2024年(nian)美國大選終于在(zai)上周落(luo)下帷幕，美國共和(he)黨總(zong)統候選人特朗普(pu)在(zai)2024年(nian)總(zong)統選舉中獲勝，4年(nian)后將再(zai)次重(zhong)返(fan)白宮。在(zai)上一個任期中，特朗普(pu)針(zhen)對科(ke)技行業(ye)(ye)推動了諸多(duo)政策的(de)制定和(he)出臺(tai)，對全球科(ke)技行業(ye)(ye)產(chan)生重(zhong)大影響，業(ye)(ye)界(jie)也在(zai)深入分析和(he)預(yu)測其重(zhong)新當選總(zong)統后各領(ling)域的(de)走勢。
物聯網作為科技行業的一部分，在過去幾年中也受到了一定程度的影響，形成新的走勢。在第一個任期的末期，即2020年12月4日，特朗普正式簽署了《物聯網網絡安全改進法案》，促成美國首個全國性的物聯網安全法出臺和實施。今天，我們不(bu)妨回(hui)顧一下特朗普曾經簽署的這(zhe)一物聯網安全法(fa)案(an)，在下一個任期中，美國針對物聯網的相關政策(ce)的延續，這(zhe)一法(fa)案(an)是一個研(yan)究的基礎(chu)。
美國首部物聯網安全法案立法歷程
早在(zai)2016年(nian)前后，多個震驚全(quan)球的網絡(luo)安全(quan)事(shi)件的發生，包括僵(jiang)尸網絡(luo)攻擊(ji)導(dao)致(zhi)熱(re)門網站(zhan)和平臺癱瘓，引發了人們(men)對物(wu)聯網網絡(luo)安全(quan)需(xu)求的高度關(guan)注，美國立(li)(li)法(fa)(fa)者也(ye)意識到，隨著(zhu)物(wu)聯網設備連接(jie)數快(kuai)速增長(chang)，安全(quan)性的保證必(bi)不可少，必(bi)須(xu)出臺專門針對物(wu)聯網領域的安全(quan)立(li)(li)法(fa)(fa)。
2017年，在(zai)大(da)西洋理(li)事會和哈佛大(da)學的(de)幫助下，美國(guo)弗吉尼亞州民主黨(dang)參議員和科(ke)羅拉多(duo)州共和黨(dang)參議員提(ti)出一個法(fa)案(an)(an)，即《物聯(lian)網網絡安(an)全改(gai)進法(fa)案(an)(an)》，該法(fa)案(an)(an)試圖建立(li)一個框架，要求聯(lian)邦(bang)政府的(de)設(she)備(bei)供應商遵循行業(ye)范圍(wei)內的(de)安(an)全實(shi)踐，例如確保可穿戴(dai)設(she)備(bei)、智能傳感器等設(she)備(bei)能修(xiu)復(fu)漏(lou)洞(dong)、更新密碼、推向(xiang)市場時(shi)不存在(zai)已知安(an)全漏(lou)洞(dong)。該法(fa)案(an)(an)目的(de)是期望阻止美國(guo)聯(lian)邦(bang)政府購買存在(zai)少數幾種(zhong)明顯安(an)全漏(lou)洞(dong)的(de)聯(lian)網設(she)備(bei)，但該法(fa)案(an)(an)最(zui)終因(yin)多(duo)方面原因(yin)并未通過。
2019年3月，美(mei)國(guo)立法(fa)(fa)者(zhe)向國(guo)會重新提(ti)出(chu)(chu)了(le)該法(fa)(fa)案，法(fa)(fa)案編號為(wei)HR 1668。該法(fa)(fa)案提(ti)出(chu)(chu)，其(qi)目(mu)的(de)是通過為(wei)美(mei)國(guo)政(zheng)府機構購買的(de)所(suo)有物(wu)聯(lian)網(wang)設(she)備(bei)設(she)定最低安全標準的(de)方式，來(lai)解(jie)決(jue)其(qi)相關(guan)網(wang)絡安全風險。此法(fa)(fa)案被(bei)重新提(ti)出(chu)(chu)后(hou)，得到了(le)民(min)主黨和(he)共(gong)和(he)黨多為(wei)議員的(de)支持，形成了(le)《物(wu)聯(lian)網(wang)網(wang)絡安全改(gai)進(jin)法(fa)(fa)》的(de)原始版本。
