當地時間12月4日，美國聯邦通訊委員會（FCC）宣布選定知名的測試、檢驗和認證服務商UL Solutions公司作為物聯網安(an)(an)全(quan)(quan)(quan)標(biao)(biao)簽(qian)計(ji)(ji)劃(hua)(hua)（Cybersecurity Labeling for Internet of Things）的(de)(de)(de)(de)首(shou)席管(guan)理員，來確定(ding)該標(biao)(biao)簽(qian)計(ji)(ji)劃(hua)(hua)的(de)(de)(de)(de)測試程序，并作為FCC和第三方(fang)(fang)(fang)安(an)(an)全(quan)(quan)(quan)標(biao)(biao)簽(qian)管(guan)理機構(gou)(gou)（CLA）的(de)(de)(de)(de)聯(lian)絡員。今(jin)年(nian)3月，FCC作為牽頭(tou)部門(men)，通過公開會投票方(fang)(fang)(fang)式正式通過了物聯(lian)網(wang)安(an)(an)全(quan)(quan)(quan)標(biao)(biao)簽(qian)計(ji)(ji)劃(hua)(hua)，在(zai)該計(ji)(ji)劃(hua)(hua)下，符合相關條件(jian)的(de)(de)(de)(de)消費物聯(lian)網(wang)產(chan)品(pin)將被賦予網(wang)絡安(an)(an)全(quan)(quan)(quan)標(biao)(biao)識標(biao)(biao)簽(qian)（Cyber Trust Mark），方(fang)(fang)(fang)便(bian)消費者根據產(chan)品(pin)安(an)(an)全(quan)(quan)(quan)信息做出購(gou)買(mai)決策，同時(shi)安(an)(an)全(quan)(quan)(quan)可信產(chan)品(pin)在(zai)市場上具有差異化優勢，激(ji)勵物聯(lian)網(wang)產(chan)品(pin)制(zhi)造商推出符合更(geng)高安(an)(an)全(quan)(quan)(quan)標(biao)(biao)準(zhun)的(de)(de)(de)(de)產(chan)品(pin)。今(jin)年(nian)9月，FCC開始接受第三方(fang)(fang)(fang)安(an)(an)全(quan)(quan)(quan)標(biao)(biao)簽(qian)管(guan)理機構(gou)(gou)的(de)(de)(de)(de)申請，到目前(qian)確定(ding)UL Solutions作為首(shou)席管(guan)理員，這一計(ji)(ji)劃(hua)(hua)的(de)(de)(de)(de)實(shi)施進入了快車道。
關(guan)于美(mei)國(guo)物聯(lian)網安全標(biao)簽計劃，筆者曾在(zai)此前多篇文章中(zhong)進行系統的介紹，本文就圍繞該計劃的管理(li)和檢測認證體系，探索在(zai)實施后(hou)該計劃是如(ru)何(he)運(yun)轉(zhuan)的。
物聯網安全標簽計劃的定位：自愿性項目
在FCC公布的美(mei)國物聯網安(an)全標簽(qian)計劃(hua)框架中，著(zhu)重強調了該計劃(hua)是一個(ge)自(zi)愿性項目，企業可以(yi)根據自(zi)身(shen)需求自(zi)愿參(can)與，FCC也(ye)認為自(zi)愿參(can)與將使(shi)該標簽(qian)計劃(hua)比強制要求參(can)與更(geng)容(rong)易實現，隨著(zhu)該計劃(hua)的推進(jin)，物聯網安(an)全標簽(qian)有助(zhu)于區分市場上符合最低要求的產(chan)品，并為消費者提供選擇。
可以看(kan)出，FCC在建立這一(yi)(yi)計(ji)劃框架時(shi)，考(kao)慮到推動(dong)強制性(xing)參(can)(can)與會帶來一(yi)(yi)刀切(qie)的(de)(de)風險，因此參(can)(can)考(kao)了類(lei)似于“能源之(zhi)星”的(de)(de)方案，先通過自愿(yuan)參(can)(can)與的(de)(de)形(xing)(xing)式，形(xing)(xing)成一(yi)(yi)定(ding)規模和消費(fei)者(zhe)(zhe)的(de)(de)認可，讓消費(fei)者(zhe)(zhe)自發(fa)決策(ce)是(shi)否選擇(ze)帶有安全標(biao)識(shi)的(de)(de)產品，實現消費(fei)者(zhe)(zhe)“用腳投票(piao)”，最終(zhong)可能達(da)到一(yi)(yi)個事實標(biao)準的(de)(de)結(jie)果。
