當地時間12月4日，美國聯邦通訊委員會（FCC）宣布選定知名的測試、檢驗和認證服務商UL Solutions公司作為物聯網安(an)(an)全(quan)(quan)(quan)(quan)標簽計(ji)劃(hua)(hua)（Cybersecurity Labeling for Internet of Things）的(de)(de)(de)(de)首席管理員，來確定該標簽計(ji)劃(hua)(hua)的(de)(de)(de)(de)測試(shi)程序，并(bing)作(zuo)(zuo)為FCC和第(di)三(san)方安(an)(an)全(quan)(quan)(quan)(quan)標簽管理機構（CLA）的(de)(de)(de)(de)聯(lian)(lian)絡員。今年(nian)3月，FCC作(zuo)(zuo)為牽頭部門，通過公(gong)開會投票方式正式通過了物(wu)(wu)聯(lian)(lian)網安(an)(an)全(quan)(quan)(quan)(quan)標簽計(ji)劃(hua)(hua)，在該計(ji)劃(hua)(hua)下(xia)，符合相關條件的(de)(de)(de)(de)消費物(wu)(wu)聯(lian)(lian)網產(chan)(chan)(chan)品(pin)將被賦(fu)予網絡安(an)(an)全(quan)(quan)(quan)(quan)標識標簽（Cyber Trust Mark），方便消費者根據產(chan)(chan)(chan)品(pin)安(an)(an)全(quan)(quan)(quan)(quan)信息做(zuo)出(chu)購(gou)買決策，同時安(an)(an)全(quan)(quan)(quan)(quan)可信產(chan)(chan)(chan)品(pin)在市場上(shang)具(ju)有差異化優(you)勢(shi)，激勵物(wu)(wu)聯(lian)(lian)網產(chan)(chan)(chan)品(pin)制造商(shang)推出(chu)符合更高安(an)(an)全(quan)(quan)(quan)(quan)標準(zhun)的(de)(de)(de)(de)產(chan)(chan)(chan)品(pin)。今年(nian)9月，FCC開始接受(shou)第(di)三(san)方安(an)(an)全(quan)(quan)(quan)(quan)標簽管理機構的(de)(de)(de)(de)申請(qing)，到目前(qian)確定UL Solutions作(zuo)(zuo)為首席管理員，這一(yi)計(ji)劃(hua)(hua)的(de)(de)(de)(de)實施進入了快(kuai)車(che)道。
關于美國物聯網安全標(biao)簽計(ji)劃(hua)，筆者曾(ceng)在(zai)此前多篇文章中進行系(xi)統的(de)介(jie)紹，本文就圍繞(rao)該計(ji)劃(hua)的(de)管理和檢測認證體系(xi)，探索在(zai)實施后該計(ji)劃(hua)是如何運轉的(de)。
物聯網安全標簽計劃的定位：自愿性項目
在(zai)FCC公布的(de)美(mei)國物聯網(wang)安(an)全標簽計(ji)劃框架中，著重(zhong)強(qiang)調了該計(ji)劃是一個自愿性項目，企業(ye)可以根據自身需求自愿參與，FCC也認(ren)為(wei)自愿參與將使該標簽計(ji)劃比強(qiang)制(zhi)要求參與更(geng)容易實現，隨著該計(ji)劃的(de)推(tui)進，物聯網(wang)安(an)全標簽有助于區分(fen)市(shi)場上(shang)符合最低要求的(de)產品，并為(wei)消(xiao)費者提供選擇。
可以看出(chu)，FCC在建立這一(yi)計劃框(kuang)架(jia)時，考(kao)慮到推動強(qiang)制(zhi)性參與會帶(dai)來一(yi)刀(dao)切的風險，因(yin)此參考(kao)了(le)類(lei)似于(yu)“能源之星”的方案(an)，先(xian)通過自(zi)愿(yuan)參與的形式，形成(cheng)一(yi)定規模和(he)消(xiao)費者的認(ren)可，讓消(xiao)費者自(zi)發決策是否選擇帶(dai)有安全標(biao)識(shi)的產品，實(shi)(shi)現消(xiao)費者“用腳(jiao)投(tou)票(piao)”，最終(zhong)可能達到一(yi)個事(shi)實(shi)(shi)標(biao)準的結果。
