近日，日本經濟產業省發布了《物聯網安(an)全合格評(ping)估計(ji)劃草案》征求意見(jian)稿，該草案可以看作是日本版物聯(lian)網(wang)安(an)全標簽(qian)計(ji)劃，對標美國、歐盟、新加(jia)坡等(deng)國家和地區的(de)物聯(lian)網(wang)安(an)全標簽(qian)計(ji)劃。
從多個國家和地區推進的情況來看，物聯網安全標簽計劃已經成為一個全球主要經濟體共同認可的項目，通過給符合相(xiang)關安(an)全(quan)標準(zhun)的(de)物(wu)聯網(wang)產品賦予安(an)全(quan)標簽，讓消費者(zhe)能(neng)夠獲(huo)得產品安(an)全(quan)方面的(de)信(xin)息，從而做出購買決策(ce)。這(zhe)一計劃由政府(fu)和企業合作推進，以更加市場化的(de)形式，讓消費者(zhe)購買決策(ce)來(lai)倒逼物(wu)聯網(wang)廠商提升產品安(an)全(quan)水平(ping)。
日本版物聯網安全標簽計劃的背景和目標
在這份草案中，日本經濟產業省提出，隨著數字化的推進，近年來物聯網產品的數量迅速增加，針對其漏洞的網絡攻擊數量也在增加。在此背景(jing)下，世界各國(guo)正在考慮(lv)確保物(wu)聯網產(chan)品安全(quan)措施的(de)(de)方案，包括美(mei)國(guo)的(de)(de)物(wu)聯網安全(quan)標(biao)簽(qian)計劃、歐(ou)盟《網絡彈(dan)性法(fa)案》（Cyber Resilience Act，CRA）、英國(guo)《產(chan)品安全(quan)和電信基礎設(she)施（PSTI）法(fa)案》、新加坡物(wu)聯網安全(quan)標(biao)簽(qian)計劃以(yi)及德國(guo)、芬蘭(lan)的(de)(de)物(wu)聯網安全(quan)標(biao)簽(qian)計劃。
同時(shi)，草(cao)案回(hui)顧了日本政府多(duo)個(ge)部門針(zhen)對物(wu)(wu)聯網(wang)產(chan)品(pin)安全(quan)所出(chu)(chu)臺(tai)的一些措(cuo)施。然而，草(cao)案提(ti)出(chu)(chu)，目前(qian)日本還沒有較好(hao)的手(shou)段讓(rang)物(wu)(wu)聯網(wang)產(chan)品(pin)生(sheng)產(chan)者(zhe)將其在安全(quan)防護方面(mian)的努力傳遞給最終(zhong)客戶。所以，必須通過有效的措(cuo)施，可以涵蓋更廣范圍(wei)的物(wu)(wu)聯網(wang)產(chan)品(pin)，讓(rang)消費者(zhe)能(neng)夠快(kuai)速(su)接(jie)受，并不(bu)會(hui)增(zeng)加產(chan)品(pin)生(sheng)產(chan)者(zhe)太多(duo)成(cheng)本。
因此，日本經濟產業省考(kao)(kao)慮在(zai)日本建立類似于(yu)海外物聯網安(an)全標(biao)簽計劃的(de)項目(mu)，并將(jiang)其作為優先事項之一，旨在(zai)推廣(guang)滿足一定安(an)全標(biao)準措施的(de)物聯網產品，同時考(kao)(kao)慮與其他國家的(de)類似項目(mu)合作。
為(wei)此，經(jing)濟(ji)產業省于2022年11月(yue)成立了一個(ge)“物聯網(wang)產品安全合格評(ping)估(gu)計劃(hua)研(yan)(yan)究小組”，該小組經(jing)過調研(yan)(yan)討論，決定建立一個(ge)物聯網(wang)產品安全符(fu)合性評(ping)估(gu)方案并在全社(she)會廣泛傳播。該研(yan)(yan)究小組在制定相關計劃(hua)時(shi)，重點強(qiang)調的(de)目標包括：
