4 月 29 日，英國消費者互聯產品安全制度正式開始生效，英國由此成為首個禁止在物聯網設備上(shang)使用默認弱密碼的(de)國家。
圖(tu)源：英(ying)國政(zheng)府官網
該(gai)法案誕生的(de)起源(yuan)最早可以追溯到 2016 年 10 月(yue) 21 日(ri)發生的(de)惡(e)性網絡攻擊事件。
當時，黑(hei)客們使(shi)用了一種(zhong)被稱作(zuo)“物聯網(wang)破壞者”的 Mirai 病(bing)毒，該病(bing)毒每掃描到(dao)一個物聯網(wang)設備(bei)（比如網(wang)絡(luo)攝(she)像頭、智能開(kai)關等(deng)）后，就會嘗試使(shi)用默(mo)認密碼進行登陸（一般為 admin/admin，Mirai 病(bing)毒自帶 60 個通(tong)用密碼），一旦登陸成功，這臺物聯網(wang)設備(bei)就進入“肉雞”名單，開(kai)始(shi)被黑(hei)客操控攻擊(ji)其他網(wang)絡(luo)設備(bei)。黑(hei)客們借此(ci)控制了美國(guo)大量的網(wang)絡(luo)攝(she)像頭和相關的 DVR 錄像機，然后操縱這些(xie)“肉雞”攻擊(ji)了美國(guo)的多(duo)(duo)個知名網(wang)站，包括 Twitter、Paypal、Spotify 在內等(deng)多(duo)(duo)個人們每天都用的網(wang)站被迫中斷服(fu)務，幾乎讓美國(guo)大半個互聯網(wang)陷入癱瘓狀態(tai)。
Mirai 病毒(du)由三名(ming) 20 歲(sui)左右的(de)美國公民開發，雖(sui)然他們很(hen)快被逮捕(bu)并處罰(fa)，但該(gai)病毒(du)卻引(yin)發了產業的(de)廣泛擔憂——如(ru)果物聯網設備(bei)制造商的(de)安全策略過于草率，那么(me)有可能造成廣泛的(de)、出乎意料的(de)影響(xiang)。
英國最新法案的落地，正是對這類安全漏洞的有力回應。它要求物聯網設備制造商在生產過程中就加強安全防護措施，從源頭上杜絕弱密碼等安全隱患。具體而言，物聯網設備將不得使用“admin”或者“12345”等默認密碼，而且制造商還需要發布聯系方式，以便用戶可以報告錯誤。
不符(fu)合規定(ding)的(de)產品可(ke)能面(mian)臨被召回(hui)，相關公司則面(mian)臨最(zui)高(gao) 1000 萬英鎊或(huo)其全(quan)球收入(ru) 4% 的(de)罰款，以(yi)較(jiao)高(gao)者為(wei)準。
英國物聯網安全法案相關細節
從(cong) 2024 年 4 月 29 日起(qi)，英(ying)國(guo)消(xiao)費者(zhe)互(hu)聯產品安(an)全(quan)制(zhi)度正式(shi)生效。從(cong)該(gai)(gai)日期起(qi)，該(gai)(gai)法律將要(yao)求英(ying)國(guo)消(xiao)費者(zhe)互(hu)聯產品（或“智(zhi)能”產品）的(de)制(zhi)造商遵守該(gai)(gai)法案中規定(ding)的(de)相(xiang)關義務，其中包(bao)括確(que)保他們及(ji)其產品滿足相(xiang)關的(de)最低安(an)全(quan)要(yao)求。
該制度(du)由兩項立法組成：
《2022 年產品(pin)安全和電信基(ji)礎(chu)設施(shi) ( PSTI ) 法(fa)案》第 1 部分；和
《2023 年產品(pin)安全和電信基礎設施（相關互聯產品(pin)的安全要求）法規》。
圖源：英國政府官(guan)網
PSTI 法案(an)于 2022 年(nian) 12 月獲得批(pi)準。政府于 2023 年(nian) 4 月發(fa)布了 PSTI（相(xiang)關互聯產品的安(an)全要(yao)求(qiu)）法規的完整草案(an)。這些法規于 2023 年(nian) 9 月 14 日(ri)簽署成為法律。
誰受到新法規約束？
簡單來說，相關互聯產品的制造商、進口商和分銷商將受到新法規約束。所以該法規會對中國物聯網設備制造商的出海產生一定影響。
哪些產品受到管控？
PSTI 管控產品范圍包括互聯網連接的產品，例如網絡攝像頭、智能門鎖、報警系統、智能家居助手、智能手機、智能家電、可穿戴設備等；也適用于不能直接連接到互聯網但能同時連接到多個其他設備的產品，如智能照明器具、智能控制器、物聯網基站等。
