近日，日本經濟產業省發布了《物聯網安全合格評估計劃草案》征求意見稿，該草案可以看作是日本版物聯網安全標簽計劃，對標美國、歐盟、新加坡等國家和地區的物聯網安全標簽計劃。
從多個國家和地區推進的情況來看，物聯網安全標簽計劃已經成為一個全球主要經濟體共同認可的項目，通過給符合相關安全標準的物聯網產品賦予安全標簽，讓消費者能夠獲得產品安全方面的信息，從而做出購買決策。這一計劃由政府和企業合作推進，以更加市場化的形式，讓消費者購買決策來倒逼物聯網廠商提升產品安全水平。
日本版物聯網安全標簽計劃的背景和目標
在這份草案中，日本經濟產業省提出，隨著數字化的推進，近年來物聯網產品的數量迅速增加，針對其漏洞的網絡攻擊數量也在增加。在此背景下，世界各國正在考慮確保物聯網產品安全措施的方案，包括美國的物聯網安全標簽計劃、歐盟《網絡彈性法案》（Cyber Resilience Act，CRA）、英國《產品安全和電信基礎設施（PSTI）法案》、新加坡物聯網安全標簽計劃以及德國、芬蘭的物聯網安全標簽計劃。
同時，草案回顧了日本政府多個部門針對物聯網產品安全所出臺的一些措施。然而，草案提出，目前日本還沒有較好的手段讓物聯網產品生產者將其在安全防護方面的努力傳遞給最終客戶。所以，必須通過有效的措施，可以涵蓋更廣范圍的物聯網產品，讓消費者能夠快速接受，并不會增加產品生產者太多成本。
因此，日本經濟產業省考慮在日本建立類似于海外物聯網安全標簽計劃的項目，并將其作為優先事項之一，旨在推廣滿足一定安全標準措施的物聯網產品，同時考慮與其他國家的類似項目合作。
為此，經濟產業省于2022年11月成立了一個“物聯網產品安全合格評估計劃研究小組”，該小組經過調研討論，決定建立一個物聯網產品安全符合性評估方案并在全社會廣泛傳播。該研究小組在制定相關計劃時，重點強調的目標包括：
一是該計劃須有助于相關公共組織選擇和采購滿足一定安全級別的物聯網產品，對產品采用通用標準評估并實現可視化。受益于該計劃的公共組織初期包括政府機構、關鍵基礎設施提供商和地方政府。
二是該計劃須為采購和使用物聯網產品提供安全定義，讓每個行業組織可以指定必要的認證和標簽，也就是說讓該計劃可以作為特定組織的物聯網產品安全標準。
三是該計劃將通過與其他國家的計劃進行協調，來降低物聯網產品供應商在出口時所需的合規性評估成本，并旨在實現相互認可。
根據該研究小組的研究報告，日本經濟產業省發布了《物聯網安全合格評估計劃草案》征求意見稿，意見反饋截至2024年4月15日。
從其背景和目標可以看出，日本版物聯網安全標簽計劃和美歐等國出發點、路徑等方面都比較類似，物聯網安全標簽計劃的全球共識正在形成。
日本版物聯網安全標簽計劃主要內容
日本發布的《物聯網安全合格評估計劃草案》近30頁，全面介紹了日本版物聯網安全標簽計劃的目標定位、管理架構、適用范圍、評估標準等，以下主要內容值得關注：
1、自愿性項目的定位
和美國版物聯網安全標簽計劃類似，日本首先也強調該方案是一個自愿性項目，不會強制所有企業和機構參與。該方案也考慮到與日本已有的自愿性安全政策的整合和協調，并考慮到物聯網產品供應商的成本。
與美國版標簽計劃不同的是，日本版的標簽計劃將鼓勵政府機構、關鍵基礎設施提供商和地方政府將符合必要安全要求的標簽產品納入其采購要求，通過類似于政府采購的形式，鼓勵物聯網產品供應商加入標簽計劃。其次，如果物聯網產品用于特定行業，并且行業要求將此類物聯網產品的安全作為其特定的行業標準，以便采購商和最終用戶能夠通過標簽確認物聯網產品符合一定的安全要求，則該計劃秘書處將與相關行業協會和工作組合作推動行業制定相關要求。
2、標簽計劃適用范圍
日本版標簽計劃也明確提出了其適用于消費物聯網產品。關于物聯網產品的定義，該計劃沿用歐洲通信標準化協會ETSI EN 303 645標準中對物聯網的定義，包括物聯網產品和相關服務。這一定義和范疇與美國版物聯網安全標簽計劃適用范圍基本吻合，都包含了物聯網產品及其附加服務。