物聯網安全標簽計劃管理機制：公私部門充分合作
FCC在計(ji)劃(hua)制定中充分認識到，自愿性物(wu)聯網安全標簽計(ji)劃(hua)要想取得成功，就必須(xu)包括聯邦(bang)政府、行業和其他利(li)益相關(guan)者之間的(de)密(mi)切伙伴關(guan)系和合(he)作，因此FCC引進了多個(ge)第三方(fang)私營機構(gou)組(zu)成管理架構(gou)。
早在去(qu)年7月(yue)，白宮已授(shou)權FCC作為物聯(lian)網(wang)安(an)全(quan)標(biao)簽計劃(hua)(hua)的(de)(de)牽頭負責(ze)機(ji)構，負責(ze)該(gai)計劃(hua)(hua)的(de)(de)整(zheng)體監督和管(guan)理(li)。FCC委托旗下的(de)(de)公共安(an)全(quan)和國土安(an)全(quan)局（PSHSB）推進監管(guan)，該(gai)機(ji)構接受(shou)第三方安(an)全(quan)標(biao)簽管(guan)理(li)機(ji)構（CLA）的(de)(de)申請，選(xuan)擇多個CLA推進日常(chang)管(guan)理(li)工作，并從中確定一個首席管(guan)理(li)員，組成了美國物聯(lian)網(wang)安(an)全(quan)標(biao)簽管(guan)理(li)架構。
其中，安(an)(an)全標簽(qian)(qian)管理機構（CLA）多數(shu)為私營(ying)機構，將對企業物聯網(wang)產(chan)(chan)品(pin)安(an)(an)全標簽(qian)(qian)申請進行(xing)評(ping)估，確保廠(chang)商(shang)產(chan)(chan)品(pin)能夠訪(fang)問必(bi)需的(de)安(an)(an)全信息，并執行(xing)標簽(qian)(qian)上(shang)市后的(de)持續監督工(gong)作(zuo)，可以說CLA主要承擔著標簽(qian)(qian)計(ji)劃認證的(de)具(ju)體工(gong)作(zuo)，因(yin)此其角色(se)非(fei)常關鍵。
而首(shou)席(xi)管理員除了(le)要承擔CLA的角色外，還(huan)充當各個CLA之間聯絡和(he)協調員角色。其職責包括：
代表CLA與(yu)FCC進行溝通，包括但(dan)不限于向(xiang)FCC提交那些(xie)不符合標(biao)簽(qian)授(shou)予標(biao)準(zhun)但(dan)獲得(de)標(biao)簽(qian)產(chan)品(pin)的投訴(su)；
酌情開展利益相(xiang)關方(fang)外(wai)聯活動；
接受、審查、批準或拒(ju)絕實驗(yan)(yan)室(shi)(shi)的(de)申(shen)請，這些(xie)實驗(yan)(yan)室(shi)(shi)有權進行必要的(de)符(fu)合性測試，以支持(chi)貼(tie)上FCC物聯網標簽的(de)申(shen)請，并管理(li)認可和(he)被拒(ju)絕認可的(de)實驗(yan)(yan)室(shi)(shi)名單(dan)；
在公布(bu)首席(xi)管理(li)員的公告期(qi)90天(tian)內(nei)，首席(xi)管理(li)員應(ying)酌(zhuo)情與(yu)CLA和(he)其他利益相(xiang)關(guan)者（如來自產(chan)業、政府和(he)學術界的專家）進行合(he)作，包(bao)括向(xiang)管理(li)當局提供(gong)認證標(biao)準和(he)程序(xu)的建(jian)議(yi)(yi)、不(bu)同類(lei)別物聯(lian)網產(chan)品標(biao)簽授權頻(pin)率、CLA對標(biao)簽上市后監(jian)督的建(jian)議(yi)(yi)、物聯(lian)網安全標(biao)簽設計(ji)的建(jian)議(yi)(yi)等
物聯網安全標簽2階段認證流程
在FCC的(de)方案中建立起了2階段的(de)物聯網安(an)全(quan)標(biao)(biao)簽認證流程，第一步由授權實驗(yan)室進(jin)行產品(pin)(pin)安(an)全(quan)符合性(xing)測試，第二(er)步由CLA進(jin)行產品(pin)(pin)安(an)全(quan)標(biao)(biao)簽認證。