物聯網安全標簽計劃管理機制：公私部門充分合作
FCC在計劃制定中充分認識到(dao)，自(zi)愿(yuan)性物聯網(wang)安全標簽計劃要想取得成功(gong)，就必須包括聯邦(bang)政府(fu)、行業和其他(ta)利益(yi)相關(guan)者之間的(de)密切伙伴關(guan)系和合作，因此FCC引進(jin)了(le)多個第三(san)方私營機構(gou)組(zu)成管(guan)理架構(gou)。
早在去年7月，白宮已授權FCC作為物聯網安全標(biao)簽(qian)計劃(hua)的牽(qian)頭負(fu)責機(ji)(ji)構，負(fu)責該(gai)計劃(hua)的整體監督(du)和管(guan)(guan)理(li)。FCC委托(tuo)旗下的公共安全和國(guo)土安全局（PSHSB）推進監管(guan)(guan)，該(gai)機(ji)(ji)構接受第三方安全標(biao)簽(qian)管(guan)(guan)理(li)機(ji)(ji)構（CLA）的申請，選擇(ze)多個(ge)CLA推進日常管(guan)(guan)理(li)工(gong)作，并從中(zhong)確定一個(ge)首(shou)席管(guan)(guan)理(li)員，組(zu)成了(le)美國(guo)物聯網安全標(biao)簽(qian)管(guan)(guan)理(li)架構。
其中，安(an)全(quan)標簽(qian)(qian)管(guan)理(li)機構(gou)(gou)（CLA）多數為私(si)營(ying)機構(gou)(gou)，將對企業物聯網(wang)產品(pin)安(an)全(quan)標簽(qian)(qian)申請進(jin)行(xing)評估，確保(bao)廠(chang)商產品(pin)能夠訪問(wen)必需的(de)安(an)全(quan)信息，并執行(xing)標簽(qian)(qian)上市后的(de)持續監督(du)工(gong)作(zuo)，可以說CLA主要承擔著標簽(qian)(qian)計劃認(ren)證的(de)具體工(gong)作(zuo)，因此其角(jiao)色非常關鍵。
而首席(xi)管理(li)員除了(le)要(yao)承擔(dan)CLA的(de)角(jiao)色外，還充當各(ge)個CLA之間聯絡和協調員角(jiao)色。其職責包括(kuo)：
代表CLA與FCC進(jin)行溝通，包括但不(bu)限于向(xiang)FCC提交那(nei)些不(bu)符(fu)合(he)標簽授予標準(zhun)但獲得(de)標簽產品(pin)的投訴；
酌情開展利益相關(guan)方(fang)外聯(lian)活動；
接受、審查、批準(zhun)或(huo)拒絕實驗(yan)室(shi)(shi)的申(shen)請(qing)，這些實驗(yan)室(shi)(shi)有權進(jin)行必要的符(fu)合性(xing)測試，以(yi)支持貼上FCC物(wu)聯(lian)網標簽的申(shen)請(qing)，并管理認可和被拒絕認可的實驗(yan)室(shi)(shi)名單；
在(zai)公布(bu)首(shou)席(xi)管(guan)理員的公告期90天內，首(shou)席(xi)管(guan)理員應(ying)酌情與CLA和其他利(li)益相(xiang)關者(zhe)（如來(lai)自產(chan)業(ye)、政(zheng)府(fu)和學術界(jie)的專家）進行(xing)合作(zuo)，包括(kuo)向(xiang)管(guan)理當局提供(gong)認證(zheng)標(biao)(biao)準和程序(xu)的建(jian)(jian)議(yi)、不同類別(bie)物(wu)聯網產(chan)品標(biao)(biao)簽授權(quan)頻率、CLA對(dui)標(biao)(biao)簽上市后監督的建(jian)(jian)議(yi)、物(wu)聯網安(an)全標(biao)(biao)簽設計(ji)的建(jian)(jian)議(yi)等
物聯網安全標簽2階段認證流程
