近日，美國宣布物聯網安(an)全(quan)標(biao)(biao)簽(qian)計劃正式(shi)啟動。這一(yi)(yi)計劃是2021年5月拜登政府發布的網絡安(an)全(quan)總統行(xing)政命令(ling)的一(yi)(yi)部分，目的是推(tui)動符合安(an)全(quan)標(biao)(biao)準的物聯網智能設備上(shang)張貼或顯示網絡安(an)全(quan)信任標(biao)(biao)識，就像目前(qian)已經(jing)被(bei)廣泛(fan)認可(ke)的“能源之星(xing)”標(biao)(biao)簽(qian)為節能電子和電器(qi)產品粘貼標(biao)(biao)簽(qian)一(yi)(yi)樣，讓消費者可(ke)以優先選擇通(tong)過標(biao)(biao)簽(qian)認證的產品。
筆者持續跟蹤這一計劃，曾在多篇文章中對美國的物聯網安全標簽計劃進行解讀。另外，目前已有多個國家啟動了物聯網安全標簽計劃或推動物聯網產品安全法案制定。本次美國正式啟動標簽計劃，邁出了里程碑式的一步，將帶動物聯網安全標簽計劃在全球更大范圍的應用和認可。
中國擁有全球規模最大的物聯網產業生態，物聯網產品出貨量也是全球最高，其中大量消費物聯網產品也是面向海外市場。美國物聯網安全標簽計劃啟動，以及其他發達經濟體的加快推進，毫無疑問會在很大程度上對我國物聯網產品尤其是出海的產品產生顯著影響。本(ben)文將對海外主要經濟體物聯網標簽計劃和這一(yi)(yi)計劃對我(wo)們的啟示(shi)進(jin)行(xing)研(yan)究，希(xi)望能對國內業界提供(gong)一(yi)(yi)些參考。
一、發達經濟體推動物聯網安全的典型做法
隨著物(wu)(wu)聯(lian)(lian)(lian)網(wang)連(lian)接數快速增長(chang)，全球(qiu)各國(guo)越來越多的(de)家庭和個人開始擁有各類(lei)聯(lian)(lian)(lian)網(wang)類(lei)設(she)備，這些物(wu)(wu)聯(lian)(lian)(lian)網(wang)設(she)備的(de)網(wang)絡(luo)(luo)安(an)全隱患也日益增長(chang)。各國(guo)政府為了幫助(zhu)消(xiao)費(fei)者篩選(xuan)那些不易受(shou)網(wang)絡(luo)(luo)安(an)全攻擊的(de)可信(xin)設(she)備，保護消(xiao)費(fei)者合法(fa)權益，采(cai)取各類(lei)措施(shi)，總結起來是(shi)2類(lei)比較(jiao)典型(xing)的(de)措施(shi)：針對物(wu)(wu)聯(lian)(lian)(lian)網(wang)產品的(de)安(an)全標簽計(ji)劃和針對物(wu)(wu)聯(lian)(lian)(lian)網(wang)產品安(an)全的(de)專門法(fa)案。第一類(lei)更傾向于(yu)市場化手段實施(shi)，具(ju)有自愿性(xing)特點，美國(guo)、德國(guo)、芬蘭、新(xin)加坡等(deng)為主要代表(biao)；第二(er)類(lei)通過(guo)正式(shi)(shi)立法(fa)形式(shi)(shi)推動，具(ju)有強制(zhi)性(xing)特點，歐盟、英(ying)國(guo)等(deng)采(cai)取這一方(fang)式(shi)(shi)。
（一）標簽計劃由來已久，多個國家早就開始實踐
1、美(mei)國：醞釀已久(jiu)的物聯網安全標簽計劃，提升全球影響力
對于物(wu)(wu)聯(lian)網(wang)(wang)(wang)(wang)安(an)(an)(an)全(quan)威脅，美(mei)(mei)國(guo)政策制定(ding)者很早就意識到(dao)了其重要性(xing)，在過(guo)去近10年時(shi)間里持(chi)續推(tui)(tui)動(dong)各項重要工作，其中也包括推(tui)(tui)動(dong)物(wu)(wu)聯(lian)網(wang)(wang)(wang)(wang)的(de)立法(fa)。例(li)如2018年9月，美(mei)(mei)國(guo)加利福尼(ni)亞州批(pi)準通過(guo)了《IoT設備網(wang)(wang)(wang)(wang)絡安(an)(an)(an)全(quan)法(fa)》，雖然只是加州的(de)法(fa)律，但(dan)這是美(mei)(mei)國(guo)推(tui)(tui)出的(de)首部物(wu)(wu)聯(lian)網(wang)(wang)(wang)(wang)安(an)(an)(an)全(quan)專門(men)的(de)立法(fa)，具有劃時(shi)代(dai)意義，標志著對物(wu)(wu)聯(lian)網(wang)(wang)(wang)(wang)安(an)(an)(an)全(quan)監管取(qu)得(de)實質性(xing)進展。2020年12月，時(shi)任(ren)美(mei)(mei)國(guo)總統(tong)特(te)朗普正式(shi)簽署《物(wu)(wu)聯(lian)網(wang)(wang)(wang)(wang)網(wang)(wang)(wang)(wang)絡安(an)(an)(an)全(quan)改進法(fa)》，成(cheng)為美(mei)(mei)國(guo)首個全(quan)國(guo)范圍內的(de)物(wu)(wu)聯(lian)網(wang)(wang)(wang)(wang)安(an)(an)(an)全(quan)法(fa)律。
雖然《物(wu)(wu)聯網(wang)(wang)網(wang)(wang)絡(luo)(luo)安全改(gai)進(jin)法(fa)》是(shi)以立法(fa)形(xing)(xing)式(shi)推出，但(dan)這一(yi)立法(fa)只是(shi)對(dui)聯邦政(zheng)府使用的(de)物(wu)(wu)聯網(wang)(wang)設備的(de)最低標(biao)(biao)準，還沒形(xing)(xing)成有面向全國(guo)范(fan)圍的(de)物(wu)(wu)聯網(wang)(wang)網(wang)(wang)絡(luo)(luo)安全監(jian)管框架(jia)和標(biao)(biao)準。2021年，美(mei)國(guo)總統拜登(deng)簽發了(le)《關(guan)于(yu)改(gai)善(shan)(shan)國(guo)家網(wang)(wang)絡(luo)(luo)安全行(xing)政(zheng)令》，該(gai)行(xing)政(zheng)令中強調了(le)改(gai)善(shan)(shan)物(wu)(wu)聯網(wang)(wang)安全的(de)必要性，并要求啟動消費(fei)物(wu)(wu)聯網(wang)(wang)標(biao)(biao)簽計劃。這一(yi)行(xing)政(zheng)命令代表了(le)美(mei)國(guo)對(dui)于(yu)改(gai)善(shan)(shan)全國(guo)物(wu)(wu)聯網(wang)(wang)網(wang)(wang)絡(luo)(luo)安全更廣泛的(de)舉(ju)措，為(wei)物(wu)(wu)聯網(wang)(wang)產(chan)品設定了(le)安全標(biao)(biao)準、明確了(le)機構責任(ren)。相關(guan)要求包括：