在第(di)一(yi)步(bu)產品安(an)全符合(he)性(xing)測試中，FCC要求測試實驗(yan)室必(bi)須按(an)照特定(ding)標準和程序進(jin)行測試，FCC不(bu)認可(ke)供應商(shang)自身做出符合(he)性(xing)聲(sheng)明的(de)形式(shi)，所有產品必(bi)須在授權的(de)第(di)三方實驗(yan)室測試。
在第(di)二(er)步認證中，使(shi)用(yong)安全標簽的(de)制造商需要向(xiang)CLA提交認證申(shen)請，其中包括一份詳細的(de)、由授權實驗室進行(xing)的(de)符合性(xing)測試的(de)報(bao)告。CLA可(ke)以收取合理(li)的(de)費(fei)用(yong)，以支付(fu)審核申(shen)請的(de)成(cheng)本以及CLA需執行(xing)的(de)其他任務的(de)成(cheng)本。
CLA將詳細(xi)審查申(shen)請(qing)和(he)支持文件以確(que)保其完整和(he)合規(gui)，并出具(ju)批(pi)準或拒(ju)絕申(shen)請(qing)的結論。若拒(ju)絕申(shen)請(qing)需說明被拒(ju)的原因，申(shen)請(qing)人將有機會糾正CLA確(que)定的缺陷并重(zhong)新提(ti)交申(shen)請(qing)。針對有爭議的決議，有專門(men)的復審流(liu)程。
公共安全和國土安全局會發布公告，提供有(you)關如(ru)(ru)何申(shen)請和使(shi)用(yong)物聯網安全標簽(qian)的更多詳細信(xin)(xin)息(xi)，包(bao)括但不限(xian)于申(shen)請的信(xin)(xin)息(xi)元素、備(bei)案(an)要求(qiu)和標簽(qian)使(shi)用(yong)信(xin)(xin)息(xi)，如(ru)(ru)標簽(qian)的描述(shu)或照片以及如(ru)(ru)何以及粘貼到產品什么位置(zhi)，也包(bao)括如(ru)(ru)何請求(qiu)對提交的信(xin)(xin)息(xi)進行保密(mi)處理(li)等(deng)。
授(shou)權(quan)實(shi)(shi)驗(yan)(yan)室(shi)(shi)(shi)是認證(zheng)過程中的(de)(de)(de)關(guan)鍵機(ji)構，它們負責進(jin)行(xing)物聯網(wang)產(chan)品安全(quan)符(fu)合(he)性測(ce)(ce)試(shi)并生成報(bao)告。FCC接(jie)受(shou)各種類型的(de)(de)(de)實(shi)(shi)驗(yan)(yan)室(shi)(shi)(shi)作為物聯網(wang)安全(quan)標簽測(ce)(ce)試(shi)實(shi)(shi)驗(yan)(yan)室(shi)(shi)(shi)，包括已(yi)有的(de)(de)(de)網(wang)絡安全(quan)測(ce)(ce)試(shi)實(shi)(shi)驗(yan)(yan)室(shi)(shi)(shi)、CLA運營的(de)(de)(de)實(shi)(shi)驗(yan)(yan)室(shi)(shi)(shi)等，FCC也認可已(yi)獲得ISO/IEC 17025標準認證(zheng)的(de)(de)(de)測(ce)(ce)試(shi)實(shi)(shi)驗(yan)(yan)室(shi)(shi)(shi)可進(jin)行(xing)符(fu)合(he)性測(ce)(ce)試(shi)。公(gong)共安全(quan)和(he)(he)國(guo)土安全(quan)局會(hui)發布(bu)授(shou)權(quan)實(shi)(shi)驗(yan)(yan)室(shi)(shi)(shi)的(de)(de)(de)要求和(he)(he)標準，授(shou)權(quan)實(shi)(shi)驗(yan)(yan)室(shi)(shi)(shi)可以設在美國(guo)境(jing)外，但(dan)可能(neng)會(hui)有一(yi)些額外的(de)(de)(de)標準和(he)(he)程序。首席管理員將(jiang)對所有經過認證(zheng)和(he)(he)認可的(de)(de)(de)授(shou)權(quan)實(shi)(shi)驗(yan)(yan)室(shi)(shi)(shi)進(jin)行(xing)定期審(shen)計和(he)(he)審(shen)查(cha)。