在(zai)FCC的方案中建立起(qi)了2階段的物聯網安(an)全標簽認(ren)證流程(cheng)，第(di)(di)一步由(you)授權實驗(yan)室進行產(chan)品(pin)安(an)全符合性(xing)測(ce)試，第(di)(di)二步由(you)CLA進行產(chan)品(pin)安(an)全標簽認(ren)證。
在第一步(bu)產品安全符合性測(ce)試(shi)中，FCC要(yao)求測(ce)試(shi)實驗室必須(xu)按照特(te)定標準和程序進行測(ce)試(shi)，FCC不認(ren)可供應商自身做出符合性聲明的(de)形式，所有產品必須(xu)在授(shou)權(quan)的(de)第三方實驗室測(ce)試(shi)。
在第二步認證中(zhong)，使用安(an)全標簽的(de)(de)制(zhi)造商(shang)需(xu)要向CLA提(ti)交(jiao)認證申請(qing)，其中(zhong)包括一份詳細的(de)(de)、由授(shou)權實驗室進行(xing)(xing)的(de)(de)符合性(xing)測試(shi)的(de)(de)報告。CLA可(ke)以(yi)(yi)收取合理的(de)(de)費(fei)用，以(yi)(yi)支付審(shen)核申請(qing)的(de)(de)成(cheng)本以(yi)(yi)及CLA需(xu)執行(xing)(xing)的(de)(de)其他任務(wu)的(de)(de)成(cheng)本。
CLA將詳(xiang)細審查(cha)申請(qing)(qing)(qing)和支持文件以確保其完整(zheng)和合規，并出具批準(zhun)或拒(ju)絕(jue)申請(qing)(qing)(qing)的(de)結論。若拒(ju)絕(jue)申請(qing)(qing)(qing)需說明被拒(ju)的(de)原因(yin)，申請(qing)(qing)(qing)人將有(you)(you)機會糾正CLA確定的(de)缺陷并重新提交申請(qing)(qing)(qing)。針(zhen)對有(you)(you)爭議的(de)決議，有(you)(you)專(zhuan)門的(de)復(fu)審流(liu)程。
公(gong)(gong)共(gong)安全(quan)和(he)國土安全(quan)局會發布(bu)公(gong)(gong)告，提供有關如何申(shen)請和(he)使用物聯(lian)網安全(quan)標簽的更(geng)多詳細信(xin)(xin)息(xi)(xi)，包(bao)括(kuo)但不限于申(shen)請的信(xin)(xin)息(xi)(xi)元(yuan)素(su)、備案(an)要求(qiu)和(he)標簽使用信(xin)(xin)息(xi)(xi)，如標簽的描述或照片以及如何以及粘(zhan)貼(tie)到產品什(shen)么位置，也包(bao)括(kuo)如何請求(qiu)對提交的信(xin)(xin)息(xi)(xi)進行保密處理等。
授(shou)(shou)權(quan)實(shi)(shi)(shi)(shi)驗室(shi)是認(ren)證過程中的(de)關鍵(jian)機構(gou)，它們負(fu)責進行物(wu)聯網產品(pin)安全(quan)(quan)(quan)符(fu)合(he)性測試并生成報告(gao)。FCC接受各種類型的(de)實(shi)(shi)(shi)(shi)驗室(shi)作為物(wu)聯網安全(quan)(quan)(quan)標(biao)簽測試實(shi)(shi)(shi)(shi)驗室(shi)，包括已有的(de)網絡安全(quan)(quan)(quan)測試實(shi)(shi)(shi)(shi)驗室(shi)、CLA運營(ying)的(de)實(shi)(shi)(shi)(shi)驗室(shi)等，FCC也認(ren)可(ke)(ke)(ke)已獲得ISO/IEC 17025標(biao)準(zhun)認(ren)證的(de)測試實(shi)(shi)(shi)(shi)驗室(shi)可(ke)(ke)(ke)進行符(fu)合(he)性測試。公共安全(quan)(quan)(quan)和(he)國土(tu)安全(quan)(quan)(quan)局會(hui)發布授(shou)(shou)權(quan)實(shi)(shi)(shi)(shi)驗室(shi)的(de)要求和(he)標(biao)準(zhun)，授(shou)(shou)權(quan)實(shi)(shi)(shi)(shi)驗室(shi)可(ke)(ke)(ke)以設在美國境外(wai)，但可(ke)(ke)(ke)能(neng)會(hui)有一些額外(wai)的(de)標(biao)準(zhun)和(he)程序(xu)。首(shou)席(xi)管理(li)員將對所有經過認(ren)證和(he)認(ren)可(ke)(ke)(ke)的(de)授(shou)(shou)權(quan)實(shi)(shi)(shi)(shi)驗室(shi)進行定期審計(ji)和(he)審查(cha)。