不在 PSTI 管(guan)控范(fan)圍的產品包括計算機（a) 臺式(shi)電腦(nao)(nao)；(b) 筆記本電腦(nao)(nao)；(c) 不具備連(lian)接蜂窩(wo)網絡能力(li)的平(ping)板電腦(nao)(nao)（根據制造(zao)商(shang)的預期用途，專為14歲以下(xia)兒童(tong)設計的，不屬(shu)于(yu)例外(wai)產品）、醫(yi)療產品、智能電表(biao)產品、電動汽車充電器，及藍牙一對一連(lian)接產品。
值得(de)注意(yi)的是，這些產品(pin)也可能有網絡安全要求，但不在PSTI法案(an)管控范圍，而是可能由其它法案(an)管控。
法規關鍵要求
①通用默認密碼要求：法規禁止(zhi)通用(yong)默認密(mi)(mi)碼，并對(dui)密(mi)(mi)碼強度有相關要求。這意(yi)味著，用(yong)戶在首次使(shi)用(yong)時需要提供唯一的密(mi)(mi)碼，或(huo)需要更改密(mi)(mi)碼。
②安全漏洞報告與處理：制造商必(bi)須提供有關如何向他們(men)報(bao)告(gao)其產品安全(quan)漏洞的(de)信息。制造商還必(bi)須提供有關時間范(fan)(fan)圍(wei)的(de)信息，在該時間范(fan)(fan)圍(wei)內確(que)認收到(dao)(dao)報(bao)告(gao)和狀(zhuang)態更新，直到(dao)(dao)報(bao)告(gao)編寫者可(ke)以預期所(suo)報(bao)告(gao)的(de)安全(quan)問題得到(dao)(dao)解決。
③最短的安全更新周期信息：制造(zao)商需要(yao)有明確且透明的(de)方(fang)(fang)式對用戶公布最短的(de)安全(quan)更(geng)新周期，即明確說明制造(zao)商將持續提供多長時間的(de)更(geng)新。這些信息應(ying)以英(ying)文免費提供，無(wu)需事先請求，并且以不(bu)具備任何(he)技(ji)術知(zhi)識的(de)讀者也能(neng)理解(jie)的(de)方(fang)(fang)式提供。
同(tong)時(shi)，法案范(fan)圍內產(chan)品(pin)必(bi)須(xu)隨(sui)附合規(gui)聲明，其(qi)中必(bi)須(xu)包括以下信(xin)息:
產品(類型和批次)
每個制造商的(de)名稱和(he)地址，以及(ji)(如適(shi)用)其(qi)授權代表
聲明由產品制造商或其代表(biao)編寫
符合(he)相關(guan)安全要求(《PSTI條例》附(fu)表1)或符合(he)視為符合(he)的(de)條件(附(fu)表2)的(de)聲明
制造商首(shou)次(ci)供應產(chan)品時正確的產(chan)品規(gui)定支持期
合(he)規聲明的簽(qian)名、簽(qian)名人姓名和職(zhi)務以(yi)及(ji)簽(qian)發地點和日期(qi)
法規如何執行？
據悉，產品安全(quan)和標準(zhun)辦(ban)公(gong)室 (OPSS) 將根據與 DSIT 簽署的諒解(jie)備忘(wang)錄，自 2024 年 4 月 29 日起(qi)負責執行 2022 年PSTI 法案和 2023 年法規。
OPSS 隸屬于商業貿(mao)易部，已經執行英國現有(you)的(de)產品安全(quan)法規 OPSS 將利用現有(you)流程(cheng)和(he)關系，以(yi)穩(wen)健和(he)基于風險的(de)方式執行英國產品安全(quan)制(zhi)度，并對不遵守義務的(de)企業采取適當和(he)相稱的(de)行動(dong)。
各國相繼出臺物聯網安全相關政策
據研究機構預測，到 2030 年(nian)物聯網設備數量將超過 294.2 億(yi)，按照聯合國預測 2030 年(nian)全(quan)球人口 85 億(yi)計算的話，屆時平均每個人就對應(ying) 3 臺物聯網設備。
隨著聯網設備的激增，IoT 設備終端受到網絡攻擊的次數也越來越多，消費者對網絡安全和隱私保護意識在逐漸增強，品牌商的網絡安全和數據保護已提升到了戰略地位。網絡安全法規強制性化漸成趨勢，各個國家紛紛出臺了網絡安全法規，例如中國、歐盟、英國、新加坡、巴西、日本以及美國都已經提上了日程，以增強市場物聯網產品規范化管理。
早在 2020 年，新加坡網絡安(an)全(quan)(quan)局 (CSA) 表示，新加坡已加入制定(ding)網絡安(an)全(quan)(quan)標(biao)簽(qian)計劃(hua)的(de)國家(jia)行列，這在(zai)(zai)亞太地區(qu)尚屬首次。該計劃(hua)允許用(yong)戶在(zai)(zai)購買產(chan)品(pin)之前輕松評(ping)估產(chan)品(pin)的(de)安(an)全(quan)(quan)性，識別具有(you)更好(hao)網絡安(an)全(quan)(quan)措施的(de)產(chan)品(pin)，并(bing)做出明智(zhi)的(de)決定(ding)。隨后的(de)幾年間，新加坡陸續推(tui)動了(le)和(he)多個國家(jia)、地區(qu)、聯盟的(de)網絡安(an)全(quan)(quan)標(biao)簽(qian)互(hu)認(ren)證。