其中，消費物聯網設備是指具有使用互聯網協議（IP）、通過互聯網發送和接收數據能力的廣泛物聯網產品，包括間接連接到互聯網的產品，但不包括個人電腦、智能手機等。
3、物聯網安全分級
日本版計劃通過建立物聯網安全分級機制來實施不同的評估。該機制一共分為4個層級，層級1為符合安全基線的標準，以解決適用范圍內所有物聯網產品常見的、最低威脅基準，層級2至層級4的標準要求逐漸提高。
獲得不同層級標簽的方式不同，其中，針對層級1和層級2，通過物聯網產品供應商自我符合性聲明即可獲得安全標簽，以促進該計劃的傳播；對于層級3和層級4，將根據獨立測試實驗室的第三方評估后再決定授予標簽，尤其是層級3及以上旨在供政府機構和關鍵基礎設施提供商采購使用，因此會要求高可靠性。
美國版計劃暫時沒有形成明確的4層分級體系，也不允許物聯網產品供應商通過自我符合性聲明來獲取標簽，供應商必須經過第三方授權實驗室測試。從這個角度來看，日本版物聯網安全標簽計劃與美國的區別較大，但與新加坡版計劃更加類似，新加坡版計劃也是通過分為4層，以及1-2層符合性聲明的模式獲取標簽。
4、管理體系架構
日本版物聯網安全標簽計劃明確由經濟產業省旗下的信息處理推進機構（Information-technology Promotion Agency, IPA）作為所有者來統一運營，IPA本身也運營著的日本信息技術安全評估和認證計劃，未來將這一計劃將擴大到包括物聯網安全標簽計劃。
該計劃的技術咨詢委員會將作為主要管理組織，討論合格標準的批準和該計劃的其他技術事項，技術咨詢委員會下設立合格標準工作組，以制定每個產品類別的合格標準草案。符合性標準工作組將主要由物聯網產品供應商、主要采購組織及其相關組織和團體組成，并將向技術咨詢委員會提交符合性標準草案以供批準。此外，IPA和經濟產業省將為該計劃設立一個秘書處，以促進該計劃的傳播，與現有的國內計劃整合和協調，并推動與其他國家協調相互承認等合作。
5、與其他國家類似計劃的合作互認
日本在該方案中提到了與其他國家物聯網安全標簽計劃的合作，主要包括美國、歐盟、新加坡和英國。其中，日本版計劃預計在啟動時，其層級1標準將涵蓋新加坡和英國法案基線標準。對于歐盟的《網絡彈性法案》（CRA）和美國的物聯網安全標簽計劃，預計在層級1實施時，該計劃秘書處通過修訂計劃一些條款以解決差異，例如，通過修訂層級1的符合性聲明要求，或通過宣布解決差異所需的額外措施來實現融合。
日本版方案專門強調，預計2025年將正式實施層級1標簽計劃，接受企業符合性聲明形式獲得標簽，屆時會宣布與新加坡和英國相對應計劃的互認。而對于美國和歐盟，會在后續實施中選擇適當時候公布互認合作。
6、評估標準
對于層級1的實施，日本已制定了初步的安全要求、符合性標準和評估程序。研究小組根據對整個方案所需安全要求的分析、實際產品概念驗證的結果以及對國內標準/方案和其他國家標準/方案重疊要求的分析，制定了層級1實施相關標準，其參考的海外標準包括歐洲通信標準化協會ETSI EN 303 645標準和美國國家標準與技術研究院NISTIR 8425標準。
從2024年4月起，經濟產業省將針對每個物聯網產品類別開展更高級別的安全合規性標準討論。
結語
日本版物聯網安全標簽計劃草案已發布，至此，全球主要發達經濟體針對物聯網安全采取的路徑基本達成共識。可以看出，隨著物聯網連接數不斷增長，物聯網安全形勢越來越嚴峻，消費者面對物聯網產品，無從知曉其是否符合安全要求，各國將解決這一問題提到較優先的議事日程。在此背景下，中國版物聯網安全標簽計劃需要盡快出爐，通過這一全球通用方式，保護消費者合法權益，同時提供中國物聯網企業的競爭力。
