4 月 29 日，英國消費者互聯產品安全制度正式開始生效，英國由此成為首個禁止在物聯網設備上使(shi)用默認弱(ruo)密(mi)碼(ma)的國家。
圖源：英國(guo)政府官網
該(gai)法(fa)案誕生(sheng)的起源(yuan)最早可以(yi)追(zhui)溯到(dao) 2016 年(nian) 10 月 21 日發生(sheng)的惡(e)性網絡攻(gong)擊事件。
當時(shi)，黑(hei)客們使用了(le)一種被(bei)稱作“物聯網(wang)(wang)(wang)(wang)破壞者”的(de)(de) Mirai 病(bing)毒，該(gai)病(bing)毒每(mei)掃描(miao)到一個(ge)(ge)物聯網(wang)(wang)(wang)(wang)設(she)備（比如網(wang)(wang)(wang)(wang)絡攝像頭(tou)、智能開(kai)關(guan)等）后，就會(hui)嘗(chang)試使用默(mo)認密(mi)(mi)碼進行(xing)登陸（一般為 admin/admin，Mirai 病(bing)毒自帶(dai) 60 個(ge)(ge)通用密(mi)(mi)碼），一旦登陸成功，這(zhe)臺物聯網(wang)(wang)(wang)(wang)設(she)備就進入“肉雞”名(ming)(ming)單，開(kai)始被(bei)黑(hei)客操控攻擊其(qi)他網(wang)(wang)(wang)(wang)絡設(she)備。黑(hei)客們借此控制了(le)美(mei)國(guo)大量的(de)(de)網(wang)(wang)(wang)(wang)絡攝像頭(tou)和相關(guan)的(de)(de) DVR 錄像機(ji)，然后操縱這(zhe)些“肉雞”攻擊了(le)美(mei)國(guo)的(de)(de)多個(ge)(ge)知(zhi)名(ming)(ming)網(wang)(wang)(wang)(wang)站，包括 Twitter、Paypal、Spotify 在內(nei)等多個(ge)(ge)人們每(mei)天都用的(de)(de)網(wang)(wang)(wang)(wang)站被(bei)迫中(zhong)斷服(fu)務，幾乎(hu)讓美(mei)國(guo)大半(ban)個(ge)(ge)互聯網(wang)(wang)(wang)(wang)陷入癱瘓狀態。
Mirai 病(bing)毒由(you)三名 20 歲左右的(de)美國公民開(kai)發，雖(sui)然他們很快被逮捕并處罰，但該病(bing)毒卻(que)引發了產業的(de)廣泛(fan)(fan)擔憂——如果物(wu)聯網設備制造商的(de)安全策略過于草率，那么有可(ke)能造成廣泛(fan)(fan)的(de)、出乎意料的(de)影響。
英國最新法案的落地，正是對這類安全漏洞的有力回應。它要求物聯網設備制造商在生產過程中就加強安全防護措施，從源頭上杜絕弱密碼等安全隱患。具體而言，物聯網設備將不得使用“admin”或者“12345”等默認密碼，而且制造商還需要發布聯系方式，以便用戶可以報告錯誤。
不符合(he)規定(ding)的(de)產品可能面臨被召(zhao)回，相(xiang)關公(gong)司則面臨最高 1000 萬英鎊或其全球(qiu)收入 4% 的(de)罰款，以較高者為(wei)準。
英國物聯網安全法案相關細節
從 2024 年 4 月 29 日起，英國消費者互聯產品(pin)(pin)(pin)安全制度正式(shi)生效。從該(gai)日期(qi)起，該(gai)法(fa)律將要求(qiu)(qiu)英國消費者互聯產品(pin)(pin)(pin)（或“智(zhi)能”產品(pin)(pin)(pin)）的制造商遵(zun)守該(gai)法(fa)案中規定的相(xiang)關(guan)義務，其(qi)中包括確保他(ta)們(men)及其(qi)產品(pin)(pin)(pin)滿(man)足相(xiang)關(guan)的最低安全要求(qiu)(qiu)。