標簽計劃遵循NIST標準
FCC采(cai)用NIST推(tui)薦的(de)(de)物(wu)聯網(wang)(wang)標(biao)(biao)(biao)準(zhun)作為物(wu)聯網(wang)(wang)安全標(biao)(biao)(biao)簽計劃的(de)(de)基礎，即NIST IR 8425標(biao)(biao)(biao)準(zhun)《消費物(wu)聯網(wang)(wang)產(chan)品核心基線文件》，該(gai)標(biao)(biao)(biao)準(zhun)包括(kuo)以(yi)下(xia)產(chan)品能(neng)力：資產(chan)識別(bie)、產(chan)品配置、數據保(bao)護、接口訪問控(kong)制、軟件更新、網(wang)(wang)絡安全國家意識。
FCC將與利益相(xiang)(xiang)關(guan)(guan)者合作(zuo)，確定涵蓋核心基(ji)線或提供(gong)同等(deng)要(yao)求的公認標(biao)準(zhun)。FCC將指(zhi)導首席管理(li)員根據NISTIR 8425中(zhong)(zhong)包含的消費物聯網(wang)產品核心基(ji)線進(jin)(jin)行具體標(biao)準(zhun)的制定，NIST標(biao)準(zhun)是通用(yong)指(zhi)南，但其必須(xu)進(jin)(jin)一步發展為產品規范和相(xiang)(xiang)應(ying)的測試(shi)(shi)程序，確保(bao)能夠(gou)進(jin)(jin)行一致性測試(shi)(shi)。首席管理(li)員可以確定市場上已經存(cun)在的現(xian)有標(biao)準(zhun)或方(fang)案(an)，這些標(biao)準(zhun)或方(fang)案(an)可以隨時調(diao)整(zheng)應(ying)用(yong)于標(biao)簽計(ji)劃中(zhong)(zhong)。例(li)如(ru)，方(fang)案(an)中(zhong)(zhong)提到，征求意見(jian)階段多(duo)個組織(zhi)提出歐洲(zhou)和新加坡的物聯網(wang)安全標(biao)簽計(ji)劃遵循歐洲(zhou)通信(xin)標(biao)準(zhun)化協會（ETSI）出臺的EN 303 645標(biao)準(zhun)，未來，不排除ETIS相(xiang)(xiang)關(guan)(guan)標(biao)準(zhun)與NIST融合為美歐通用(yong)標(biao)準(zhun)。
首席管理員已積累了長期經驗
UL Solutions作為(wei)一家第三方認(ren)(ren)證(zheng)(zheng)(zheng)公司，對多種技術解決(jue)(jue)方案進行認(ren)(ren)證(zheng)(zheng)(zheng)，物(wu)聯網(wang)安(an)(an)(an)全(quan)認(ren)(ren)證(zheng)(zheng)(zheng)也是其中一項(xiang)重要的業務。UL Solutions此(ci)次被(bei)選為(wei)物(wu)聯網(wang)安(an)(an)(an)全(quan)標簽計(ji)劃的首席管理員，背后有其對于(yu)物(wu)聯網(wang)測(ce)試認(ren)(ren)證(zheng)(zheng)(zheng)長期的積累。例(li)如，早在2020年，UL Solutions就推出了專為(wei)物(wu)聯網(wang)產(chan)品(pin)設計(ji)的安(an)(an)(an)全(quan)驗證(zheng)(zheng)(zheng)和標簽解決(jue)(jue)方案——物(wu)聯網(wang)安(an)(an)(an)全(quan)評級(ji)服務，按照青銅(tong)、白銀、黃金(jin)(jin)、鉑金(jin)(jin)和鉆石五(wu)個等級(ji)進行產(chan)品(pin)分類，經過驗證(zheng)(zheng)(zheng)的產(chan)品(pin)將獲得相應的UL物(wu)聯網(wang)安(an)(an)(an)全(quan)評級(ji)驗證(zheng)(zheng)(zheng)標簽（指(zhi)明產(chan)品(pin)達到的安(an)(an)(an)全(quan)級(ji)別(bie)），并由(you)UL進行持(chi)續(xu)評估。