今年 3 月，美國聯邦通訊委員會 (FCC) 公(gong)開(kai)投票正(zheng)式通過(guo)了物(wu)聯網安全(quan)標(biao)簽計(ji)劃 (Cybersecurity Labeling Program)，在該計(ji)劃下(xia)，符合相關條件的消費(fei)物(wu)聯網產(chan)品(pin)將被賦予網絡安全(quan)標(biao)識標(biao)簽 (Cyber Trust Mark)，方便消費(fei)者根(gen)據產(chan)品(pin)安全(quan)信息(xi)做出購買決策(ce)，同(tong)時安全(quan)可(ke)信產(chan)品(pin)在市場上具有差異化優勢，激勵物(wu)聯網產(chan)品(pin)制造商推出符合更高安全(quan)標(biao)準的產(chan)品(pin)。
隨后不久的 4 月，日本經濟產(chan)業省發布了《物聯網安全合格評(ping)估計(ji)劃草(cao)案》征求(qiu)意見稿，可以看作是日本(ben)版(ban)物聯網安全標簽(qian)(qian)計(ji)劃，對(dui)標美國(guo)、新加坡等國(guo)家和地區的(de)物聯網安全標簽(qian)(qian)計(ji)劃。
同樣是在 4 月，歐盟投票通(tong)過(guo)了《網(wang)絡安全(quan)(quan)彈性法案(an)(an)（CRA）》，這是一項旨在全(quan)(quan)面提(ti)升歐(ou)盟(meng)境內數(shu)字產品(pin)安全(quan)(quan)防護水平的(de)(de)(de)重大舉措(cuo)。該法案(an)(an)的(de)(de)(de)覆蓋范圍廣泛，不(bu)僅關注產品(pin)的(de)(de)(de)設計(ji)和生產過(guo)程，還(huan)延伸(shen)到(dao)產品(pin)的(de)(de)(de)銷(xiao)售(shou)、使用以及(ji)報(bao)廢處理(li)等環節。這意味(wei)著，在歐(ou)盟(meng)市場上銷(xiao)售(shou)的(de)(de)(de)每一款數(shu)字產品(pin)，都(dou)必(bi)(bi)須經過(guo)嚴格(ge)的(de)(de)(de)審查(cha)，確保其符合法案(an)(an)規(gui)定(ding)的(de)(de)(de)網(wang)絡安全(quan)(quan)標準。以漏洞報(bao)告為例：制造商(shang)必(bi)(bi)須在24小(xiao)時(shi)內向其指定(ding)的(de)(de)(de)歐(ou)盟(meng)成(cheng)員(yuan)國計(ji)算機(ji)安全(quan)(quan)事故響應小(xiao)組 (CISRT) 報(bao)告任(ren)何被惡意行(xing)為者利用的(de)(de)(de)產品(pin)漏洞。然后，制造商(shang)必(bi)(bi)須在72小(xiao)時(shi)內提(ti)交(jiao)一份(fen)總體跟進報(bao)告，并在緩解措(cuo)施出臺后 14 天(tian)內提(ti)交(jiao)一份(fen)詳(xiang)細報(bao)告。
再看我國， 2021 年，工信部印發物聯網基礎安全標準體系建設指南的通知，提出到2022年，初步建立物聯網基礎安全標準體系，研制重點行業標準10項以上，明確物聯網終端、網關、平臺等關鍵基礎環節安全要求，滿足物聯網基礎安全保障需要，促進物聯網基礎安全能力提升。到2025年，推動形成較為完善的物聯網基礎安全標準體系，研制行業標準30項以上，提升標準在細分行業及領域的覆蓋程度，提高跨行業物聯網應用安全(quan)(quan)水平，保障消費(fei)者安全(quan)(quan)使用。
物聯網設備制造商需積極應對安全挑戰
近期，Asimily 發布了一份題為《2024 年物(wu)聯網設備安全(quan)：無(wu)所作(zuo)為的高昂成本》的新報(bao)告，報(bao)告有一些核心洞察值得關(guan)注：
從受攻擊的設備來看，路由器是最具針對性的物聯網設備，占所有物聯網感染的 75%。黑客利用路由器作為訪問網絡內其他連接設備的墊腳石。安全攝像頭和 IP 攝像頭是第二大目標設備，占所有攻擊的 15%。其他常見的目標設備包括數字標牌、媒體播放器、數字錄像機、打印機和智能照明。該報告還強調了與專業設備相關的特別嚴重的風險，包括對醫療保健中的患者護理至關重要的設備（包括血糖監測儀和起搏器）、制造業的實時監測設備以及市政當局的水質傳感器。