在本(ben)命令發布后的(de)270天內，商務部長(chang)通過(guo)NIST局(ju)長(chang)與(yu)聯邦貿易委員會（FTC）主席(xi)和NIST局(ju)長(chang)認(ren)為適當的(de)其他機(ji)構的(de)代表進行(xing)協調，確(que)定消(xiao)(xiao)費者標(biao)簽(qian)計(ji)劃的(de)物(wu)聯網網絡安全(quan)標(biao)準(zhun)(zhun)，并(bing)(bing)(bing)考慮此類消(xiao)(xiao)費者標(biao)簽(qian)計(ji)劃是否可以與(yu)任何符合適用(yong)(yong)(yong)法律(lv)的(de)類似現(xian)有政府計(ji)劃一起(qi)運(yun)作(zuo)或復制(zhi)。這些標(biao)準(zhun)(zhun)應(ying)反映產品可能經歷的(de)越來(lai)越全(quan)面(mian)的(de)測試和評估水平，并(bing)(bing)(bing)應(ying)使用(yong)(yong)(yong)或兼(jian)容制(zhi)造(zao)商用(yong)(yong)(yong)來(lai)告知消(xiao)(xiao)費者其產品安全(quan)性的(de)現(xian)有標(biao)簽(qian)方案。NIST總監應(ying)檢(jian)查(cha)所有相關(guan)(guan)信息、標(biao)簽(qian)和激勵(li)計(ji)劃，并(bing)(bing)(bing)采(cai)用(yong)(yong)(yong)最佳實踐。該審查(cha)應(ying)關(guan)(guan)注消(xiao)(xiao)費者的(de)易用(yong)(yong)(yong)性，并(bing)(bing)(bing)確(que)定可以采(cai)取哪(na)些措施(shi)來(lai)最大限度地提高制(zhi)造(zao)商的(de)參與(yu)度。
在這一行政命(ming)令的驅動下，美(mei)國的物(wu)聯網(wang)(wang)安全(quan)標(biao)簽計(ji)劃緊鑼密鼓地(di)推(tui)動起來。2022年10月，白宮召集了來自于(yu)物(wu)聯網(wang)(wang)企業、高校(xiao)、第三(san)方協會和多個(ge)政府(fu)部門就物(wu)聯網(wang)(wang)安全(quan)標(biao)簽計(ji)劃召開會議，其中提(ti)出了參(can)考“能(neng)源之星（Energy Star）”計(ji)劃來推(tui)動物(wu)聯網(wang)(wang)安全(quan)標(biao)簽計(ji)劃。
2023年(nian)(nian)7月，美國宣布“U.S. Cyber Trust Mark”計(ji)(ji)劃將(jiang)于2024年(nian)(nian)正式啟動，并進一步明確地標簽計(ji)(ji)劃推進的(de)一些細(xi)節，主(zhu)要包括：
（1）標簽計劃覆蓋的產品(pin)以消(xiao)費物(wu)聯網為主
該(gai)計劃前(qian)期重點針(zhen)對消費類(lei)物聯網產品，包(bao)括智能(neng)(neng)冰箱、智能(neng)(neng)空調(diao)、智能(neng)(neng)電視、智能(neng)(neng)溫(wen)控器(qi)、健(jian)身追蹤器(qi)等家庭物聯網設備，并(bing)已開始著(zhu)手定義消費級路(lu)由(you)器(qi)安(an)全標準，未來也(ye)會將路(lu)由(you)器(qi)納入(ru)認證標簽(qian)計劃中(zhong)；同時，美國能(neng)(neng)源部也(ye)宣布合(he)作計劃，研(yan)究和(he)制定智能(neng)(neng)電表和(he)電力(li)逆變器(qi)的(de)網絡安(an)全標簽(qian)要求。
（2）以(yi)產品包(bao)裝上(shang)粘貼標簽(qian)和二(er)維碼形式為消(xiao)費(fei)者提供(gong)相關(guan)信息
計劃(hua)通過(guo)產品標簽(qian)形式實施，標簽(qian)包(bao)括兩部分，一個(ge)是(shi)粘貼或印刷(shua)在產品包(bao)裝(zhuang)盒上的(de)標識，另一個(ge)是(shi)二(er)維碼(ma)，通過(guo)這兩部分內(nei)容(rong)，消(xiao)費者可以獲取所買物聯網產品的(de)安全(quan)信息(xi)。以下圖片是(shi)標簽(qian)的(de)示(shi)例。
標(biao)(biao)簽(qian)計劃(hua)(hua)推(tui)進組織已向(xiang)美國專利商標(biao)(biao)局提交申請(qing)，正在(zai)(zai)為該(gai)計劃(hua)(hua)申請(qing)獨特的(de)標(biao)(biao)識商標(biao)(biao)，是獨特的(de)盾牌標(biao)(biao)識的(de)形(xing)狀，粘貼于符合(he)既定網絡安(an)(an)(an)全(quan)標(biao)(biao)準的(de)產(chan)品(pin)上，表明產(chan)品(pin)已按(an)標(biao)(biao)準通過網絡安(an)(an)(an)全(quan)認(ren)(ren)證(zheng)。同時，該(gai)標(biao)(biao)簽(qian)也會附(fu)上二維碼，可以鏈(lian)接該(gai)設備(bei)安(an)(an)(an)全(quan)認(ren)(ren)證(zheng)平臺，為消(xiao)費者(zhe)提供關于這些智能產(chan)品(pin)具體和可比的(de)安(an)(an)(an)全(quan)信息，包括(kuo)收(shou)集(ji)了哪(na)些傳感器數據、哪(na)些數據被共(gong)享、如何應對安(an)(an)(an)全(quan)更新，例如消(xiao)費者(zhe)在(zai)(zai)新的(de)網絡安(an)(an)(an)全(quan)威脅或(huo)需要打補丁(ding)時，可以掃(sao)描二維碼，了解設備(bei)是否(fou)依(yi)然(ran)通過認(ren)(ren)證(zheng)。
（3）進(jin)一步明確了推進(jin)該計(ji)劃的組織架構
聯(lian)邦通訊(xun)委員會（FCC）是這一計劃(hua)的(de)(de)發起(qi)機構，聯(lian)合美國政府以及多個(ge)行業(ye)組織(zhi)來(lai)推(tui)動該計劃(hua)的(de)(de)實施。
在物聯(lian)網產品安全的(de)認證(zheng)標(biao)準(zhun)(zhun)方(fang)面，由美國商(shang)務部旗下的(de)國家標(biao)準(zhun)(zhun)和技(ji)術研究所（NIST）發布的(de)具體(ti)網絡(luo)安全標(biao)準(zhun)(zhun)來(lai)認證(zheng)和標(biao)記產品，包括(kuo)要求(qiu)唯(wei)一和強大(da)的(de)默認密碼(ma)、數(shu)據保護、軟(ruan)件更新和事件檢(jian)測(ce)能(neng)力(li)等(deng)方(fang)面的(de)標(biao)準(zhun)(zhun)。NIST已發布了一個(ge)針對(dui)消費(fei)物聯(lian)網產品的(de)基線標(biao)準(zhun)(zhun)，后續相關標(biao)準(zhun)(zhun)將(jiang)進一步完善。第(di)三方(fang)機構的(de)實驗(yan)室可能(neng)將(jiang)承(cheng)擔認證(zheng)的(de)工作，例如(ru)CSA聯(lian)盟（Connectivity Standards Alliance）、消費(fei)者技(ji)術協會（Consumer Technology Association）等(deng)。
在該計劃市場推廣方面，美國政府相關機構將支持(chi)FCC對消費者進行教育，讓消費者在做出(chu)購(gou)買決(jue)策時注意這一(yi)新標(biao)(biao)簽(qian)，根(gen)據標(biao)(biao)簽(qian)所載的(de)安全信息做出(chu)購(gou)買決(jue)定，并鼓勵美國主要零售(shou)商(shang)優先(xian)考慮將貼有(you)這一(yi)標(biao)(biao)識的(de)物聯網產品放在貨架上和電商(shang)平臺上。