標簽計劃遵循NIST標準
FCC采用NIST推薦(jian)的物聯(lian)網標準作為物聯(lian)網安全(quan)標簽計(ji)劃的基礎，即NIST IR 8425標準《消費物聯(lian)網產品(pin)(pin)核心(xin)基線文件》，該(gai)標準包(bao)括(kuo)以下(xia)產品(pin)(pin)能力：資(zi)產識別、產品(pin)(pin)配置、數據保護、接口訪(fang)問控制(zhi)、軟件更新、網絡安全(quan)國家意識。
FCC將與利(li)益相(xiang)關者合作，確定涵(han)蓋核心(xin)基線或提供(gong)同等要(yao)求的(de)(de)(de)公認標(biao)(biao)準(zhun)(zhun)。FCC將指(zhi)導首(shou)席(xi)(xi)管(guan)理(li)員根據NISTIR 8425中包含(han)的(de)(de)(de)消費(fei)物聯網產品核心(xin)基線進(jin)(jin)(jin)行具體標(biao)(biao)準(zhun)(zhun)的(de)(de)(de)制定，NIST標(biao)(biao)準(zhun)(zhun)是通(tong)用指(zhi)南，但其必須進(jin)(jin)(jin)一(yi)步發展為(wei)產品規范和相(xiang)應的(de)(de)(de)測試程序，確保能夠進(jin)(jin)(jin)行一(yi)致性測試。首(shou)席(xi)(xi)管(guan)理(li)員可以確定市場上已經存在(zai)的(de)(de)(de)現(xian)有標(biao)(biao)準(zhun)(zhun)或方案(an)，這些標(biao)(biao)準(zhun)(zhun)或方案(an)可以隨時調(diao)整應用于(yu)標(biao)(biao)簽計劃中。例如(ru)，方案(an)中提到，征求意見階段多個組織提出歐(ou)洲(zhou)(zhou)和新加坡的(de)(de)(de)物聯網安全標(biao)(biao)簽計劃遵循(xun)歐(ou)洲(zhou)(zhou)通(tong)信(xin)標(biao)(biao)準(zhun)(zhun)化協會（ETSI）出臺的(de)(de)(de)EN 303 645標(biao)(biao)準(zhun)(zhun)，未來，不排除ETIS相(xiang)關標(biao)(biao)準(zhun)(zhun)與NIST融(rong)合為(wei)美歐(ou)通(tong)用標(biao)(biao)準(zhun)(zhun)。
首席管理員已積累了長期經驗
UL Solutions作為一家第三(san)方(fang)認證(zheng)公(gong)司，對多(duo)種技術(shu)解決方(fang)案進行認證(zheng)，物聯(lian)網(wang)安(an)全(quan)(quan)(quan)認證(zheng)也是(shi)其中一項重要的業務。UL Solutions此次被選為物聯(lian)網(wang)安(an)全(quan)(quan)(quan)標(biao)簽(qian)計(ji)劃的首席管(guan)理員，背后有其對于物聯(lian)網(wang)測試認證(zheng)長期的積累(lei)。例如，早在2020年，UL Solutions就推出了專為物聯(lian)網(wang)產(chan)(chan)品(pin)設計(ji)的安(an)全(quan)(quan)(quan)驗證(zheng)和標(biao)簽(qian)解決方(fang)案——物聯(lian)網(wang)安(an)全(quan)(quan)(quan)評級(ji)服務，按照青銅、白銀(yin)、黃金(jin)、鉑金(jin)和鉆石五個等級(ji)進行產(chan)(chan)品(pin)分類(lei)，經過驗證(zheng)的產(chan)(chan)品(pin)將獲得相應的UL物聯(lian)網(wang)安(an)全(quan)(quan)(quan)評級(ji)驗證(zheng)標(biao)簽(qian)（指(zhi)明產(chan)(chan)品(pin)達到的安(an)全(quan)(quan)(quan)級(ji)別），并由(you)UL進行持續評估。