一是該計(ji)劃(hua)須有(you)助(zhu)于(yu)相關公共組(zu)織選擇和(he)采購滿(man)足一定安全級別(bie)的物聯網產品(pin)，對產品(pin)采用通用標準評(ping)估(gu)并實現可視化。受(shou)益(yi)于(yu)該計(ji)劃(hua)的公共組(zu)織初期包(bao)括政府機(ji)構、關鍵(jian)基礎設施(shi)提(ti)供商和(he)地方政府。
二是該(gai)計(ji)劃須為采(cai)購和(he)使用物(wu)(wu)聯(lian)(lian)網產品提供(gong)安(an)全定義，讓(rang)每個(ge)行業組織可以指定必要的(de)(de)認證和(he)標(biao)簽，也就(jiu)是(shi)說讓(rang)該(gai)計(ji)劃可以作為特定組織的(de)(de)物(wu)(wu)聯(lian)(lian)網產品安(an)全標(biao)準。
三是該計(ji)(ji)劃將通(tong)過與其他國家(jia)的計(ji)(ji)劃進(jin)行協調(diao)，來降低物(wu)聯網(wang)產品供應(ying)商在出口(kou)時所需的合規性評估成本，并旨在實現(xian)相互認可。
根據(ju)該研究(jiu)小組的研究(jiu)報(bao)告，日(ri)本經濟產業(ye)省(sheng)發布了《物聯網安全合格評(ping)估計劃草案(an)》征(zheng)求意見稿，意見反(fan)饋(kui)截至2024年4月15日(ri)。
從其背(bei)景和(he)目標(biao)可以看出，日本版物聯(lian)(lian)網安全(quan)(quan)標(biao)簽(qian)計劃和(he)美歐等國出發點(dian)、路徑等方面都(dou)比較類似，物聯(lian)(lian)網安全(quan)(quan)標(biao)簽(qian)計劃的全(quan)(quan)球共(gong)識正在形(xing)成。
日本版物聯網安全標簽計劃主要內容
日(ri)本(ben)發布(bu)的(de)《物(wu)(wu)聯網(wang)安全(quan)合格評估計劃(hua)草案(an)》近30頁，全(quan)面介紹了日(ri)本(ben)版物(wu)(wu)聯網(wang)安全(quan)標(biao)簽計劃(hua)的(de)目標(biao)定位、管理架構、適用范(fan)圍、評估標(biao)準等，以下主要內容值得關注(zhu)：
1、自愿性項目的定位
和美國版物聯網(wang)安(an)全標簽計劃類似(si)，日本(ben)(ben)首先也(ye)強(qiang)(qiang)調(diao)(diao)該方案是一個自愿(yuan)性項目(mu)，不會強(qiang)(qiang)制所有(you)企業和機構(gou)參與。該方案也(ye)考慮到與日本(ben)(ben)已有(you)的自愿(yuan)性安(an)全政(zheng)策的整(zheng)合(he)和協調(diao)(diao)，并考慮到物聯網(wang)產品供(gong)應商(shang)的成本(ben)(ben)。
與美國(guo)版標(biao)(biao)(biao)簽計劃不同的(de)(de)是，日(ri)本版的(de)(de)標(biao)(biao)(biao)簽計劃將(jiang)(jiang)鼓(gu)勵(li)政(zheng)(zheng)府機構(gou)、關鍵基礎設施提供(gong)商和地方政(zheng)(zheng)府將(jiang)(jiang)符合必要(yao)安(an)(an)全(quan)要(yao)求(qiu)(qiu)的(de)(de)標(biao)(biao)(biao)簽產(chan)品(pin)納入(ru)(ru)其采購(gou)要(yao)求(qiu)(qiu)，通過類似于政(zheng)(zheng)府采購(gou)的(de)(de)形式(shi)，鼓(gu)勵(li)物(wu)聯(lian)網產(chan)品(pin)供(gong)應商加入(ru)(ru)標(biao)(biao)(biao)簽計劃。