以挽回——這將對那些忽視網絡安全問題、企圖通過降低成本來獲取市場競爭力的制造商形成有力的震懾。
對中(zhong)國(guo)這樣的物(wu)聯網產(chan)品生產(chan)和(he)出(chu)口大國(guo)而言，相關制(zhi)(zhi)造(zao)(zao)(zao)商(shang)需(xu)要積極應對。一(yi)方面(mian)，制(zhi)(zhi)造(zao)(zao)(zao)商(shang)要確保(bao)設計的產(chan)品符合(he)標(biao)準要求后再投(tou)入(ru)(ru)生產(chan)從而進入(ru)(ru)市場，相關廠家(jia)應該在產(chan)品開發過程中(zhong)盡(jin)早了解相關法律法規，以便更(geng)好地規劃產(chan)品設計、生產(chan)和(he)出(chu)海(hai)，確保(bao)產(chan)品符合(he)安全標(biao)準。另一(yi)方面(mian)，制(zhi)(zhi)造(zao)(zao)(zao)商(shang)也要持續加大技(ji)術(shu)研發和(he)創新(xin)投(tou)入(ru)(ru)，提升產(chan)品的安全水平(ping)，形成差異化競(jing)爭優勢(shi)，從而在全球(qiu)市場中(zhong)爭得更(geng)多的份額(e)。