在(zai)監(jian)督(du)保(bao)障方面，FCC還計劃與其他監(jian)管機構和(he)美國(guo)司法(fa)部合作，建立(li)監(jian)督(du)和(he)執(zhi)行保(bao)障措施，以維持對該計劃的信任和(he)信心。
（4）大(da)量頭部機(ji)構(gou)已宣布支(zhi)持該計劃(hua)
在(zai)這一計劃發布(bu)的同(tong)時，與家庭(ting)物聯網(wang)相(xiang)關(guan)的頭部廠商基(ji)本上(shang)已宣布(bu)支(zhi)持該計劃，在(zai)白宮發布(bu)會當(dang)天參與的機(ji)(ji)構(gou)就包(bao)括亞馬遜、百思(si)買、卡內(nei)基(ji)梅隆大學、CyLab、思(si)科(ke)、CSA聯盟、消費者(zhe)報告(gao)機(ji)(ji)構(gou)、消費者(zhe)技(ji)術(shu)協會、谷歌、英(ying)飛(fei)凌、信息技(ji)術(shu)產業委員會、IoXT、是德科(ke)技(ji)、LG電子美國公司、羅技(ji)、OpenPolicy、Qorvo、高通、三星電子、UL、耶魯(lu)和August U.S.。
這(zhe)些機(ji)構涵(han)蓋了消(xiao)費物(wu)聯網全產業(ye)鏈各個環節(jie)，且(qie)很多都是(shi)產業(ye)鏈具有(you)話語權(quan)的機(ji)構，既有(you)制(zhi)造商，也有(you)零售平臺，還有(you)監測認證機(ji)構、聯盟組織和高校。有(you)這(zhe)些機(ji)構的推動，“U.S. Cyber Trust Mark”雖(sui)然是(shi)自(zi)愿性計劃(hua)，但很有(you)可能(neng)會成為(wei)市場廣為(wei)接受的“準(zhun)強制(zhi)性”要求。
（5）宣布與盟(meng)友加(jia)強(qiang)合作(zuo)，將該認(ren)證推向全球
2023年7月(yue)白宮在該計劃進(jin)展中提到，美國政府(fu)將支持FCC與(yu)盟友和合作伙伴一起協(xie)調(diao)標準(zhun)，并尋求(qiu)對類似標簽工(gong)作的相互認(ren)(ren)可(ke)。可(ke)以看出，美國政府(fu)也希望其(qi)物聯網可(ke)信安全標簽計劃能夠成為一個“全球公(gong)認(ren)(ren)的標簽”。
2023年12月，美(mei)國-歐(ou)盟在布魯塞(sai)爾舉行(xing)(xing)第九次網(wang)(wang)絡(luo)對話聯合(he)聲明(ming)中(zhong)提出，美(mei)國和(he)歐(ou)盟推進了關于(yu)聯合(he)網(wang)(wang)絡(luo)安(an)全產品行(xing)(xing)動(dong)計劃的(de)(de)討論，以共同(tong)努力實現對各自政府(fu)支持的(de)(de)物聯網(wang)(wang)設備網(wang)(wang)絡(luo)安(an)全標簽(qian)計劃和(he)法規的(de)(de)相互承認。近期(qi)美(mei)歐(ou)之間簽(qian)署合(he)作協議，正是雙方在這一領域(yu)合(he)作的(de)(de)標志性成果(guo)。
2024年1月舉辦的CES展(zhan)會上，美(mei)國(guo)負責(ze)網絡和新(xin)興技術的副國(guo)家安全顧問Anne Neuberger宣(xuan)布，美(mei)國(guo)已與歐盟簽(qian)署了一(yi)項“關于(yu)消(xiao)費(fei)者標簽(qian)計劃聯合路(lu)線圖”的合作協議，推動消(xiao)費(fei)物聯網設備安全標簽(qian)計劃的國(guo)際(ji)互(hu)認。
2024年(nian)12月(yue)， FCC宣布選定知名的(de)(de)測(ce)試、檢驗和(he)認(ren)證服務商UL Solutions公(gong)司作為物(wu)(wu)聯(lian)(lian)網安全(quan)標簽(qian)計(ji)劃的(de)(de)首席管理(li)員(yuan)，來(lai)確定該標簽(qian)計(ji)劃的(de)(de)測(ce)試程(cheng)序，并作為FCC和(he)第三方(fang)安全(quan)標簽(qian)管理(li)機構(gou)的(de)(de)聯(lian)(lian)絡員(yuan)。最終(zhong)，經過18個(ge)月(yue)的(de)(de)籌(chou)備和(he)征求意見，美國版的(de)(de)物(wu)(wu)聯(lian)(lian)網安全(quan)標簽(qian)計(ji)劃終(zhong)于落地，將(jiang)為全(quan)球物(wu)(wu)聯(lian)(lian)網安全(quan)領域促(cu)成(cheng)一個(ge)“事實標準”。
2、新加坡：亞太區首個(ge)物聯網安全標簽計劃
新(xin)加(jia)坡(po)推出的物(wu)聯(lian)網(wang)安全標簽(qian)計劃名(ming)為(wei)(wei)“Cybersecurity Labelling Scheme (CLS)”，該(gai)計劃是(shi)由(you)新(xin)加(jia)坡(po)網(wang)絡(luo)安全局（CSA）牽頭推出，作為(wei)(wei)改(gai)善物(wu)聯(lian)網(wang)安全、提高整體(ti)網(wang)絡(luo)水平(ping)和更好(hao)地保護新(xin)加(jia)坡(po)網(wang)絡(luo)空間(jian)的努力(li)的一部分。
CLS計劃(hua)是亞太區首(shou)個物(wu)聯網(wang)安全標簽計劃(hua)項目，按照該計劃(hua)要求，物(wu)聯網(wang)設備將(jiang)根據其網(wang)絡安全規定的(de)等級進行(xing)評(ping)級，這將(jiang)使消費者(zhe)能(neng)夠識(shi)別具有更好網(wang)絡安全能(neng)力的(de)產(chan)品，并做出購買的(de)決策。
CLS計劃最初是為WiFi路由器和智能家居中控設備而推出的，由于這(zhe)些產品作為(wei)消(xiao)費(fei)物聯網的樞紐使(shi)用范(fan)圍更廣，而且這(zhe)些產品安全隱患可能(neng)(neng)對(dui)用戶產生(sheng)的影響更大，因此(ci)作為(wei)優先認證對(dui)象納入該計劃中。此(ci)后，CLS計劃擴(kuo)展到(dao)包括所(suo)有類(lei)別的消(xiao)費(fei)物聯網設備，如IP攝像頭、智能(neng)(neng)門(men)鎖、智能(neng)(neng)燈和智能(neng)(neng)打印(yin)機等。
CLS計劃對物(wu)聯網設備安(an)全形成4個(ge)不同(tong)等級(ji)，同(tong)時有4不同(tong)的(de)(de)評(ping)估(gu)等級(ji)，每個(ge)評(ping)估(gu)等級(ji)按順序完成，反(fan)映(ying)了產品對可能遭受的(de)(de)網絡安(an)全攻(gong)擊抵抗力(li)不斷增強，相關(guan)體系如(ru)下：
第一層評估等(deng)級：安(an)全基(ji)線要(yao)求。要(yao)求產品遵循歐洲通(tong)信標(biao)準化協(xie)會（ETSI）發布的(de)ETSI EN 303 645標(biao)準中(zhong)的(de)基(ji)線要(yao)求，通(tong)過(guo)消除“常見錯誤”來防范大多數(shu)基(ji)于常見漏洞（如默認密碼）的(de)攻擊，確(que)保安(an)全更新(xin)的(de)可用性并實(shi)施(shi)管理(li)漏洞報(bao)告。
