近日，美國國家標準與技術研究院(“NIST”)發布了《消費物聯網產品(pin)網(wang)絡安全(quan)標(biao)簽(qian)推薦標(biao)準(zhun)》(“物聯(lian)網(wang)標(biao)準(zhun)”)。物聯(lian)網(wang)標(biao)準(zhun)為消費物聯(lian)網(wang)產品(pin)的網(wang)絡安全(quan)標(biao)簽(qian)提供建(jian)(jian)議，換句話說(shuo)，為個人、家(jia)庭或家(jia)庭使用的物聯(lian)網(wang)產品(pin)提供建(jian)(jian)議。
正如NIST所描述(shu)的(de)(de)，該(gai)(gai)出(chu)(chu)版物(wu)的(de)(de)目的(de)(de)是(shi)確(que)定(ding)“潛在(zai)標簽方案的(de)(de)關鍵(jian)要素”然而(er)(er)，該(gai)(gai)出(chu)(chu)版物(wu)明(ming)確(que)指出(chu)(chu)，該(gai)(gai)計(ji)劃(hua)不會由NIST建立或管理，而(er)(er)是(shi)由“另一(yi)個組織或計(ji)劃(hua)”建立或管理，該(gai)(gai)出(chu)(chu)版物(wu)稱之為“計(ji)劃(hua)所有者”計(ji)劃(hua)所有人的(de)(de)身份尚未確(que)定(ding)，但“可能是(shi)公共或私營部門”實體。
物(wu)聯(lian)網(wang)標(biao)準(zhun)的(de)發(fa)布代表著面向消費(fei)者物(wu)聯(lian)網(wang)產品的(de)國(guo)家網(wang)絡安(an)全標(biao)簽計劃的(de)更進一步。我們應該期待NIST在這(zhe)份出版物(wu)中建立的(de)框架(jia)將(jiang)成為這(zhe)些(xie)要求的(de)典范(fan)。
物聯網標準框架。物聯(lian)網(wang)標(biao)準為潛在的網(wang)絡安全物聯(lian)網(wang)標(biao)簽計劃的三個(ge)關(guan)鍵方面確立(li)了推薦的考慮因(yin)素:
基線產品標準
標記
合格評定
基線產品標準
關于(yu)“基(ji)線(xian)(xian)產品(pin)標(biao)準(zhun)(zhun)”，物聯網(wang)(wang)(wang)(wang)標(biao)準(zhun)(zhun)建議采用“基(ji)于(yu)結(jie)果(guo)(guo)的(de)(de)(de)(de)方法”，該方法“考(kao)慮到了物聯網(wang)(wang)(wang)(wang)產品(pin)多樣化(hua)市場(chang)所需的(de)(de)(de)(de)靈活(huo)性(xing)。”物聯網(wang)(wang)(wang)(wang)標(biao)準(zhun)(zhun)沒(mei)有要求具體的(de)(de)(de)(de)技術規范，而是列出(chu)了理想的(de)(de)(de)(de)基(ji)線(xian)(xian)“結(jie)果(guo)(guo)”，如(ru)果(guo)(guo)實現這(zhe)些結(jie)果(guo)(guo)，將增強(qiang)物聯網(wang)(wang)(wang)(wang)產品(pin)的(de)(de)(de)(de)網(wang)(wang)(wang)(wang)絡安全(quan)性(xing)。基(ji)于(yu)結(jie)果(guo)(guo)的(de)(de)(de)(de)方法“允許(xu)網(wang)(wang)(wang)(wang)絡安全(quan)解決方案和(he)緩解措(cuo)施隨著時間的(de)(de)(de)(de)推移而升級和(he)改變(bian)，而不(bu)會顯著改變(bian)產品(pin)的(de)(de)(de)(de)標(biao)簽標(biao)準(zhun)(zhun)。”推薦的(de)(de)(de)(de)標(biao)準(zhun)(zhun)是作為基(ji)線(xian)(xian)。該出(chu)版物討論了十項(xiang)基(ji)準(zhun)(zhun)產品(pin)標(biao)準(zhun)(zhun):
資產識別
物聯(lian)網產(chan)品是(1)唯一可識別的，(2)庫存其所有組件。
產品配置
物聯(lian)網產品具有(1)可更(geng)改的配置，(2)“恢復安全默(mo)認設置的能力”，以及(3)限制對“授權個人、服務和(he)其(qi)他物聯(lian)網產品組件”實施更(geng)改的能力
數據保護
物聯網(wang)產品及其組(zu)件(jian)保護存儲和傳輸的數據免(mian)受(shou)未經(jing)授權的訪問(wen)、泄露和修改。
接(jie)口(kou)(kou)訪問控制:“物聯網(wang)產品(pin)及其組件(jian)將對本地和網(wang)絡(luo)接(jie)口(kou)(kou)以(yi)及這些接(jie)口(kou)(kou)所使用的協議和服(fu)務的邏輯訪問限制為僅(jin)授權的個人、服(fu)務和物聯網(wang)產品(pin)組件(jian)。”
軟件更新
物聯網(wang)產品(pin)(pin)和組(zu)件(jian)軟件(jian)只能由授權的個人、服務和其(qi)他物聯網(wang)產品(pin)(pin)組(zu)件(jian)通過“一種安全且可配(pei)置的機制(視每個物聯網(wang)產品(pin)(pin)組(zu)件(jian)的情況而(er)定)”進行(xing)更(geng)新
網絡安全狀態感知
“物(wu)聯網(wang)(wang)產品支持(chi)檢測影(ying)響或受(shou)物(wu)聯網(wang)(wang)產品組(zu)件及其存儲(chu)和傳輸(shu)的(de)(de)數據影(ying)響的(de)(de)網(wang)(wang)絡安全(quan)事(shi)件。”