UL Solutions進入中國四十多年，在國內廣泛開展業務，目前在國內設有12個分支機構以及8個大型實驗室，以及眾多獲得UL認可的第三方合作實驗室和客戶實驗室。2016年在東莞松山湖建立的物聯網實驗室就是國內8個大型實驗室之一，其中最重要的一個任務就是對企業生產的智能產品進行多個方面的測試，包括互通性、兼容性、可用性、數據安全性、網絡安全性、快速充電、電磁兼容性等，已覆蓋智能家居、車載信息(xi)娛樂設(she)備、可穿戴(dai)設(she)備、機器(qi)人、VR等眾(zhong)多(duo)領(ling)域。
作為美國物聯(lian)(lian)網(wang)安(an)(an)(an)全標簽計劃的(de)(de)首席(xi)管(guan)理(li)員，UL Solutions對于物聯(lian)(lian)網(wang)安(an)(an)(an)全認(ren)證(zheng)的(de)(de)經驗(yan)和程序或(huo)許會逐漸推薦至標簽計劃中，進一(yi)步擴大了物聯(lian)(lian)網(wang)安(an)(an)(an)全認(ren)證(zheng)的(de)(de)范圍。
目(mu)前，國(guo)內(nei)已開(kai)展物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)(quan)標(biao)簽(qian)計(ji)劃(hua)的深(shen)入研(yan)究，加快推進中(zhong)國(guo)版的物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)(quan)標(biao)簽(qian)計(ji)劃(hua)，提升國(guo)內(nei)物(wu)(wu)聯(lian)(lian)網(wang)(wang)產(chan)品安(an)全(quan)(quan)(quan)水平(ping)。當然，美國(guo)物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)(quan)標(biao)簽(qian)計(ji)劃(hua)是(shi)通(tong)(tong)過(guo)總統行政令的形(xing)式推動的，明確(que)(que)了安(an)全(quan)(quan)(quan)標(biao)簽(qian)計(ji)劃(hua)的標(biao)準(zhun)、原則(ze)、責(ze)任機(ji)構(gou)和時間進度要(yao)求等。物(wu)(wu)聯(lian)(lian)網(wang)(wang)涉及眾多領域，中(zhong)國(guo)版物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)(quan)標(biao)簽(qian)計(ji)劃(hua)也需要(yao)頂層設計(ji)來籌(chou)劃(hua)，并設定(ding)明確(que)(que)的要(yao)求，形(xing)成分工(gong)協作的管理機(ji)制，建立(li)與(yu)全(quan)(quan)(quan)球主(zhu)要(yao)經濟體(ti)互通(tong)(tong)的標(biao)準(zhun)體(ti)系和測試實(shi)驗室。除(chu)此之外，國(guo)內(nei)的物(wu)(wu)聯(lian)(lian)網(wang)(wang)企(qi)業，尤(you)其是(shi)消(xiao)費(fei)物(wu)(wu)聯(lian)(lian)網(wang)(wang)廠商面(mian)對海(hai)外市場，必須加強對物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)(quan)(quan)標(biao)簽(qian)計(ji)劃(hua)的研(yan)究，與(yu)合格的測試認證機(ji)構(gou)合作，深(shen)入跟蹤(zong)標(biao)簽(qian)計(ji)劃(hua)實(shi)施的細則(ze)，提升產(chan)品出海(hai)的競爭力。