第二層評(ping)估等級：生命周期(qi)要(yao)求(qiu)。供應商的產品應確保遵守一套國際標準（基于ETSI EN 303 645標準中對設備所有強制性(xing)要(yao)求(qiu)）。
第三層(ceng)評估等(deng)級：軟件二元(yuan)分析。供應商(shang)應根據《IMDA物聯網(wang)網(wang)絡安(an)(an)全(quan)指南》考(kao)慮(lv)安(an)(an)全(quan)因素，在物聯網(wang)設備(bei)的開發生命周(zhou)期中采用安(an)(an)全(quan)最佳實踐(jian)（如(ru)威脅建(jian)模(mo)、安(an)(an)全(quan)工程方(fang)法、安(an)(an)全(quan)供應鏈、安(an)(an)全(quan)測試(shi)等(deng)）來確(que)保設備(bei)的安(an)(an)全(quan)性(xing)。此外，測試(shi)實驗室使用自動二元(yuan)分析工具對物聯網(wang)設備(bei)的軟件進(jin)行評估，以確(que)保沒有已知的關鍵軟件缺陷、漏洞或惡意軟件。
第四層評(ping)估等級：滲透測(ce)(ce)(ce)試。連接的設備(bei)經過測(ce)(ce)(ce)試實驗室的滲透測(ce)(ce)(ce)試，以提供對常(chang)見網絡安全(quan)攻擊的基(ji)本抵御能(neng)力。
其(qi)中第(di)一、第(di)二兩個(ge)層(ceng)級評估只需制造商自(zi)己的符合(he)性聲(sheng)明，而第(di)三和第(di)四兩個(ge)層(ceng)級評估必須經過第(di)三方獨立測試(shi)才能通(tong)過認證。
通過4不(bu)同層級的評(ping)估，最終給(gei)予相(xiang)應物聯網設備賦予不(bu)同等(deng)(deng)級標簽，用(yong)不(bu)同數量星(xing)號標識出(chu)來，并顯(xian)示其安全等(deng)(deng)級。相(xiang)關標簽可以(yi)粘貼在(zai)智(zhi)能家居產品包裝上(shang)，示例(li)如下：
其中(zhong)一級(ji)表(biao)示該(gai)產品(pin)已滿(man)足(zu)基本的(de)安全要(yao)求(qiu)(qiu)；二(er)級(ji)表(biao)示該(gai)產品(pin)滿(man)足(zu)1級(ji)要(yao)求(qiu)(qiu)并符合國際標準的(de)所有強制性安全要(yao)求(qiu)(qiu)；三級(ji)表(biao)示滿(man)足(zu)2級(ji)要(yao)求(qiu)(qiu)，并采用設計(ji)安全原(yuan)則開發，通(tong)過了(le)經批準的(de)第三方測試(shi)實(shi)驗(yan)室(shi)(shi)對軟件(jian)二(er)元評估(gu)；四級(ji)表(biao)示該(gai)產品(pin)滿(man)足(zu)3級(ji)要(yao)求(qiu)(qiu)，并經過了(le)經批準的(de)第三方測試(shi)實(shi)驗(yan)室(shi)(shi)的(de)結構化滲透測試(shi)。
3、日本：即(ji)將啟動(dong)的標簽計(ji)劃
2024年3月，日(ri)本(ben)經濟產業省發(fa)布了(le)《物(wu)聯(lian)網安全(quan)合格(ge)評估(gu)計劃(hua)草案(an)》征(zheng)求意(yi)見稿，該草案(an)可(ke)以看(kan)作是日(ri)本(ben)版物(wu)聯(lian)網安全(quan)標簽計劃(hua)，對(dui)標美國(guo)、歐盟、新加坡等國(guo)家和地區的(de)物(wu)聯(lian)網安全(quan)標簽計劃(hua)。
日(ri)本經(jing)濟產(chan)業(ye)省于2022年11月成立了一個(ge)“物聯網(wang)產(chan)品安(an)全(quan)(quan)(quan)(quan)合格評估計(ji)劃研(yan)究小組(zu)”，該(gai)小組(zu)經(jing)過調研(yan)討論，決定(ding)建立一個(ge)物聯網(wang)產(chan)品安(an)全(quan)(quan)(quan)(quan)符合性評估方案并在全(quan)(quan)(quan)(quan)社(she)會廣泛(fan)傳播(bo)，《物聯網(wang)安(an)全(quan)(quan)(quan)(quan)合格評估計(ji)劃草案》正是該(gai)小組(zu)的成果，全(quan)(quan)(quan)(quan)面介紹了日(ri)本版物聯網(wang)安(an)全(quan)(quan)(quan)(quan)標簽計(ji)劃的目標定(ding)位、管理架構、適(shi)用(yong)范(fan)圍、評估標準等(deng)。
和美國版(ban)物(wu)聯(lian)(lian)(lian)網(wang)(wang)安全標(biao)(biao)簽計劃類似，日(ri)本首(shou)先也(ye)強調該方案是一個自愿性項目。同時，關于物(wu)聯(lian)(lian)(lian)網(wang)(wang)產(chan)品的定義，該計劃沿用歐洲通信標(biao)(biao)準化協會ETSI EN 303 645標(biao)(biao)準中(zhong)對物(wu)聯(lian)(lian)(lian)網(wang)(wang)的定義，包括物(wu)聯(lian)(lian)(lian)網(wang)(wang)產(chan)品和相關服務(wu)。這一定義和范(fan)疇與美國版(ban)物(wu)聯(lian)(lian)(lian)網(wang)(wang)安全標(biao)(biao)簽計劃適(shi)用范(fan)圍基本吻合，都包含了物(wu)聯(lian)(lian)(lian)網(wang)(wang)產(chan)品及(ji)其附加服務(wu)。
日(ri)本版計劃通過建立物聯網(wang)安全分級(ji)(ji)機(ji)制來實施不同的評(ping)估(gu)。該機(ji)制一共分為4個(ge)層級(ji)(ji)，層級(ji)(ji)1為符(fu)合(he)安全基線的標準(zhun)，以解決適用范圍內(nei)所(suo)有物聯網(wang)產品(pin)常見的、最低(di)威脅基準(zhun)，層級(ji)(ji)2至層級(ji)(ji)4的標準(zhun)要求逐漸提高。
獲得不同(tong)層(ceng)(ceng)級(ji)標(biao)簽(qian)的(de)方式不同(tong)，其中，針對層(ceng)(ceng)級(ji)1和層(ceng)(ceng)級(ji)2，通過(guo)物(wu)聯網(wang)產品供應商自我符合性聲明即(ji)可獲得安全標(biao)簽(qian)，以(yi)促進該計劃(hua)的(de)傳播；對于層(ceng)(ceng)級(ji)3和層(ceng)(ceng)級(ji)4，將根(gen)據獨立(li)測試實(shi)驗室的(de)第三方評估(gu)后再決定授予標(biao)簽(qian)，尤其是層(ceng)(ceng)級(ji)3及(ji)以(yi)上旨在供政府機構和關鍵基(ji)礎(chu)設施提(ti)供商采購(gou)使用(yong)，因(yin)此會要求高可靠性。
管理機(ji)制方面，日本明確(que)由(you)經濟(ji)產(chan)業省旗(qi)下的信息(xi)處理推進(jin)機(ji)構（Information-technology Promotion Agency, IPA）作(zuo)為所有者(zhe)來統(tong)一(yi)(yi)運營標(biao)簽計(ji)劃(hua)，IPA本身也運營著的日本信息(xi)技術安(an)全評估和(he)認證計(ji)劃(hua)，未來將這一(yi)(yi)計(ji)劃(hua)將擴大到(dao)包(bao)括物聯網安(an)全標(biao)簽計(ji)劃(hua)。IPA將為該(gai)計(ji)劃(hua)設立(li)一(yi)(yi)個(ge)秘(mi)書處，以促進(jin)該(gai)計(ji)劃(hua)的傳播。