該制度由(you)兩項立法組成：
《2022 年產(chan)品安全和(he)電信基礎設施(shi) ( PSTI ) 法案(an)》第 1 部分；和(he)
《2023 年產品安(an)全和電信基(ji)礎設施（相關(guan)互聯產品的安(an)全要求）法規(gui)》。
圖源(yuan)：英國政(zheng)府官網
PSTI 法案于(yu) 2022 年(nian) 12 月獲(huo)得(de)批準(zhun)。政(zheng)府于(yu) 2023 年(nian) 4 月發布了(le) PSTI（相關互聯產品(pin)的安全(quan)要求）法規的完整草案。這(zhe)些法規于(yu) 2023 年(nian) 9 月 14 日(ri)簽(qian)署成為法律。
誰受到新法規約束？
簡單來說，相關互聯產品的制造商、進口商和分銷商將受到新法規約束。所以該法規會對中國物聯網設備制造商的出海產生一定影響。
哪些產品受到管控？
PSTI 管控產品范圍包括互聯網連接的產品，例如網絡攝像頭、智能門鎖、報警系統、智能家居助手、智能手機、智能家電、可穿戴設備等；也適用于不能直接連接到互聯網但能同時連接到多個其他設備的產品，如智能照明器具、智能控制器、物聯網基站等。
不(bu)在 PSTI 管控(kong)范圍的(de)產品包括計算機（a) 臺式電(dian)(dian)腦；(b) 筆記本電(dian)(dian)腦；(c) 不(bu)具備連(lian)接蜂窩網絡能力的(de)平板電(dian)(dian)腦（根(gen)據制造商的(de)預期用途，專為14歲以(yi)下兒童設(she)計的(de)，不(bu)屬于例外(wai)產品）、醫(yi)療(liao)產品、智能電(dian)(dian)表產品、電(dian)(dian)動(dong)汽車充電(dian)(dian)器，及藍牙一對一連(lian)接產品。
值得注意(yi)的是(shi)，這些產品也可能(neng)有網絡安全(quan)要求，但不(bu)在PSTI法(fa)案(an)管控范圍，而(er)是(shi)可能(neng)由其(qi)它(ta)法(fa)案(an)管控。
法規關鍵要求
①通用默認密碼要求：法(fa)規禁止通用默認密(mi)(mi)碼(ma)，并對密(mi)(mi)碼(ma)強(qiang)度有相關要求。這意(yi)味著，用戶在首次使用時需要提供唯一的密(mi)(mi)碼(ma)，或需要更改密(mi)(mi)碼(ma)。
②安全漏洞報告與處理：制造商必(bi)須提供(gong)有關如何向他們報(bao)告其產品安(an)全漏洞的信(xin)息。制造商還必(bi)須提供(gong)有關時間(jian)范圍(wei)的信(xin)息，在該時間(jian)范圍(wei)內確認收到報(bao)告和狀態更(geng)新，直到報(bao)告編寫者可以預期所報(bao)告的安(an)全問題得到解決。
③最短的安全更新周期信息：制造商需(xu)要有(you)明確(que)(que)且透明的(de)(de)方式對用戶公布最短的(de)(de)安全更新周期，即明確(que)(que)說明制造商將持續(xu)提供(gong)多長時(shi)間的(de)(de)更新。這些信息應以(yi)(yi)英文(wen)免(mian)費(fei)提供(gong)，無需(xu)事先(xian)請求，并且以(yi)(yi)不具備任何技術知(zhi)識的(de)(de)讀(du)者也能(neng)理解的(de)(de)方式提供(gong)。
同時，法案范圍內產品必須(xu)(xu)隨(sui)附(fu)合規聲明(ming)，其中必須(xu)(xu)包括(kuo)以(yi)下信息:
產品(類型和批次)
每個(ge)制造商的名稱和地址，以及(如適用)其授權代(dai)表
聲(sheng)明由產(chan)品制造商(shang)或(huo)其代表(biao)編寫