2020年(nian)(nian)9月(yue)14日(ri)，美國眾議(yi)院(yuan)通(tong)過了(le)《物(wu)聯網網絡安全改(gai)進法案(an)(an)》，并提(ti)交(jiao)參(can)議(yi)院(yuan)審議(yi)。2020年(nian)(nian)11月(yue)17日(ri)，參(can)議(yi)院(yuan)未經修(xiu)改(gai)通(tong)過了(le)該法案(an)(an)，并將該法案(an)(an)呈交(jiao)給(gei)白宮，供總(zong)統簽署(shu)。2020年(nian)(nian)12月(yue)4日(ri)，時(shi)任總(zong)統特朗普正式簽署(shu)《物(wu)聯網網絡安全改(gai)進法》，使(shi)其(qi)成為法律。
對(dui)于物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)的(de)(de)全(quan)(quan)國(guo)(guo)(guo)性立法(fa)(fa)，在美(mei)(mei)國(guo)(guo)(guo)具有一定的(de)(de)基礎。在此之前，美(mei)(mei)國(guo)(guo)(guo)多個州政府也針對(dui)物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)推動相關州法(fa)(fa)案的(de)(de)立法(fa)(fa)，最為(wei)典型的(de)(de)是(shi)加(jia)利福尼亞州。2018年(nian)9月，加(jia)州批準通過(guo)了(le)《物(wu)(wu)聯(lian)(lian)網(wang)(wang)設備網(wang)(wang)絡(luo)安(an)全(quan)(quan)法(fa)(fa)》，雖然只(zhi)是(shi)加(jia)州的(de)(de)法(fa)(fa)律，但(dan)已是(shi)美(mei)(mei)國(guo)(guo)(guo)推出的(de)(de)首部物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)專門(men)的(de)(de)立法(fa)(fa)，具有劃時代意義，標志著(zhu)對(dui)物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)監管取得實質性進(jin)展。此后，俄(e)勒(le)岡州也發布了(le)類似的(de)(de)州立法(fa)(fa)，并于2020年(nian)1月開始實施。而《物(wu)(wu)聯(lian)(lian)網(wang)(wang)網(wang)(wang)絡(luo)安(an)全(quan)(quan)改進(jin)法(fa)(fa)案》則是(shi)美(mei)(mei)國(guo)(guo)(guo)歷史(shi)上(shang)首個全(quan)(quan)國(guo)(guo)(guo)性物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)法(fa)(fa)案，其里程碑(bei)意義更(geng)加(jia)明(ming)顯。
《物聯網網絡安全改進法案》的主要內容
法案(an)規(gui)定，物聯網設(she)備至(zhi)少(shao)有一(yi)個(ge)傳(chuan)感器或執行器，用(yong)于與物理(li)世(shi)界直(zhi)接交互(hu)，且至(zhi)少(shao)有一(yi)個(ge)網絡(luo)接口(kou)，能(neng)夠獨立(li)運行，而不是僅作為更大(da)系統的(de)一(yi)部分。法案(an)也進一(yi)步(bu)限定了物聯網設(she)備的(de)范(fan)圍(wei)，智能(neng)手機、筆記(ji)本電腦和(he)其他(ta)電子設(she)備不在(zai)該法規(gui)范(fan)圍(wei)內(nei)。
法(fa)案要求(qiu)美國國家標準技(ji)術研(yan)究(jiu)院（NIST）發(fa)布聯邦政(zheng)府使用物(wu)聯網(wang)(wang)設備(bei)的標準和(he)指南，并指示白宮(gong)管理和(he)預(yu)算辦公室（OMB）審查政(zheng)府政(zheng)策，以確保它們符(fu)合NIST指南，聯邦機(ji)構將不得購買不符(fu)合安全要求(qiu)的物(wu)聯網(wang)(wang)設備(bei)。