日本(ben)在該(gai)方案中(zhong)(zhong)提到了與其他國(guo)(guo)家物聯網安全標(biao)簽計(ji)劃(hua)的(de)合作，主要包(bao)括(kuo)美國(guo)(guo)、歐(ou)盟、新(xin)加(jia)坡(po)和英國(guo)(guo)。預計(ji)2025年(nian)將正式(shi)實(shi)施層級1標(biao)簽計(ji)劃(hua)，接受企業(ye)符合性聲明形(xing)式(shi)獲得標(biao)簽，屆時會宣布與新(xin)加(jia)坡(po)和英國(guo)(guo)相對應計(ji)劃(hua)的(de)互(hu)認。而對于美國(guo)(guo)和歐(ou)盟，會在后續實(shi)施中(zhong)(zhong)選擇適當時候公布互(hu)認合作。
4、芬蘭(lan)：歐洲(zhou)首個物聯網安(an)全標簽計劃
早(zao)在(zai)2019年(nian)11月(yue)，芬蘭交通(tong)和通(tong)信管理機構Traficom發布了物聯(lian)網網絡安全標簽(qian)計劃“Cybersecurity Label”，該(gai)計劃向消費者保證貼有(you)標簽(qian)的設備具有(you)基(ji)本的信息(xi)(xi)安全功能，旨在(zai)通(tong)過該(gai)標簽(qian)提高(gao)消費者對信息(xi)(xi)安全和安全使用物聯(lian)網設備的意識。
Traficom下設的(de)芬蘭(lan)國家網(wang)絡安(an)全中心（NCSC-FI）開發了(le)物聯(lian)(lian)網(wang)網(wang)絡安(an)全標簽(qian)(qian)的(de)認證(zheng)流程，其認證(zheng)依據ETSI發布的(de)標準(zhun)ETSI EN 303 645。物聯(lian)(lian)網(wang)安(an)全標簽(qian)(qian)直(zhi)接向客戶表明(ming)產品安(an)全相關功能已實(shi)施(shi)了(le)安(an)全措施(shi)，包括：密碼、軟件更新、數據保護(hu)、數據的(de)安(an)全傳輸(shu)和存儲、安(an)全默認設置等。
物(wu)聯網產(chan)(chan)品制造商(shang)除了要(yao)對安全信息(xi)進(jin)行自我、自我評估聲(sheng)明外，還(huan)(huan)需要(yao)進(jin)行第三方的(de)信息(xi)安全測試和(he)評估。獲得標簽后(hou)，每年還(huan)(huan)需要(yao)進(jin)行審查，審查產(chan)(chan)品信息(xi)安全功能是否發生(sheng)變化(hua)，若(ruo)發生(sheng)變化(hua)還(huan)(huan)需要(yao)進(jin)一步申請和(he)評估。
5、德國：寬(kuan)松的(de)標簽申請(qing)流程(cheng)，但(dan)進行事(shi)后監(jian)督
2021年(nian)9月，德(de)國聯邦(bang)信(xin)息(xi)安(an)(an)全(quan)辦公室也推(tui)出了自己的物(wu)聯網(wang)安(an)(an)全(quan)標(biao)簽(qian)計劃(hua)，該計劃(hua)名稱為“IT-Security Label”。產品供應商(shang)要獲得(de)標(biao)簽(qian)，可以(yi)向德(de)國聯邦(bang)信(xin)息(xi)安(an)(an)全(quan)辦公室提(ti)出申請，聯邦(bang)信(xin)息(xi)安(an)(an)全(quan)辦公室在對(dui)提(ti)交文件進(jin)行檢(jian)查后，生成一(yi)定有效期(qi)限的標(biao)簽(qian)。
“IT-Security Label”計劃依據(ju)的(de)(de)也是ETSI EN 303 645標準，不同于新加(jia)坡(po)和芬蘭(lan)的(de)(de)標簽計劃，德國的(de)(de)物(wu)聯網安(an)(an)全(quan)標簽計劃要求產品供應商進(jin)行自我(wo)聲明的(de)(de)形(xing)式，沒有(you)安(an)(an)排第(di)三(san)方(fang)機構進(jin)行認證。這(zhe)似乎會無法(fa)保障(zhang)安(an)(an)全(quan)信息的(de)(de)真實性(xing)，讓(rang)一(yi)些產品制造商鉆空子，不過后期還(huan)有(you)一(yi)些安(an)(an)排來規避這(zhe)一(yi)問題。
在產(chan)品上(shang)市后，德(de)國市場監(jian)管部(bu)門會(hui)對(dui)物(wu)聯網(wang)產(chan)品制(zhi)造(zao)商聲明的(de)安全(quan)特征(zheng)信(xin)(xin)息進(jin)行(xing)檢(jian)查(cha)，采用抽(chou)查(cha)、例(li)行(xing)檢(jian)查(cha)或根據情(qing)況進(jin)行(xing)轉型審計形式，測試產(chan)品上(shang)粘貼(tie)的(de)安全(quan)標簽(qian)包(bao)含的(de)信(xin)(xin)息是否和產(chan)品實際(ji)情(qing)況相符(fu)。檢(jian)查(cha)不符(fu)的(de)，將(jiang)撤銷標簽(qian)，對(dui)品牌和產(chan)品形象會(hui)造(zao)成不可挽(wan)回的(de)損(sun)失，這在很(hen)大程度(du)上(shang)規(gui)避(bi)了制(zhi)造(zao)商造(zao)假。
“IT-Security Label”也是以(yi)粘(zhan)貼(tie)在產(chan)品包(bao)(bao)裝上的(de)標簽展示的(de)，包(bao)(bao)括符合德(de)國聯邦信息安全(quan)辦(ban)公(gong)室的(de)聲明以(yi)及安全(quan)相關信息。以(yi)下的(de)標簽就(jiu)是小米一款在德(de)國售賣的(de)掃地機器人的(de)物聯網(wang)安全(quan)標簽。
通過這一標簽(qian)，消(xiao)費者可以了解到以下信息：安(an)全信息透明度(du)、訪問(wen)控制、安(an)全通信、軟(ruan)件更(geng)新、安(an)全機制可用性、產品(pin)接口(kou)保(bao)護等。
（二）針對物聯網產品專門法案相繼推出
1、英國：即(ji)將到來的強制(zhi)性安全法規
2021年11月，英國數字、文化、媒體和體育部提出了《產品(pin)安全和電信基礎設施（PSTI）法(fa)(fa)案》。PSTI法(fa)(fa)案關注的(de)一個(ge)重(zhong)點是消費物聯網設備的(de)安全性，于(yu)2022年12年獲(huo)得批準(zhun)，將于(yu)2024年4月29日生(sheng)效。
對于消(xiao)費物(wu)聯網設備(bei)(bei)，英國政府提到包括(kuo)智(zhi)(zhi)能(neng)電視(shi)、游戲(xi)機、安防(fang)攝(she)像頭和(he)報警系統、智(zhi)(zhi)能(neng)玩具和(he)嬰兒監視(shi)器、智(zhi)(zhi)能(neng)家(jia)居(ju)中控、智(zhi)(zhi)能(neng)音響(xiang)以及洗(xi)衣機和(he)冰(bing)箱等智(zhi)(zhi)能(neng)家(jia)電。該(gai)法(fa)案通過確保這些產品(pin)在設計時內置(zhi)強大的網絡安全功能(neng)，將保護設備(bei)(bei)安全的責任(ren)從消(xiao)費者身(shen)上轉(zhuan)移開來。