其次，如果物(wu)聯(lian)網產(chan)品(pin)用于特定行業(ye)(ye)，并且(qie)行業(ye)(ye)要(yao)求(qiu)(qiu)將(jiang)(jiang)此(ci)類物(wu)聯(lian)網產(chan)品(pin)的(de)(de)安(an)(an)全(quan)作為其特定的(de)(de)行業(ye)(ye)標(biao)(biao)(biao)準，以便采購(gou)商和最終用戶能夠通過標(biao)(biao)(biao)簽確認物(wu)聯(lian)網產(chan)品(pin)符合一定的(de)(de)安(an)(an)全(quan)要(yao)求(qiu)(qiu)，則該(gai)計劃秘書(shu)處將(jiang)(jiang)與相(xiang)關行業(ye)(ye)協會和工(gong)作組合作推(tui)動行業(ye)(ye)制定相(xiang)關要(yao)求(qiu)(qiu)。
2、標簽計劃適用范圍
日本版(ban)標簽計(ji)(ji)劃也明(ming)確提(ti)出(chu)了其適(shi)用于(yu)消費物聯(lian)(lian)網(wang)(wang)(wang)產(chan)品。關于(yu)物聯(lian)(lian)網(wang)(wang)(wang)產(chan)品的定(ding)(ding)義，該計(ji)(ji)劃沿用歐洲通信標準化(hua)協會ETSI EN 303 645標準中對物聯(lian)(lian)網(wang)(wang)(wang)的定(ding)(ding)義，包(bao)括物聯(lian)(lian)網(wang)(wang)(wang)產(chan)品和相關服務。這一(yi)定(ding)(ding)義和范疇與美國(guo)版(ban)物聯(lian)(lian)網(wang)(wang)(wang)安全標簽計(ji)(ji)劃適(shi)用范圍(wei)基本吻合(he)，都包(bao)含(han)了物聯(lian)(lian)網(wang)(wang)(wang)產(chan)品及其附(fu)加服務。
其(qi)中，消費物(wu)聯(lian)(lian)網(wang)(wang)設備是指具有使用互(hu)聯(lian)(lian)網(wang)(wang)協議（IP）、通過(guo)互(hu)聯(lian)(lian)網(wang)(wang)發(fa)送和接(jie)(jie)收數據能(neng)力的(de)(de)廣泛物(wu)聯(lian)(lian)網(wang)(wang)產品(pin)，包(bao)括間接(jie)(jie)連接(jie)(jie)到互(hu)聯(lian)(lian)網(wang)(wang)的(de)(de)產品(pin)，但不(bu)包(bao)括個(ge)人(ren)電(dian)腦、智(zhi)能(neng)手(shou)機等。
3、物聯網安全分級
日(ri)本版計(ji)劃通過建(jian)立物(wu)(wu)聯(lian)網安全分(fen)級(ji)機(ji)制來實施不同(tong)的(de)評估(gu)。該機(ji)制一共分(fen)為(wei)(wei)4個層級(ji)，層級(ji)1為(wei)(wei)符合安全基(ji)線的(de)標(biao)(biao)準(zhun)，以解決適用(yong)范圍內所(suo)有(you)物(wu)(wu)聯(lian)網產(chan)品常見(jian)的(de)、最低威脅基(ji)準(zhun)，層級(ji)2至層級(ji)4的(de)標(biao)(biao)準(zhun)要求逐漸提高。
獲得(de)不同(tong)層級(ji)標(biao)簽(qian)的方式不同(tong)，其中，針(zhen)對(dui)層級(ji)1和(he)層級(ji)2，通過(guo)物(wu)聯網產品供應(ying)商自我(wo)符合性聲明即可獲得(de)安全(quan)標(biao)簽(qian)，以促(cu)進該計劃的傳播；對(dui)于層級(ji)3和(he)層級(ji)4，將根據獨(du)立測試實驗室的第三方評估后再決定授予(yu)標(biao)簽(qian)，尤其是(shi)層級(ji)3及以上旨(zhi)在供政府機構和(he)關(guan)鍵(jian)基礎設施提(ti)供商采(cai)購(gou)使(shi)用，因(yin)此會要(yao)求(qiu)高(gao)可靠性。