同(tong)時，法案規定(ding)了保護聯邦機構免受(shou)網(wang)絡攻擊的(de)責(ze)任等(deng)級，執行部門、管(guan)理和預(yu)算辦(ban)公室、國(guo)(guo)土安全部部長(chang)以及各個此類機構的(de)負(fu)責(ze)人共同(tong)負(fu)責(ze)監督美國(guo)(guo)國(guo)(guo)家標準(zhun)(zhun)技術研究(jiu)院(yuan)（NIST）制定(ding)的(de)物(wu)聯網(wang)安全標準(zhun)(zhun)。
該法案(an)適用(yong)(yong)于由連接到聯邦信息系統的(de)機(ji)構(gou)擁有或(huo)控制的(de)物聯網(wang)設(she)備(bei)，NIST將其定義為“由行政機(ji)構(gou)、行政機(ji)構(gou)的(de)承(cheng)包商(shang)或(huo)代(dai)表行政機(ji)構(gou)的(de)其他(ta)組織使用(yong)(yong)或(huo)運營的(de)信息系統。” 美國聯邦機(ji)構(gou)和供應商(shang)僅使用(yong)(yong)符(fu)合規定標(biao)準(zhun)的(de)設(she)備(bei)，并將影響設(she)備(bei)的(de)已知漏(lou)洞通知機(ji)構(gou)等(deng)。
在這(zhe)一法案(an)實(shi)施(shi)過(guo)程中，NIST發(fa)揮了(le)重(zhong)要作用(yong)。NIST為了(le)推動法案(an)實(shi)施(shi)，于2021年12月發(fa)布了(le)“聯(lian)邦機構物聯(lian)網網絡安全指南的最終版本- NIST SP 800-213系(xi)列”，其中包括：
一是《聯(lian)邦政府物(wu)聯(lian)網設備網絡安全指南：建立物(wu)聯(lian)網設備網絡安全要求》，根據(ju)利益相關方的(de)反饋進行了修訂(ding)，以使(shi)聯(lian)邦機構可能感興趣的(de)物(wu)聯(lian)網設備的(de)功能范圍(wei)更(geng)加(jia)清(qing)晰、更(geng)加(jia)可用、更(geng)加(jia)兼(jian)容。
二是(shi)對《物聯網(wang)設備網(wang)絡安全要(yao)求目錄》進(jin)行了修訂，使其(qi)在(zai)表述上更加一致，在(zai)技(ji)術(shu)和非技(ji)術(shu)方面更加平衡，并且更易于參考，該目錄也包括了物聯網(wang)網(wang)絡安全配(pei)置文件。
這項立法的(de)(de)目的(de)(de)是(shi)讓NIST為聯(lian)邦(bang)政(zheng)府(fu)采(cai)購的(de)(de)物(wu)聯(lian)網(wang)設(she)備設(she)定最低(di)標準(zhun)，以便有可能利用聯(lian)邦(bang)政(zheng)府(fu)的(de)(de)采(cai)購權來(lai)保護物(wu)聯(lian)網(wang)設(she)備，禁止聯(lian)邦(bang)機構在2022年12月4日之后(hou)采(cai)購或使用被(bei)認為不符合NIST標準(zhun)的(de)(de)物(wu)聯(lian)網(wang)設(she)備。
實際(ji)上，美(mei)國政府(fu)多(duo)(duo)年來(lai)(lai)一(yi)直依(yi)賴(lai)物(wu)(wu)聯(lian)網(wang)(wang)設備來(lai)(lai)改善其設施和(he)降(jiang)低成(cheng)(cheng)本，因此在(zai)遭受越(yue)來(lai)(lai)越(yue)多(duo)(duo)的(de)攻擊后(hou)，通(tong)過立法來(lai)(lai)保護(hu)其購買和(he)連接的(de)物(wu)(wu)聯(lian)網(wang)(wang)設備就不足(zu)為(wei)奇(qi)。