符合相關安全要求(《PSTI條(tiao)例》附表1)或符合視為符合的條(tiao)件(附表2)的聲(sheng)明
制造(zao)商(shang)首次供應產品時正確的產品規定支持期
合(he)規聲明的簽(qian)名(ming)、簽(qian)名(ming)人姓名(ming)和職務以及簽(qian)發地點和日期
法規如何執行？
據悉，產品安全和標準(zhun)辦公室 (OPSS) 將根(gen)據與 DSIT 簽署(shu)的諒解備忘錄，自 2024 年 4 月 29 日起負責(ze)執行 2022 年PSTI 法(fa)案和 2023 年法(fa)規。
OPSS 隸屬于商業(ye)貿易(yi)部，已經(jing)執行(xing)(xing)英(ying)國現有(you)的(de)產(chan)品安全法規 OPSS 將利用現有(you)流程(cheng)和關系，以穩健和基于風險的(de)方式執行(xing)(xing)英(ying)國產(chan)品安全制度(du)，并對不遵守義務(wu)的(de)企業(ye)采取適當和相稱的(de)行(xing)(xing)動(dong)。
各國相繼出臺物聯網安全相關政策
據研(yan)究(jiu)機構預測(ce)，到 2030 年物聯網設備數量(liang)將超過(guo) 294.2 億，按(an)照聯合國預測(ce) 2030 年全球人口(kou) 85 億計算的話，屆時平均每(mei)個人就對應 3 臺物聯網設備。
隨著聯網設備的激增，IoT 設備終端受到網絡攻擊的次數也越來越多，消費者對網絡安全和隱私保護意識在逐漸增強，品牌商的網絡安全和數據保護已提升到了戰略地位。網絡安全法規強制性化漸成趨勢，各個國家紛紛出臺了網絡安全法規，例如中國、歐盟、英國、新加坡、巴西、日本以及美國都已經提上了日程，以增強市場物聯網產品規范化管理。
早在 2020 年，新加坡網絡(luo)安(an)全(quan)局(ju) (CSA) 表示，新加(jia)(jia)(jia)坡已加(jia)(jia)(jia)入制定網絡(luo)安(an)全(quan)標(biao)簽計(ji)劃(hua)的(de)(de)(de)國(guo)家(jia)行列，這(zhe)在亞太地(di)區尚屬首次(ci)。該(gai)計(ji)劃(hua)允許(xu)用戶在購買產品之(zhi)前輕松(song)評估(gu)產品的(de)(de)(de)安(an)全(quan)性，識別具(ju)有(you)更好網絡(luo)安(an)全(quan)措施(shi)的(de)(de)(de)產品，并做出(chu)明智(zhi)的(de)(de)(de)決定。隨后的(de)(de)(de)幾年間，新加(jia)(jia)(jia)坡陸續推動了和多個國(guo)家(jia)、地(di)區、聯盟的(de)(de)(de)網絡(luo)安(an)全(quan)標(biao)簽互認(ren)證。
今年 3 月，美國聯(lian)邦(bang)通(tong)訊委員會 (FCC) 公開(kai)投票正(zheng)式通(tong)過了物聯(lian)網(wang)安(an)全(quan)標(biao)(biao)簽(qian)計劃(hua) (Cybersecurity Labeling Program)，在該計劃(hua)下(xia)，符(fu)(fu)合相(xiang)關條件的(de)消費(fei)物聯(lian)網(wang)產(chan)品(pin)將被賦予網(wang)絡安(an)全(quan)標(biao)(biao)識標(biao)(biao)簽(qian) (Cyber Trust Mark)，方(fang)便消費(fei)者根(gen)據產(chan)品(pin)安(an)全(quan)信息(xi)做(zuo)出(chu)(chu)購買決策，同時安(an)全(quan)可信產(chan)品(pin)在市場上具有差異化(hua)優勢(shi)，激(ji)勵物聯(lian)網(wang)產(chan)品(pin)制造商推(tui)出(chu)(chu)符(fu)(fu)合更(geng)高安(an)全(quan)標(biao)(biao)準的(de)產(chan)品(pin)。
