近日，美國國家標準與技術研究院(“NIST”)發布了《消費物聯網產(chan)品網絡安全標(biao)簽推薦標(biao)準》(“物(wu)聯(lian)(lian)網標(biao)準”)。物(wu)聯(lian)(lian)網標(biao)準為消費物(wu)聯(lian)(lian)網產(chan)品的(de)網絡安全標(biao)簽提供建議，換句(ju)話說，為個人、家庭或家庭使用的(de)物(wu)聯(lian)(lian)網產(chan)品提供建議。
正如NIST所描述(shu)的(de)，該(gai)出(chu)版物(wu)的(de)目的(de)是確(que)(que)定“潛(qian)在標簽方案(an)的(de)關鍵要素”然(ran)而(er)，該(gai)出(chu)版物(wu)明(ming)確(que)(que)指(zhi)出(chu)，該(gai)計(ji)劃不(bu)會由NIST建立(li)或(huo)管理，而(er)是由“另一個組織或(huo)計(ji)劃”建立(li)或(huo)管理，該(gai)出(chu)版物(wu)稱(cheng)之為“計(ji)劃所有(you)者”計(ji)劃所有(you)人的(de)身份(fen)尚未(wei)確(que)(que)定，但“可能是公共或(huo)私(si)營部門”實體。
物(wu)聯網標(biao)準的(de)(de)發布代(dai)表著面向消費者物(wu)聯網產品(pin)的(de)(de)國家網絡(luo)安(an)全標(biao)簽計劃的(de)(de)更進一步。我們應該(gai)期待NIST在這份出版物(wu)中建立(li)的(de)(de)框架將成為這些要求(qiu)的(de)(de)典范。
物聯網標準框架。物聯網(wang)標準為(wei)潛在的網(wang)絡(luo)安全(quan)物聯網(wang)標簽(qian)計劃的三個(ge)關(guan)鍵方面確立了(le)推薦的考慮因素:
基線產品標準
標記
合格評定
基線產品標準
關于“基線產品(pin)標(biao)準(zhun)”，物(wu)(wu)聯(lian)網標(biao)準(zhun)建議采用(yong)“基于結果的(de)(de)方(fang)法”，該方(fang)法“考慮到了(le)物(wu)(wu)聯(lian)網產品(pin)多樣(yang)化(hua)市場(chang)所(suo)需的(de)(de)靈活性。”物(wu)(wu)聯(lian)網標(biao)準(zhun)沒有要求具體的(de)(de)技術規范，而是(shi)列出(chu)(chu)了(le)理(li)想的(de)(de)基線“結果”，如果實現這些結果，將(jiang)增強物(wu)(wu)聯(lian)網產品(pin)的(de)(de)網絡安全(quan)(quan)性。基于結果的(de)(de)方(fang)法“允許(xu)網絡安全(quan)(quan)解(jie)決方(fang)案和緩解(jie)措施隨著時(shi)間的(de)(de)推(tui)移而升級和改(gai)變，而不(bu)會(hui)顯(xian)著改(gai)變產品(pin)的(de)(de)標(biao)簽標(biao)準(zhun)。”推(tui)薦的(de)(de)標(biao)準(zhun)是(shi)作為(wei)基線。該出(chu)(chu)版物(wu)(wu)討論(lun)了(le)十項基準(zhun)產品(pin)標(biao)準(zhun):
資產識別
物聯網產(chan)品是(1)唯(wei)一可識別(bie)的，(2)庫存其(qi)所有組件(jian)。
產品配置
物(wu)(wu)聯網(wang)產品(pin)(pin)具有(1)可(ke)更改的配置，(2)“恢(hui)復(fu)安全默認(ren)設置的能力”，以及(3)限(xian)制對“授權個人、服務和其他物(wu)(wu)聯網(wang)產品(pin)(pin)組件”實(shi)施(shi)更改的能力
數據保護
物聯網(wang)產品及(ji)其組件保護(hu)存儲和(he)傳輸(shu)的(de)數據(ju)免受未(wei)經授(shou)權(quan)的(de)訪問、泄露和(he)修(xiu)改(gai)。
接口(kou)訪問控制:“物(wu)聯(lian)網產品及(ji)其組(zu)件將對(dui)本地和網絡(luo)接口(kou)以及(ji)這些接口(kou)所(suo)使用(yong)的協議和服務的邏輯訪問限制為(wei)僅授(shou)權的個人、服務和物(wu)聯(lian)網產品組(zu)件。”
軟件更新
物(wu)聯網產品和(he)組件(jian)軟件(jian)只能由授權的(de)個人(ren)、服務和(he)其他物(wu)聯網產品組件(jian)通(tong)過“一種安全(quan)且可配(pei)置(zhi)的(de)機(ji)制(視每個物(wu)聯網產品組件(jian)的(de)情況而定)”進行更新(xin)
網絡安全狀態感知