早在2018年，英國政府發布了一(yi)份名為《Code of Practice for Consumer IoT Security》的(de)安(an)全準則(ze)，該準則(ze)包含物聯網(wang)領(ling)域網(wang)絡安(an)全最佳實(shi)踐(jian)的(de)13項指導方針，不過，這一(yi)準則(ze)不具有法律約束力。
PSTI法案(an)(an)是(shi)建立在該準(zhun)則基礎(chu)上，該法案(an)(an)的第一(yi)部分側重(zhong)于消(xiao)費物(wu)聯網(wang)設備(bei)本身的安全性，對于相關設備(bei)制造商(shang)、進口商(shang)和零售商(shang)提(ti)出(chu)了強制性要求(qiu)，重(zhong)點是(shi)從三個方(fang)面(mian)對物(wu)聯網(wang)產品安全性產生重(zhong)大影響：
一是支(zhi)持(chi)期的(de)明確(que)信(xin)息披(pi)露(lu)要求：制(zhi)造商必(bi)須提供有(you)關其產品更(geng)新(xin)和支(zhi)持(chi)持(chi)續時間(jian)的(de)明確(que)信(xin)息，這種透明度(du)確(que)保消費者(zhe)知道(dao)他們的(de)物聯網設備可(ke)以獲得的(de)支(zhi)持(chi)的(de)時間(jian)范圍；
二(er)是默認(ren)密(mi)碼(ma)的要(yao)求(qiu)：每個產品(pin)都有(you)一(yi)個唯一(yi)的密(mi)碼(ma)，首(shou)次登(deng)錄時必須使用(yong)該密(mi)碼(ma)，禁止使用(yong)容易猜到(dao)的默認(ren)密(mi)碼(ma)，確保每臺設備從(cong)一(yi)開始就(jiu)使用(yong)獨特且可靠(kao)的密(mi)碼(ma)進行保護；
三是安(an)全問題的(de)報告(gao)：制(zhi)造商必須建立并傳(chuan)達報告(gao)安(an)全漏(lou)洞(dong)的(de)明確(que)(que)程序，包括(kuo)提供報告(gao)漏(lou)洞(dong)的(de)聯系(xi)信息，確(que)(que)保客戶及時(shi)了解(jie)任何已識(shi)別的(de)漏(lou)洞(dong)并獲得及時(shi)的(de)修復(fu)。
對于違反PSTI法案的行為，立(li)法監管機構(gou)可(ke)能對違法企業處以1000萬英鎊或(huo)企業年(nian)營業額(e)4%的罰款(kuan)，或(huo)許還會(hui)要求對產品的召(zhao)回。
2、歐盟：針對物聯網安(an)全的里程碑式法案
2022年，歐(ou)盟提出了《網(wang)(wang)(wang)絡彈性(xing)法(fa)案(an)》（Cyber Resilience Act，CRA），該法(fa)案(an)對(dui)包括物聯(lian)網(wang)(wang)(wang)設備在內的數字產品(pin)從設計(ji)到(dao)上市都提出了嚴(yan)格(ge)(ge)的網(wang)(wang)(wang)絡安(an)全(quan)要(yao)求(qiu)，不少從業者認為，該法(fa)案(an)代表了整個歐(ou)盟在物聯(lian)網(wang)(wang)(wang)設備安(an)全(quan)標準化(hua)方面邁出的重(zhong)要(yao)一步，同時也對(dui)物聯(lian)網(wang)(wang)(wang)供應鏈管理提出了嚴(yan)格(ge)(ge)的要(yao)求(qiu)。
具體(ti)來說，CRA明(ming)確(que)提出，法(fa)案適用(yong)于所有直接(jie)或間接(jie)連接(jie)到另一(yi)設備(bei)或網(wang)絡的數字(zi)產(chan)(chan)品，其(qi)中數字(zi)產(chan)(chan)品包(bao)括“任何軟件(jian)或硬件(jian)產(chan)(chan)品及其(qi)遠程(cheng)數據處理解(jie)決方(fang)案，包(bao)括單獨(du)投放市場(chang)的軟件(jian)或硬件(jian)組件(jian)”。很明(ming)顯，物聯網(wang)設備(bei)基(ji)本都會(hui)納入這(zhe)一(yi)法(fa)案的范疇。
同時，該法案將適用(yong)于這些(xie)產品從(cong)設(she)計(ji)階段(duan)(duan)到淘汰階段(duan)(duan)的(de)整個生命周期(qi)。此外，制造商將有義務持續和(he)系統地識別和(he)記錄相(xiang)關的(de)網絡安全(quan)(quan)內(nei)容，漏洞必(bi)須(xu)在產品的(de)生命周期(qi)內(nei)得到有效處理，這包括立(li)即(ji)補(bu)救安全(quan)(quan)漏洞的(de)風險(xian)相(xiang)關義務（特別是通過提供軟(ruan)件更新形式）。
CRA引入了一個產(chan)(chan)(chan)品(pin)(pin)分類系統，根據(ju)產(chan)(chan)(chan)品(pin)(pin)對網(wang)(wang)絡安全的(de)潛在(zai)影響(xiang)，將這些產(chan)(chan)(chan)品(pin)(pin)劃(hua)分為(wei)三個等(deng)級(ji)(ji)，其(qi)(qi)中基(ji)本(ben)的(de)安全要求可以由制造商自我評估(gu)，高等(deng)級(ji)(ji)可能(neng)會引入第三方評估(gu)機(ji)構進(jin)行強制認證。基(ji)本(ben)的(de)安全要求包括“適當(dang)”級(ji)(ji)別的(de)網(wang)(wang)絡安全、禁止發布(bu)具有任何已(yi)知(zhi)漏洞的(de)產(chan)(chan)(chan)品(pin)(pin)、默(mo)認配置的(de)安全性(xing)、防止未經授權的(de)訪問、限(xian)制攻擊面和最小(xiao)化事件影響(xiang)，產(chan)(chan)(chan)品(pin)(pin)必須確保數據(ju)的(de)機(ji)密性(xing)，包括使用加密、保護其(qi)(qi)完整(zheng)性(xing)以及僅(jin)處理(li)其(qi)(qi)運行所必需(xu)的(de)數據(ju)。
不遵守(shou)基本(ben)要求(qiu)的(de)罰款可(ke)能高達 1500 萬歐元(yuan)或(huo)年(nian)營業額的(de) 2.5%，以(yi)較高者為準(zhun)。
這一法案(an)影響范圍(wei)很大，因(yin)此在法案(an)生效前(qian)還需要(yao)進行長時間(jian)的(de)準(zhun)備，包括(kuo)準(zhun)備相關指導(dao)文件、產品名單以及(ji)所涵蓋產品的(de)統一標(biao)準(zhun)等。美歐網(wang)絡安全(quan)對(dui)話聯合聲明(ming)中(zhong)(zhong)提到的(de)物聯網(wang)安全(quan)合作，其(qi)中(zhong)(zhong)也提到了推出物聯網(wang)安全(quan)標(biao)簽是(shi)CRA法案(an)落實中(zhong)(zhong)的(de)一個領域。
二、不斷推進的物聯網安全舉措帶來的啟示
物聯網(wang)連接數的(de)快速(su)上升，帶來巨大(da)的(de)安全(quan)隱患已成為共識，很少(shao)有(you)人反(fan)對針對物聯網(wang)安全(quan)采取有(you)效措施(shi)。通過對以上多個發達經(jing)濟體在物聯網(wang)安全(quan)措施(shi)的(de)分析，我們可以總(zong)結出一些(xie)啟示。
（一）對消費物聯網產品安全采取措施是當務之急