UL Solutions進入中國四十多年，在國內廣泛開展業務，目前在國內設有12個分支機構以及8個大型實驗室，以及眾多獲得UL認可的第三方合作實驗室和客戶實驗室。2016年在東莞松山湖建立的物聯網實驗室就是國內8個大型實驗室之一，其中最重要的一個任務就是對企業生產的智能產品進行多個方面的測試，包括互通性、兼容性、可用性、數據安全性、網絡安全性、快速充電、電磁兼容性等，已覆蓋智能家居、車載信(xin)息娛樂設備(bei)、可穿戴設備(bei)、機(ji)器人(ren)、VR等眾多(duo)領域。
作為美國物聯(lian)網(wang)安全(quan)標(biao)簽(qian)計劃的首席管(guan)理員，UL Solutions對于(yu)物聯(lian)網(wang)安全(quan)認證(zheng)的經(jing)驗和程序(xu)或(huo)許會逐漸推(tui)薦至標(biao)簽(qian)計劃中，進(jin)一步(bu)擴(kuo)大(da)了物聯(lian)網(wang)安全(quan)認證(zheng)的范圍。
目前，國(guo)(guo)(guo)內已開展物(wu)(wu)聯(lian)(lian)網(wang)安(an)全(quan)(quan)標(biao)(biao)(biao)簽(qian)(qian)計劃(hua)(hua)(hua)的(de)深(shen)入(ru)研究，加快推進(jin)中(zhong)國(guo)(guo)(guo)版(ban)的(de)物(wu)(wu)聯(lian)(lian)網(wang)安(an)全(quan)(quan)標(biao)(biao)(biao)簽(qian)(qian)計劃(hua)(hua)(hua)，提升國(guo)(guo)(guo)內物(wu)(wu)聯(lian)(lian)網(wang)產(chan)(chan)品安(an)全(quan)(quan)水(shui)平。當然，美國(guo)(guo)(guo)物(wu)(wu)聯(lian)(lian)網(wang)安(an)全(quan)(quan)標(biao)(biao)(biao)簽(qian)(qian)計劃(hua)(hua)(hua)是通(tong)過總統行政令的(de)形式推動的(de)，明確了安(an)全(quan)(quan)標(biao)(biao)(biao)簽(qian)(qian)計劃(hua)(hua)(hua)的(de)標(biao)(biao)(biao)準、原則、責任機(ji)構和(he)(he)時間進(jin)度要求(qiu)等。物(wu)(wu)聯(lian)(lian)網(wang)涉(she)及眾多領(ling)域，中(zhong)國(guo)(guo)(guo)版(ban)物(wu)(wu)聯(lian)(lian)網(wang)安(an)全(quan)(quan)標(biao)(biao)(biao)簽(qian)(qian)計劃(hua)(hua)(hua)也(ye)需要頂層設計來籌劃(hua)(hua)(hua)，并設定明確的(de)要求(qiu)，形成分工協作(zuo)的(de)管(guan)理機(ji)制(zhi)，建立與全(quan)(quan)球(qiu)主要經(jing)濟體(ti)互通(tong)的(de)標(biao)(biao)(biao)準體(ti)系和(he)(he)測試實驗室。除此之外，國(guo)(guo)(guo)內的(de)物(wu)(wu)聯(lian)(lian)網(wang)企業，尤其是消費(fei)物(wu)(wu)聯(lian)(lian)網(wang)廠商面對海(hai)外市場，必須(xu)加強對物(wu)(wu)聯(lian)(lian)網(wang)安(an)全(quan)(quan)標(biao)(biao)(biao)簽(qian)(qian)計劃(hua)(hua)(hua)的(de)研究，與合格的(de)測試認證機(ji)構合作(zuo)，深(shen)入(ru)跟蹤標(biao)(biao)(biao)簽(qian)(qian)計劃(hua)(hua)(hua)實施的(de)細則，提升產(chan)(chan)品出海(hai)的(de)競爭(zheng)力。