“物聯網產(chan)品(pin)(pin)支持檢測影(ying)響或(huo)受物聯網產(chan)品(pin)(pin)組件(jian)及其存儲和傳輸的(de)數據影(ying)響的(de)網絡(luo)安(an)全事件(jian)。”
文檔
物(wu)聯網(wang)產(chan)品(pin)開(kai)發人員(yuan)應(ying)在產(chan)品(pin)開(kai)發過程(cheng)中、客戶購買(mai)之前以及隨后的(de)(de)生(sheng)命周期中，創建、收集和存儲與物(wu)聯網(wang)產(chan)品(pin)及其組件的(de)(de)網(wang)絡安全相關的(de)(de)信息(xi)。
信息和查詢接收
物(wu)聯網(wang)產(chan)品開發人員應(ying)該能(neng)夠“接收與(yu)網(wang)絡安全相(xiang)關的信息，并響應(ying)客戶和(he)其他(ta)人對該信息的查(cha)詢”。
信息傳播
物聯網產品開發(fa)者應廣播和傳(chuan)播與(yu)網絡安全相關的信息。
產品教育和認知
物(wu)聯網產(chan)(chan)品開發人(ren)員(yuan)應“在物(wu)聯網產(chan)(chan)品生態系統中”就與物(wu)聯網產(chan)(chan)品及其(qi)產(chan)(chan)品組(zu)件相(xiang)(xiang)關的網絡(luo)安(an)全相(xiang)(xiang)關信(xin)息(例如，注意事項、功能)創建認知并教育(yu)客戶和其(qi)他人(ren)
標簽注意事項
接下來(lai)，該(gai)出版(ban)物提出了關(guan)于標簽注(zhu)意(yi)事項的建議。關(guan)于NIST標簽指南的幾(ji)點說明(ming):
NIST建議使用二進制標簽(qian)——“一個單一的標簽(qian)表(biao)明產品已經(jing)達(da)到基線標準。”
除了(le)二(er)進制標簽之外，NIST還提出了(le)一種(zhong)“分層(ceng)”方法，即通過(guo)網址或(huo)可(ke)掃描代碼(如二(er)維碼)在(zai)線(xian)向(xiang)消費(fei)者提供額外的詳(xiang)細信息。
NIST還(huan)強調“適(shi)當支持數字和物(wu)理格(ge)式”的靈活性(xing)(xing)，并鼓勵(li)與消費(fei)者一(yi)起(qi)定期(qi)測試，以(yi)評估(gu)標簽的適(shi)當性(xing)(xing)和可用性(xing)(xing)。
NIST推薦(jian)旨在支持(chi)“物聯網產品的(de)非(fei)專家家庭(ting)用戶”的(de)特定標簽內容因此，NIST表(biao)示，消費者(zhe)應該(gai)在購(gou)(gou)買(mai)前、購(gou)(gou)買(mai)時(shi)(店內或網上)和購(gou)(gou)買(mai)后(hou)都可以使用標簽。
此外，結合一個標簽，NIST建議“一個強大(da)的(de)消費者(zhe)教育運(yun)動。”
合格評定考慮因素
物聯網標準(zhun)還建議考慮“符合性評(ping)估”，以證明設備是否符合相(xiang)關(guan)標準(zhun)。NIST強調，“方(fang)案所有人(ren)必(bi)須定制推薦的(de)產品標準(zhun)，定義合格(ge)評(ping)定要求，開發標簽和相(xiang)關(guan)信(xin)息，并(bing)開展相(xiang)關(guan)的(de)消費者宣傳(chuan)和教育(yu)。”NIST指出(chu)(chu)，“單一的(de)合格(ge)評(ping)定方(fang)法不(bu)可能實現預期的(de)目標”，并(bing)列(lie)出(chu)(chu)了可以“單獨或結合”使(shi)用的(de)幾種合格(ge)評(ping)定方(fang)法，包括:
自我證明:由提供物聯網設備的組(zu)織做(zuo)出(chu)的“供應(ying)商符合(he)性(xing)聲(sheng)明”，聲(sheng)明其符合(he)規定的標準。
第三方(fang)測(ce)試和(he)檢查:基于特定定義標準對消(xiao)費物聯網設備進行的預期外部“確(que)定或檢查”。
第三方認證:聲明“基于對(dui)物(wu)聯網產品已滿足規定標準的全(quan)面審查(cha)而發布。”
總結：在整個2021年(nian)，國會、各州和聯(lian)邦機(ji)構繼續關注物(wu)聯(lian)網(wang)和物(wu)聯(lian)網(wang)網(wang)絡安全(quan)。公司應該期待(dai)這一領域(yu)的持(chi)續發展，特別(bie)是潛在物(wu)聯(lian)網(wang)網(wang)絡安全(quan)標(biao)簽(qian)計劃的持(chi)續發展。以(yi)消費者(zhe)為中(zhong)心(xin)的標(biao)準(zhun)表明，重點(dian)仍將是在物(wu)聯(lian)網(wang)產品(pin)市場中(zhong)優先考慮消費者(zhe)意識(shi)和安全(quan)的合規制度。