市場研究機構(gou)IoT Analytics數據顯示，預計2023全球物(wu)聯網連(lian)接(jie)數超過160億。而這么(me)大規(gui)模的(de)物(wu)聯網連(lian)接(jie)中，超過70%的(de)設(she)備(bei)是(shi)通(tong)過WiFi、藍(lan)牙、Zigbee等短距離通(tong)信技術連(lian)接(jie)的(de)，產(chan)品形態以(yi)智(zhi)能家居、穿戴(dai)設(she)備(bei)等消(xiao)費類物(wu)聯網設(she)備(bei)為主。
物(wu)聯網(wang)(wang)(wang)設(she)備(bei)安全(quan)隱(yin)患(huan)日益突出，網(wang)(wang)(wang)絡(luo)攻擊、隱(yin)私泄露等問題層出不(bu)(bu)(bu)窮，這其(qi)中消(xiao)費(fei)類物(wu)聯網(wang)(wang)(wang)設(she)備(bei)的安全(quan)隱(yin)患(huan)更為突出。加(jia)上(shang)消(xiao)費(fei)類物(wu)聯網(wang)(wang)(wang)設(she)備(bei)出貨量規(gui)模超(chao)過產業(ye)物(wu)聯網(wang)(wang)(wang)設(she)備(bei)，對于消(xiao)費(fei)物(wu)聯網(wang)(wang)(wang)設(she)備(bei)安全(quan)進(jin)行認證(zheng)就顯得(de)很有(you)必要。畢竟用戶不(bu)(bu)(bu)希望智能冰(bing)箱、智能門鎖有(you)安全(quan)隱(yin)患(huan)，不(bu)(bu)(bu)想在家里有(you)一雙眼睛長(chang)期(qi)盯著自己。
產業(ye)物(wu)聯網面(mian)向(xiang)的(de)(de)是各類企(qi)(qi)業(ye)，大量企(qi)(qi)業(ye)自身具有識別安(an)(an)全(quan)問題的(de)(de)技術(shu)能力，也建立了企(qi)(qi)業(ye)網絡(luo)安(an)(an)全(quan)相(xiang)關標準，加上(shang)企(qi)(qi)業(ye)和供應商簽訂的(de)(de)合(he)同(tong)中，一般(ban)都有非常嚴(yan)格的(de)(de)安(an)(an)全(quan)條款(kuan)，能夠(gou)在一定程度上(shang)保障自身的(de)(de)安(an)(an)全(quan)性，因此產業(ye)物(wu)聯網的(de)(de)安(an)(an)全(quan)隱患相(xiang)對小一些。
但是，個人消費者、家庭用(yong)戶沒有專業(ye)的知識，對自身使(shi)用(yong)產品的網絡安全信息(xi)了解非(fei)常有限，即使(shi)發生安全按事故(gu)，由于使(shi)用(yong)人群非(fei)常分散，維權(quan)也非(fei)常困難，消費物聯(lian)網領域很容易成(cheng)為隱私泄露(lu)和(he)信息(xi)安全重災(zai)區。
因此，各(ge)國(guo)不(bu)(bu)論是推進物(wu)聯(lian)(lian)網(wang)安全立法(fa)，還是推進物(wu)聯(lian)(lian)網(wang)安全標簽(qian)計劃，都(dou)主要針對的(de)是消費(fei)類物(wu)聯(lian)(lian)網(wang)。目前，消費(fei)物(wu)聯(lian)(lian)網(wang)領(ling)域的(de)安全問(wen)題已經在不(bu)(bu)斷積累，持續下去會造成非常惡劣的(de)影響，因此針對消費(fei)物(wu)聯(lian)(lian)網(wang)安全采(cai)取措(cuo)施是物(wu)聯(lian)(lian)網(wang)安全工作的(de)當(dang)務之(zhi)急。
（二）物聯網安全標簽計劃是一種有效的市場化手段
如何才能有效地(di)推動(dong)消費(fei)物聯網安全相關工作落地(di)？從(cong)前面分析中可以看出，各國采(cai)取(qu)立(li)法和安全標簽(qian)計(ji)劃來實(shi)施(shi)。
通過(guo)立法手段雖然能夠形成強制性(xing)，但由于物聯網碎片(pian)化的(de)特點，不同產品面臨的(de)安(an)全要(yao)求不同，立法在很大程度上只能對安(an)全基線或框架性(xing)要(yao)求做出規(gui)定并強制推(tui)動執行(xing)。另外，立法涉及面非(fei)常廣(guang)，制定周期和實施周期也很長。
物聯網安(an)全(quan)標(biao)簽計劃給出了一個簡單有(you)效的(de)(de)落地方(fang)法，這一計劃是(shi)非強性的(de)(de)，但能真實反映不同(tong)產(chan)品(pin)安(an)全(quan)的(de)(de)有(you)效信息，讓用戶一目(mu)了然能夠知曉相關信息，同(tong)時以市(shi)場化的(de)(de)機制激(ji)勵企業在安(an)全(quan)領域做(zuo)更(geng)多投(tou)資(zi)，將安(an)全(quan)作(zuo)為(wei)一個差(cha)異化的(de)(de)能力，提升(sheng)自身競爭(zheng)力。
例如，芬(fen)蘭Traficom此(ci)前對消(xiao)費者(zhe)購買和(he)使用物聯(lian)網設備(bei)(bei)(bei)的(de)(de)態度和(he)意愿進行調研，一個重要發現是(shi)(shi)，大部(bu)分芬(fen)蘭人都關(guan)心這些智能(neng)設備(bei)(bei)(bei)的(de)(de)信息安(an)全(quan)(quan)(quan)問題，而(er)其(qi)中三分之(zhi)二(er)的(de)(de)人認為提供(gong)易于(yu)理解的(de)(de)物聯(lian)網設備(bei)(bei)(bei)安(an)全(quan)(quan)(quan)信息非常重要。然而(er)，市場上物聯(lian)網設備(bei)(bei)(bei)的(de)(de)安(an)全(quan)(quan)(quan)級別各不(bu)相同，而(er)此(ci)前還(huan)沒(mei)有一種簡(jian)單的(de)(de)方(fang)法讓消(xiao)費者(zhe)知道哪(na)些產品是(shi)(shi)安(an)全(quan)(quan)(quan)的(de)(de)、哪(na)些是(shi)(shi)不(bu)安(an)全(quan)(quan)(quan)的(de)(de)。因此(ci)，芬(fen)蘭政府決定推(tui)出物聯(lian)網網絡安(an)全(quan)(quan)(quan)標(biao)簽(qian)工具(ju)，通(tong)過(guo)幫助消(xiao)費者(zhe)快速識(shi)別足夠安(an)全(quan)(quan)(quan)的(de)(de)設備(bei)(bei)(bei)，使購買決策變得更加容易。
另外，標簽(qian)計(ji)劃能夠幫助產(chan)品制(zhi)造廠(chang)商從競爭中脫穎而出。美(mei)國(guo)(guo)的標簽(qian)計(ji)劃參考“能源(yuan)(yuan)之星”認(ren)證，能源(yuan)(yuan)之星是美(mei)國(guo)(guo)能源(yuan)(yuan)部和美(mei)國(guo)(guo)環保(bao)署(shu)共同推(tui)行的一項政府計(ji)劃，旨在(zai)更好地(di)保(bao)護生存環境，節約能源(yuan)(yuan)。1992年(nian)由美(mei)國(guo)(guo)環保(bao)署(shu)參與，最(zui)早在(zai)電腦(nao)產(chan)品上推(tui)廣，后來納入(ru)此認(ren)證范圍的產(chan)品已達30多類，如家用電器、制(zhi)熱/制(zhi)冷設備、電子產(chan)品照明產(chan)品等。