例如，在(zai)智能建(jian)筑領域，已有(you)80多(duo)(duo)座高能耗政府(fu)建(jian)筑安裝(zhuang)了低成(cheng)(cheng)本的(de)聯(lian)網(wang)(wang)傳(chuan)感器；政府(fu)服務管理(li)局(ju)使(shi)用(yong)遠程信息技術來(lai)(lai)跟蹤、定位和(he)監(jian)控20多(duo)(duo)萬輛汽車的(de)排放，以確(que)保遵守(shou)政府(fu)到2025年將溫室氣體排放量減(jian)少30%的(de)要求；國防部(bu)(bu)等其他(ta)聯(lian)邦機構使(shi)用(yong)聯(lian)網(wang)(wang)設備上的(de)RFID標簽和(he)傳(chuan)感器來(lai)(lai)跟蹤和(he)管理(li)軍用(yong)物(wu)(wu)資(zi)，如服裝(zhuang)、建(jian)筑材(cai)料和(he)醫療(liao)用(yong)品(pin)，這些設備使(shi)國防后(hou)勤局(ju)和(he)美(mei)國運(yun)輸(shu)司令部(bu)(bu)能夠監(jian)控國防部(bu)(bu)后(hou)勤系統(tong)和(he)商(shang)業運(yun)輸(shu)公司每(mei)月(yue)數十億次的(de)交易(yi)。
美國政府也考慮到，目前的(de)物(wu)聯網系(xi)(xi)統正在與其(qi)他系(xi)(xi)統集(ji)成(cheng)(cheng)，成(cheng)(cheng)為(wei)(wei)“系(xi)(xi)統中的(de)系(xi)(xi)統”。通過這種整合，網絡安全發展(zhan)成(cheng)(cheng)為(wei)(wei)一個更廣泛的(de)信任概(gai)念，不僅(jin)包(bao)括(kuo)數據、連接和(he)設備(bei)的(de)完整性(xing)(xing)，還(huan)包(bao)括(kuo)結果的(de)可靠(kao)性(xing)(xing)。
法案的后續影響
《物(wu)(wu)(wu)(wu)聯(lian)(lian)(lian)網(wang)(wang)網(wang)(wang)絡安全改進法案(an)》立法只是(shi)對聯(lian)(lian)(lian)邦政府使用的物(wu)(wu)(wu)(wu)聯(lian)(lian)(lian)網(wang)(wang)設備的最(zui)低標準，還沒形成有面向全國范(fan)圍(wei)的物(wu)(wu)(wu)(wu)聯(lian)(lian)(lian)網(wang)(wang)網(wang)(wang)絡安全監管框架和標準，但開啟(qi)了政府對于(yu)物(wu)(wu)(wu)(wu)聯(lian)(lian)(lian)網(wang)(wang)安全專門關(guan)注和重視之門，對于(yu)后(hou)續全球(qiu)物(wu)(wu)(wu)(wu)聯(lian)(lian)(lian)網(wang)(wang)安全的走勢影響(xiang)深遠(yuan)。
2021年，美(mei)國總統拜登簽發(fa)了(le)(le)《關于(yu)改(gai)善國家網(wang)絡安(an)全(quan)行(xing)政令(ling)》，是(shi)美(mei)國在(zai)網(wang)絡安(an)全(quan)方面最詳細(xi)的行(xing)政命令(ling)之一，概述(shu)了(le)(le)美(mei)國聯(lian)邦政府機(ji)(ji)構(gou)為提高其機(ji)(ji)構(gou)網(wang)絡安(an)全(quan)能力而需(xu)要采取(qu)的55項行(xing)動。在(zai)該(gai)行(xing)政令(ling)中，特(te)意(yi)強調了(le)(le)改(gai)善物聯(lian)網(wang)安(an)全(quan)的必要性，成(cheng)為《物聯(lian)網(wang)網(wang)絡安(an)全(quan)改(gai)進(jin)法(fa)案》的進(jin)階行(xing)動，對于(yu)物聯(lian)網(wang)安(an)全(quan)主要包括：
（1）物聯(lian)網(wang)設定安全標準：該行政(zheng)令授權對(dui)于(yu)聯(lian)邦政(zheng)府擁有和運營的物聯(lian)網(wang)設備設立(li)最低安全標準，確保這些(xie)設備免受(shou)網(wang)絡(luo)威(wei)脅。