隨后不久的 4 月，日本經濟產業省(sheng)發布了(le)《物(wu)聯(lian)網(wang)安全(quan)合格評估計劃(hua)草案(an)》征(zheng)求意見稿，可以看作是(shi)日本版(ban)物(wu)聯(lian)網(wang)安全(quan)標簽計劃(hua)，對標美國、新加坡等(deng)國家和地區的(de)物(wu)聯(lian)網(wang)安全(quan)標簽計劃(hua)。
同樣是在 4 月，歐盟投票通過了《網絡(luo)安全(quan)(quan)彈(dan)性(xing)法(fa)(fa)案(an)(an)（CRA）》，這(zhe)是一項(xiang)旨(zhi)在(zai)全(quan)(quan)面提升歐(ou)盟(meng)境內數(shu)字產(chan)(chan)(chan)品(pin)安全(quan)(quan)防護(hu)水平的(de)重大舉措。該法(fa)(fa)案(an)(an)的(de)覆蓋(gai)范圍廣泛，不僅關(guan)注產(chan)(chan)(chan)品(pin)的(de)設(she)計(ji)和生產(chan)(chan)(chan)過程，還(huan)延伸到產(chan)(chan)(chan)品(pin)的(de)銷售(shou)(shou)、使(shi)用(yong)以(yi)(yi)及報(bao)廢處理等環(huan)節。這(zhe)意(yi)味著，在(zai)歐(ou)盟(meng)市場(chang)上銷售(shou)(shou)的(de)每一款數(shu)字產(chan)(chan)(chan)品(pin)，都(dou)必須經過嚴(yan)格的(de)審查，確(que)保(bao)其符(fu)合(he)法(fa)(fa)案(an)(an)規定的(de)網絡(luo)安全(quan)(quan)標準(zhun)。以(yi)(yi)漏(lou)洞(dong)報(bao)告為例：制造商必須在(zai)24小時內向其指(zhi)定的(de)歐(ou)盟(meng)成員國計(ji)算機(ji)安全(quan)(quan)事(shi)故響應(ying)小組 (CISRT) 報(bao)告任(ren)何被惡意(yi)行為者利(li)用(yong)的(de)產(chan)(chan)(chan)品(pin)漏(lou)洞(dong)。然后，制造商必須在(zai)72小時內提交(jiao)一份總(zong)體跟進報(bao)告，并在(zai)緩解措施(shi)出臺后 14 天內提交(jiao)一份詳細(xi)報(bao)告。
再看我國， 2021 年，工信部印發物聯網基礎安全標準體系建設指南的通知，提出到2022年，初步建立物聯網基礎安全標準體系，研制重點行業標準10項以上，明確物聯網終端、網關、平臺等關鍵基礎環節安全要求，滿足物聯網基礎安全保障需要，促進物聯網基礎安全能力提升。到2025年，推動形成較為完善的物聯網基礎安全標準體系，研制行業標準30項以上，提升標準在細分行業及領域的覆蓋程度，提高跨行業物聯網應用安全水平，保障消費(fei)者安全使用。
物聯網設備制造商需積極應對安全挑戰
近期(qi)，Asimily 發布了一份題為《2024 年物聯網設(she)備安全(quan)：無所作為的高(gao)昂成本》的新(xin)報告(gao)，報告(gao)有一些核心洞(dong)察(cha)值得關注(zhu)：
從受攻擊的設備來看，路由器是最具針對性的物聯網設備，占所有物聯網感染的 75%。黑客利用路由器作為訪問網絡內其他連接設備的墊腳石。安全攝像頭和 IP 攝像頭是第二大目標設備，占所有攻擊的 15%。其他常見的目標設備包括數字標牌、媒體播放器、數字錄像機、打印機和智能照明。該報告還強調了與專業設備相關的特別嚴重的風險，包括對醫療保健中的患者護理至關重要的設備（包括血糖監測儀和起搏器）、制造業的實時監測設備以及市政當局的水質傳感器。