文檔
物聯(lian)網(wang)產(chan)品(pin)開(kai)發(fa)人員應在(zai)產(chan)品(pin)開(kai)發(fa)過(guo)程(cheng)中(zhong)、客戶購買之(zhi)前以(yi)及隨后(hou)的(de)生命(ming)周期中(zhong)，創(chuang)建、收集和存儲與物聯(lian)網(wang)產(chan)品(pin)及其(qi)組件的(de)網(wang)絡(luo)安(an)全相關的(de)信息。
信息和查詢接收
物聯網產品(pin)開發(fa)人員應該(gai)能夠“接(jie)收與網絡安全相關(guan)的(de)信(xin)息(xi)，并(bing)響(xiang)應客戶和其他人對該(gai)信(xin)息(xi)的(de)查詢”。
信息傳播
物聯網(wang)產品開發(fa)者應(ying)廣播(bo)(bo)和傳(chuan)播(bo)(bo)與網(wang)絡安全相關(guan)的信息(xi)。
產品教育和認知
物(wu)聯網(wang)產(chan)(chan)品(pin)開(kai)發(fa)人(ren)員(yuan)應“在物(wu)聯網(wang)產(chan)(chan)品(pin)生態系統中”就與(yu)物(wu)聯網(wang)產(chan)(chan)品(pin)及其產(chan)(chan)品(pin)組件相(xiang)關的網(wang)絡(luo)安全相(xiang)關信(xin)息(例如(ru)，注(zhu)意事(shi)項(xiang)、功能)創建(jian)認知(zhi)并教育客戶(hu)和其他人(ren)
標簽注意事項
接下來，該出版物(wu)提出了(le)關于標(biao)簽(qian)注意事項的(de)建議。關于NIST標(biao)簽(qian)指南(nan)的(de)幾點(dian)說明:
NIST建議使用二進制標簽——“一(yi)個單一(yi)的標簽表明產(chan)品已經(jing)達到(dao)基線標準。”
除了(le)(le)二(er)進制(zhi)標簽之外，NIST還(huan)提出了(le)(le)一種“分層(ceng)”方(fang)法，即通過(guo)網址(zhi)或(huo)可掃描代碼(如二(er)維(wei)碼)在線向(xiang)消費者提供額外的詳細信息(xi)。
NIST還強調“適(shi)當支持數字和(he)(he)物理格式”的靈活性(xing)，并鼓勵(li)與消費者一(yi)起定(ding)期測試(shi)，以評估標簽的適(shi)當性(xing)和(he)(he)可用性(xing)。
NIST推(tui)薦旨在(zai)支(zhi)持“物聯網產(chan)品(pin)的非(fei)專家(jia)家(jia)庭用戶”的特(te)定(ding)標簽(qian)內(nei)容因此，NIST表示，消費者(zhe)應該(gai)在(zai)購買前、購買時(shi)(店(dian)內(nei)或(huo)網上)和購買后都(dou)可以使用標簽(qian)。
此(ci)外，結合一(yi)個標簽，NIST建議“一(yi)個強大的(de)消費者教育運動(dong)。”
合格評定考慮因素
物聯網標(biao)(biao)準(zhun)(zhun)還建議考慮“符合(he)性(xing)評估(gu)”，以(yi)證明設備(bei)是否符合(he)相(xiang)關(guan)標(biao)(biao)準(zhun)(zhun)。NIST強調，“方(fang)案(an)所(suo)有人(ren)必須定制推薦的(de)(de)(de)產(chan)品標(biao)(biao)準(zhun)(zhun)，定義(yi)合(he)格評定要求，開發(fa)標(biao)(biao)簽(qian)和相(xiang)關(guan)信息，并(bing)開展相(xiang)關(guan)的(de)(de)(de)消(xiao)費者宣傳和教育。”NIST指(zhi)出(chu)，“單一(yi)的(de)(de)(de)合(he)格評定方(fang)法不可能(neng)實現預期的(de)(de)(de)目標(biao)(biao)”，并(bing)列出(chu)了可以(yi)“單獨或結合(he)”使(shi)用(yong)的(de)(de)(de)幾種合(he)格評定方(fang)法，包括:
自(zi)我證明(ming):由提供物聯網(wang)設備(bei)的(de)(de)組織做出(chu)的(de)(de)“供應(ying)商符(fu)合(he)性聲明(ming)”，聲明(ming)其符(fu)合(he)規定的(de)(de)標準。
第三方測試和檢查:基于特定(ding)定(ding)義標準對消費物(wu)聯網(wang)設備進行(xing)的預期外(wai)部“確(que)定(ding)或檢查”。
第三方認證:聲明“基(ji)于(yu)對物(wu)聯網(wang)產品已滿足規定(ding)標準的全面審查(cha)而(er)發布。”
總結：在(zai)整(zheng)個2021年(nian)，國會、各州(zhou)和(he)(he)聯(lian)邦(bang)機構繼(ji)續(xu)關注物聯(lian)網(wang)和(he)(he)物聯(lian)網(wang)網(wang)絡安全。公司應該期待這一(yi)領域的(de)持續(xu)發(fa)展(zhan)，特別是潛在(zai)物聯(lian)網(wang)網(wang)絡安全標簽計劃的(de)持續(xu)發(fa)展(zhan)。以消(xiao)費(fei)者(zhe)為(wei)中心(xin)的(de)標準表明，重點仍(reng)將(jiang)是在(zai)物聯(lian)網(wang)產品市場中優先考(kao)慮(lv)消(xiao)費(fei)者(zhe)意識(shi)和(he)(he)安全的(de)合規制度。