（2）啟動面向(xiang)消費者的(de)網(wang)絡安全標簽(qian)計劃：行政令中包括(kuo)為(wei)物聯網(wang)設備(bei)開發一個標簽(qian)計劃，以告知消費者這些產品的(de)安全功能(neng)，類(lei)似于(yu)電器上的(de)能(neng)效標簽(qian)。
（3）機構(gou)責任：要求各機構(gou)加(jia)強網(wang)絡安全，包括物聯網(wang)設備在其軟件供應鏈中的安全性，使其成為聯邦采購和(he)運營的優(you)先(xian)事項。
（4）零信任(ren)架構：鼓(gu)勵各機構采(cai)用零信任(ren)原則，特別是與政府網絡(luo)內(nei)物(wu)聯網設備的(de)安全部(bu)署和管理相關的(de)原則。
可以看出，《關于改善國家網絡安全行政令》不僅限于針對聯邦政府的物聯網應用安(an)(an)全(quan)性要(yao)求(qiu)，也正(zheng)式啟動了針對(dui)消費(fei)者使用(yong)物(wu)(wu)聯網(wang)(wang)設備(bei)安(an)(an)全(quan)的(de)工作。近年來，包括美國、歐洲、新加坡、德國等發達(da)經濟體針對(dui)消費(fei)物(wu)(wu)聯網(wang)(wang)開(kai)啟的(de)網(wang)(wang)絡安(an)(an)全(quan)標簽(qian)計劃，正(zheng)是(shi)落實(shi)對(dui)消費(fei)者使用(yong)物(wu)(wu)聯網(wang)(wang)設備(bei)安(an)(an)全(quan)的(de)工作。
對(dui)于美國來(lai)說，消費物(wu)聯網(wang)(wang)安全(quan)標簽計劃(hua)已(yi)經搭建起(qi)了(le)完(wan)整的實(shi)施架構(gou)，落地時(shi)間越來(lai)越近(jin)，同時(shi)也和(he)歐洲、新加坡等地開(kai)展標簽互認工作(zuo)，意欲將這一計劃(hua)上升為(wei)全(quan)球事實(shi)標準。另(ling)外，近(jin)期美國商(shang)務部(bu)物(wu)聯網(wang)(wang)咨詢委員會呼吁政府機(ji)構(gou)和(he)國會要求汽(qi)車(che)(che)經銷商(shang)在車(che)(che)輛擋風玻(bo)璃上顯著展示(shi)汽(qi)車(che)(che)隱私披露信息，作(zuo)為(wei)針對(dui)有關物(wu)聯網(wang)(wang)設備的廣泛建議(yi)的一部(bu)分，對(dui)于汽(qi)車(che)(che)領域也即將開(kai)啟物(wu)聯網(wang)(wang)安全(quan)標簽計劃(hua)。
特朗普(pu)上(shang)一任(ren)期最后一個月簽署了(le)《物(wu)聯(lian)網網絡(luo)安全(quan)改進(jin)法案》，在此后的(de)(de)(de)(de)(de)4年(nian)中，物(wu)聯(lian)網安全(quan)相關(guan)政(zheng)策從聯(lian)邦政(zheng)府采購(gou)的(de)(de)(de)(de)(de)設(she)備(bei)已擴展到了(le)消費物(wu)聯(lian)網、車聯(lian)網等(deng)領域，或許(xu)未來特朗普(pu)的(de)(de)(de)(de)(de)第二任(ren)總統任(ren)期中，物(wu)聯(lian)網安全(quan)政(zheng)策覆蓋(gai)范(fan)圍會(hui)(hui)進(jin)一步(bu)擴展，涵蓋(gai)經濟(ji)社會(hui)(hui)所有需要(yao)用到物(wu)聯(lian)網設(she)備(bei)的(de)(de)(de)(de)(de)領域。屆時(shi)，全(quan)球(qiu)物(wu)聯(lian)網產業會(hui)(hui)面臨新的(de)(de)(de)(de)(de)挑戰和變革要(yao)求，產品的(de)(de)(de)(de)(de)網絡(luo)安全(quan)、數據(ju)安全(quan)的(de)(de)(de)(de)(de)設(she)置(zhi)成(cheng)為進(jin)入全(quan)球(qiu)市場的(de)(de)(de)(de)(de)必選項(xiang)。