從受攻擊的行業來看，犯罪分子越來越將注意力集中在制造業、金融和能源行業，零售、教育、醫(yi)療保健和政府組織仍然(ran)是熱門目標，而(er)媒(mei)體和交通在過(guo)去幾年中已不(bu)再受到重視。
同時，網絡保險公司正在限制賠付金額。隨著網(wang)絡(luo)攻擊變(bian)得(de)越(yue)來越(yue)普遍，網(wang)絡(luo)安(an)全(quan)保險變(bian)得(de)越(yue)來越(yue)昂貴且難以獲(huo)得(de)。現在，越(yue)來越(yue)多(duo)的(de)(de)保險公(gong)司要求企業具(ju)備強(qiang)大的(de)(de)物聯(lian)網(wang)安(an)全(quan)和風險管(guan)理(li)能力(li)，以獲(huo)得(de)承保資(zi)格，并且越(yue)來越(yue)多(duo)地拒絕或限制(zhi)那(nei)些(xie)不符合特定(ding)閾值的(de)(de)企業的(de)(de)承保范圍。在網(wang)絡(luo)保險公(gong)司拒絕承保的(de)(de)原因中，缺乏(fa)安(an)全(quan)協議是最常見的(de)(de)，占 43%。不遵守(shou)合規程序占承保拒絕的(de)(de) 33%。
顯然，安全風險為物聯網設(she)備制造商帶(dai)來了新的(de)(de)(de)挑戰，而各個國家新法案(an)的(de)(de)(de)實施都意味著制造商需(xu)要承擔更多的(de)(de)(de)責任和義務(wu)。他們(men)需(xu)要確(que)保(bao)所(suo)生產的(de)(de)(de)物聯網產品具備足夠的(de)(de)(de)安全性，包括防止未經授權的(de)(de)(de)訪問(wen)、保(bao)護數據(ju)的(de)(de)(de)完整性和有效性等方面。同時(shi)，他們(men)還(huan)需(xu)要建立相應的(de)(de)(de)流(liu)程和文(wen)件(jian)，以證明其產品符合法案(an)的(de)(de)(de)要求。
從各個國家的法律來看，違反方案會遭遇嚴厲的處罰，除了巨額的賠償金外，企業的聲譽損失可能更加難以挽回——這將對那些忽視網絡安全問題、企圖通過降低成本來獲取市場競爭力的制造商形成有力的震懾。
對中(zhong)國這(zhe)樣的(de)物聯網產(chan)(chan)(chan)品(pin)生產(chan)(chan)(chan)和(he)(he)出口大(da)國而言，相(xiang)關制(zhi)造(zao)商(shang)需要(yao)積極應(ying)對。一(yi)方面(mian)，制(zhi)造(zao)商(shang)要(yao)確保(bao)設計(ji)的(de)產(chan)(chan)(chan)品(pin)符合標準要(yao)求后再投入(ru)(ru)生產(chan)(chan)(chan)從而進入(ru)(ru)市場，相(xiang)關廠家應(ying)該在(zai)產(chan)(chan)(chan)品(pin)開發過程中(zhong)盡(jin)早了解相(xiang)關法(fa)律法(fa)規(gui)，以便更好地規(gui)劃產(chan)(chan)(chan)品(pin)設計(ji)、生產(chan)(chan)(chan)和(he)(he)出海，確保(bao)產(chan)(chan)(chan)品(pin)符合安全(quan)標準。另一(yi)方面(mian)，制(zhi)造(zao)商(shang)也要(yao)持續加大(da)技術研發和(he)(he)創新投入(ru)(ru)，提升產(chan)(chan)(chan)品(pin)的(de)安全(quan)水平，形成差異(yi)化競爭(zheng)優勢，從而在(zai)全(quan)球市場中(zhong)爭(zheng)得更多的(de)份(fen)額。