從受攻擊的行業來看，犯罪分子越來越將注意力集中在制造業、金融和能源行業，零(ling)售(shou)、教育(yu)、醫療保健和(he)政(zheng)府組織仍然是熱門目(mu)標(biao)，而媒體和(he)交通在(zai)過(guo)去幾年中已不再受到重視(shi)。
同時，網絡保險公司正在限制賠付金額。隨著(zhu)網(wang)絡(luo)(luo)攻擊(ji)變得(de)(de)越(yue)來越(yue)普遍，網(wang)絡(luo)(luo)安(an)全(quan)保(bao)(bao)險(xian)變得(de)(de)越(yue)來越(yue)昂貴(gui)且難(nan)以獲得(de)(de)。現在(zai)，越(yue)來越(yue)多的(de)保(bao)(bao)險(xian)公(gong)司要求企業具備強大的(de)物聯網(wang)安(an)全(quan)和(he)風險(xian)管理能力，以獲得(de)(de)承(cheng)保(bao)(bao)資格，并且越(yue)來越(yue)多地拒(ju)(ju)絕或(huo)限制(zhi)那(nei)些(xie)不(bu)符合特定閾值的(de)企業的(de)承(cheng)保(bao)(bao)范圍。在(zai)網(wang)絡(luo)(luo)保(bao)(bao)險(xian)公(gong)司拒(ju)(ju)絕承(cheng)保(bao)(bao)的(de)原因中，缺乏安(an)全(quan)協議是最常見的(de)，占 43%。不(bu)遵守合規程序占承(cheng)保(bao)(bao)拒(ju)(ju)絕的(de) 33%。
顯然，安全風險(xian)為物(wu)聯網設(she)備制造(zao)商(shang)帶來了(le)新的(de)(de)挑(tiao)戰，而(er)各個國(guo)家新法(fa)案的(de)(de)實施(shi)都意味著(zhu)制造(zao)商(shang)需要承擔更多的(de)(de)責任和義(yi)務。他(ta)們需要確保(bao)所(suo)生產(chan)的(de)(de)物(wu)聯網產(chan)品具備足夠(gou)的(de)(de)安全性，包括防止未經授(shou)權的(de)(de)訪(fang)問、保(bao)護(hu)數據(ju)的(de)(de)完(wan)整性和有(you)效性等方面。同時，他(ta)們還需要建(jian)立(li)相應的(de)(de)流程和文(wen)件，以證明(ming)其產(chan)品符合(he)法(fa)案的(de)(de)要求。
從各個國家的法律來看，違反方案會遭遇嚴厲的處罰，除了巨額的賠償金外，企業的聲譽損失可能更加難以挽回——這將對那些忽視網絡安全問題、企圖通過降低成本來獲取市場競爭力的制造商形成有力的震懾。
對(dui)中國這樣的物聯網產(chan)(chan)(chan)品(pin)(pin)(pin)生產(chan)(chan)(chan)和出口大(da)國而(er)(er)言，相關(guan)制(zhi)造(zao)(zao)商需要積極應對(dui)。一(yi)方面(mian)，制(zhi)造(zao)(zao)商要確(que)保(bao)設計(ji)的產(chan)(chan)(chan)品(pin)(pin)(pin)符合標(biao)準(zhun)要求(qiu)后再投(tou)入(ru)生產(chan)(chan)(chan)從而(er)(er)進(jin)入(ru)市場，相關(guan)廠家應該在產(chan)(chan)(chan)品(pin)(pin)(pin)開(kai)發過程(cheng)中盡早了解相關(guan)法(fa)律(lv)法(fa)規，以便更好地規劃產(chan)(chan)(chan)品(pin)(pin)(pin)設計(ji)、生產(chan)(chan)(chan)和出海(hai)，確(que)保(bao)產(chan)(chan)(chan)品(pin)(pin)(pin)符合安全(quan)(quan)標(biao)準(zhun)。另一(yi)方面(mian)，制(zhi)造(zao)(zao)商也要持續加大(da)技術(shu)研發和創新(xin)投(tou)入(ru)，提升(sheng)產(chan)(chan)(chan)品(pin)(pin)(pin)的安全(quan)(quan)水平，形(xing)成差異化競爭優勢(shi)，從而(er)(er)在全(quan)(quan)球(qiu)市場中爭得(de)更多的份額(e)。