美國(guo)版(ban)計劃暫(zan)時沒有形成明確的(de)4層分級體系，也不允許物聯網(wang)產品供應商(shang)通過(guo)(guo)自(zi)我(wo)符(fu)合(he)性聲(sheng)明來獲取(qu)標簽(qian)，供應商(shang)必須經(jing)過(guo)(guo)第(di)三方授權(quan)實驗室(shi)測試。從這個角度來看，日本版(ban)物聯網(wang)安全標簽(qian)計劃與美國(guo)的(de)區別較大(da)，但與新加坡版(ban)計劃更(geng)加類似，新加坡版(ban)計劃也是通過(guo)(guo)分為4層，以及1-2層符(fu)合(he)性聲(sheng)明的(de)模式獲取(qu)標簽(qian)。
4、管理體系架構
日(ri)本版物(wu)聯(lian)網(wang)安全(quan)標簽計劃(hua)明確由經濟(ji)產業省旗下的(de)信息(xi)處(chu)理推進機構（Information-technology Promotion Agency, IPA）作(zuo)為所有者(zhe)來統一(yi)運營，IPA本身也運營著的(de)日(ri)本信息(xi)技術安全(quan)評(ping)估和認證計劃(hua)，未來將這一(yi)計劃(hua)將擴(kuo)大到包(bao)括(kuo)物(wu)聯(lian)網(wang)安全(quan)標簽計劃(hua)。
該計(ji)(ji)劃(hua)(hua)的(de)(de)技(ji)術(shu)咨詢(xun)委員(yuan)會(hui)將(jiang)作(zuo)(zuo)(zuo)(zuo)為(wei)主(zhu)要管理組(zu)織(zhi)，討(tao)論合(he)格標(biao)準(zhun)(zhun)(zhun)的(de)(de)批(pi)準(zhun)(zhun)(zhun)和(he)該計(ji)(ji)劃(hua)(hua)的(de)(de)其(qi)他技(ji)術(shu)事項，技(ji)術(shu)咨詢(xun)委員(yuan)會(hui)下設(she)立合(he)格標(biao)準(zhun)(zhun)(zhun)工(gong)作(zuo)(zuo)(zuo)(zuo)組(zu)，以制(zhi)定(ding)每個(ge)產品類別的(de)(de)合(he)格標(biao)準(zhun)(zhun)(zhun)草(cao)(cao)案。符合(he)性標(biao)準(zhun)(zhun)(zhun)工(gong)作(zuo)(zuo)(zuo)(zuo)組(zu)將(jiang)主(zhu)要由物聯網產品供(gong)應商(shang)、主(zhu)要采(cai)購組(zu)織(zhi)及其(qi)相關(guan)組(zu)織(zhi)和(he)團(tuan)體組(zu)成，并將(jiang)向技(ji)術(shu)咨詢(xun)委員(yuan)會(hui)提交符合(he)性標(biao)準(zhun)(zhun)(zhun)草(cao)(cao)案以供(gong)批(pi)準(zhun)(zhun)(zhun)。此外，IPA和(he)經濟(ji)產業省(sheng)將(jiang)為(wei)該計(ji)(ji)劃(hua)(hua)設(she)立一個(ge)秘(mi)書處，以促(cu)進該計(ji)(ji)劃(hua)(hua)的(de)(de)傳(chuan)播，與(yu)現有的(de)(de)國內計(ji)(ji)劃(hua)(hua)整合(he)和(he)協(xie)調，并推動與(yu)其(qi)他國家協(xie)調相互承認等合(he)作(zuo)(zuo)(zuo)(zuo)。
5、與其他國家類似計劃的合作互認
日本在該(gai)方案中提到(dao)了與其他國(guo)家物(wu)聯網安全標簽計(ji)劃(hua)(hua)的合作，主要包括美國(guo)、歐盟(meng)、新加坡(po)和(he)英國(guo)。其中，日本版計(ji)劃(hua)(hua)預計(ji)在啟(qi)動時，其層級1標準將(jiang)涵蓋新加坡(po)和(he)英國(guo)法(fa)案基線標準。對于歐盟(meng)的《網絡彈(dan)性(xing)法(fa)案》（CRA）和(he)美國(guo)的物(wu)聯網安全標簽計(ji)劃(hua)(hua)，預計(ji)在層級1實施時，該(gai)計(ji)劃(hua)(hua)秘書(shu)處通過(guo)修(xiu)(xiu)訂計(ji)劃(hua)(hua)一些條(tiao)款以解(jie)決差(cha)異(yi)，例(li)如(ru)，通過(guo)修(xiu)(xiu)訂層級1的符合性(xing)聲明要求(qiu)，或通過(guo)宣布解(jie)決差(cha)異(yi)所(suo)需的額外措施來(lai)實現融合。
日本版方案(an)專門強(qiang)調，預計(ji)2025年(nian)將(jiang)正式(shi)實施層級1標(biao)簽計(ji)劃(hua)，接受(shou)企業(ye)符合性(xing)聲明形式(shi)獲(huo)得(de)標(biao)簽，屆時會(hui)宣布(bu)與新加坡和英國(guo)相對應(ying)計(ji)劃(hua)的互認。而(er)對于美國(guo)和歐盟，會(hui)在后續實施中選擇適(shi)當時候公(gong)布(bu)互認合作。
6、評估標準
對于(yu)層級1的(de)實(shi)施(shi)，日本已制定了(le)初步的(de)安全(quan)(quan)要(yao)求(qiu)(qiu)、符合性標(biao)(biao)(biao)準和(he)(he)評(ping)估程序。研究小組根據對整(zheng)個方(fang)案所需安全(quan)(quan)要(yao)求(qiu)(qiu)的(de)分析(xi)、實(shi)際產品概念驗(yan)證的(de)結果以及對國(guo)內(nei)標(biao)(biao)(biao)準/方(fang)案和(he)(he)其(qi)他(ta)國(guo)家(jia)標(biao)(biao)(biao)準/方(fang)案重疊(die)要(yao)求(qiu)(qiu)的(de)分析(xi)，制定了(le)層級1實(shi)施(shi)相關標(biao)(biao)(biao)準，其(qi)參(can)考的(de)海外標(biao)(biao)(biao)準包括(kuo)歐洲通信標(biao)(biao)(biao)準化協會ETSI EN 303 645標(biao)(biao)(biao)準和(he)(he)美(mei)國(guo)國(guo)家(jia)標(biao)(biao)(biao)準與技術研究院NISTIR 8425標(biao)(biao)(biao)準。
從2024年4月(yue)起，經濟產業省(sheng)將針對每個物(wu)聯網產品類別開展更高級(ji)別的安全(quan)合規性標(biao)準討(tao)論。
結語
日(ri)本版物(wu)聯(lian)網安全(quan)(quan)標簽計(ji)劃草案已發(fa)布，至此，全(quan)(quan)球(qiu)主(zhu)要(yao)(yao)發(fa)達經濟體(ti)針(zhen)對物(wu)聯(lian)網安全(quan)(quan)采取的(de)(de)路徑(jing)基本達成共識。可(ke)以看出，隨(sui)著物(wu)聯(lian)網連接數不斷(duan)增長，物(wu)聯(lian)網安全(quan)(quan)形勢越來(lai)越嚴峻，消費者面對物(wu)聯(lian)網產品(pin)，無從知曉(xiao)其(qi)是(shi)否符合(he)安全(quan)(quan)要(yao)(yao)求，各(ge)國將解決這(zhe)一(yi)問題提到較(jiao)優先的(de)(de)議事日(ri)程。在此背景下，中(zhong)國版物(wu)聯(lian)網安全(quan)(quan)標簽計(ji)劃需要(yao)(yao)盡快出爐，通過這(zhe)一(yi)全(quan)(quan)球(qiu)通用方式(shi)，保護消費者合(he)法權益，同(tong)時提供中(zhong)國物(wu)聯(lian)網企業的(de)(de)競爭力(li)。