能源(yuan)之(zhi)星計劃為(wei)自(zi)愿性，其標(biao)(biao)準(zhun)通常比美國(guo)聯邦標(biao)(biao)準(zhun)節能20-30%，但能源(yuan)之(zhi)星評級已成(cheng)為(wei)消(xiao)費者和企(qi)業購買(mai)決(jue)策的(de)一個(ge)重(zhong)要(yao)組成(cheng)部(bu)分。目前(qian)能源(yuan)之(zhi)星計劃已得(de)到全球主要(yao)經濟體的(de)認可，成(cheng)為(wei)各類產品出(chu)海(hai)的(de)“通行證(zheng)”。我國(guo)也有很(hen)多出(chu)口(kou)的(de)電器產品在(zai)出(chu)口(kou)前(qian)提交由受(shou)認可的(de)、批準(zhun)的(de)實(shi)驗室出(chu)具的(de)測試結果，獲(huo)得(de)能源(yuan)之(zhi)星認證(zheng)標(biao)(biao)簽，這個(ge)標(biao)(biao)簽成(cheng)為(wei)進入發達國(guo)家市場競爭力的(de)標(biao)(biao)志之(zhi)一。
若(ruo)是物(wu)聯(lian)網(wang)(wang)(wang)安(an)全標簽計劃能(neng)夠(gou)像能(neng)源(yuan)之星計劃一樣(yang)實施(shi)，相(xiang)信(xin)能(neng)夠(gou)快速驅動大部分消(xiao)費物(wu)聯(lian)網(wang)(wang)(wang)廠商加大對(dui)安(an)全的投入(ru)，從很大程度上(shang)提(ti)升物(wu)聯(lian)網(wang)(wang)(wang)總體安(an)全水(shui)平(ping)，保護消(xiao)費者(zhe)利(li)益。
（三）物聯網安全標簽國際統一互認趨勢明顯
消費物(wu)(wu)聯網(wang)產品(pin)(pin)面(mian)向的(de)(de)是全球市場，為了避免(mian)物(wu)(wu)聯網(wang)安(an)全標(biao)簽(qian)的(de)(de)碎片化，給產品(pin)(pin)在不同國家和(he)地區的(de)(de)應用造成影響，主要(yao)經濟體推動(dong)統(tong)一(yi)安(an)全標(biao)簽(qian)標(biao)準(zhun)和(he)互(hu)認是一(yi)個確定的(de)(de)趨勢。前文中提到，美(mei)國已(yi)和(he)歐盟簽(qian)署物(wu)(wu)聯網(wang)安(an)全標(biao)簽(qian)合作協(xie)議，若(ruo)兩方能夠順利推進，則(ze)會形(xing)成歐美(mei)物(wu)(wu)聯網(wang)安(an)全大市場，讓銷往歐美(mei)的(de)(de)物(wu)(wu)聯網(wang)產品(pin)(pin)面(mian)對著同一(yi)標(biao)準(zhun)。
過(guo)去幾年，物聯網(wang)安全(quan)標(biao)(biao)簽(qian)互(hu)認(ren)也(ye)取得(de)一些進展(zhan)。例如，此前新(xin)(xin)加(jia)坡推動和(he)芬蘭、德國(guo)(guo)進行標(biao)(biao)簽(qian)的(de)(de)互(hu)認(ren)，簽(qian)訂互(hu)認(ren)協(xie)議(yi)。根據協(xie)議(yi)，符合(he)芬蘭標(biao)(biao)簽(qian)計(ji)(ji)劃(hua)的(de)(de)消(xiao)費(fei)(fei)物聯網(wang)產品可以視為符合(he)新(xin)(xin)加(jia)坡標(biao)(biao)簽(qian)計(ji)(ji)劃(hua)的(de)(de)第3等(deng)級要求(qiu)，符合(he)德國(guo)(guo)標(biao)(biao)簽(qian)計(ji)(ji)劃(hua)消(xiao)費(fei)(fei)物聯網(wang)產品可以被(bei)認(ren)定(ding)為達到(dao)新(xin)(xin)加(jia)坡標(biao)(biao)簽(qian)計(ji)(ji)劃(hua)第2等(deng)級要求(qiu)。通過(guo)這些互(hu)認(ren)的(de)(de)協(xie)議(yi)，降(jiang)低了進入這3個(ge)國(guo)(guo)家產品的(de)(de)成本。
另一個(ge)(ge)值得(de)關(guan)注的(de)方向(xiang)是這些標(biao)簽(qian)計劃認(ren)證背后依據(ju)的(de)標(biao)準。從前文分(fen)析中(zhong)可(ke)(ke)(ke)以看(kan)出，ETSI EN 303 645這一標(biao)準得(de)到新加坡(po)、德(de)國(guo)(guo)、芬蘭、英(ying)國(guo)(guo)等廣泛采用，成為一個(ge)(ge)高度認(ren)可(ke)(ke)(ke)的(de)標(biao)準，未來可(ke)(ke)(ke)能將繼(ji)續(xu)發揮作用。
三、推出中國版物聯網安全標簽計劃
海外物聯網安全標簽計劃發展得如火如荼，中國作為全球最大的物聯網應用和產品(pin)生產國(guo)，必須(xu)盡(jin)快將物(wu)聯(lian)網安全標簽計劃(hua)提上議事(shi)日程(cheng)，支持國(guo)內(nei)龐大的物(wu)聯(lian)網產品(pin)提升(sheng)全球競爭力(li)。在這(zhe)個(ge)過程(cheng)中政(zheng)策制定者(zhe)、產業鏈各類企業、標準化組(zu)織、測試認(ren)證(zheng)機構等主體都需要對其進行深入(ru)研究并推動布局。
一是深入研究海外標簽計劃并鼓勵企業加入這一計劃。
我(wo)國(guo)是(shi)出口(kou)大國(guo)，近年來出口(kou)商品(pin)中，智能(neng)化產(chan)品(pin)成為一個亮點，出口(kou)規(gui)模不(bu)斷增(zeng)長。以家(jia)(jia)(jia)電(dian)(dian)為例，海關總署(shu)數(shu)據顯示，2023年1-10月(yue)我(wo)國(guo)累計出口(kou)家(jia)(jia)(jia)電(dian)(dian)超過30億臺，同比(bi)增(zeng)長8.4%，其中，出口(kou)空調4172萬(wan)臺，冰箱5549萬(wan)臺，洗(xi)衣(yi)機2370萬(wan)臺。這(zhe)(zhe)些出口(kou)的家(jia)(jia)(jia)電(dian)(dian)中，相當(dang)比(bi)例是(shi)智能(neng)家(jia)(jia)(jia)電(dian)(dian)產(chan)品(pin)，帶有(you)聯網功(gong)能(neng)。除了這(zhe)(zhe)些大家(jia)(jia)(jia)電(dian)(dian)之外(wai)，智能(neng)門鎖、智能(neng)掃地機器人、智能(neng)炒(chao)菜機等新(xin)型家(jia)(jia)(jia)電(dian)(dian)也是(shi)海外(wai)青睞的產(chan)品(pin)。
各(ge)類出口(kou)產(chan)品(pin)首先必須(xu)符合海外(wai)相關法律法規，并參與一些主(zhu)要認證(zheng)，提升自身產(chan)品(pin)的競(jing)爭力。物聯網(wang)安全標簽計劃重點針對的是消費物聯網(wang)產(chan)品(pin)，尤其是智能(neng)家居(ju)產(chan)品(pin)，以上出口(kou)的智能(neng)家電基本都會(hui)納入(ru)物聯網(wang)安全標簽計劃中。
物聯(lian)網(wang)安全(quan)標簽計劃不是(shi)(shi)強制性的(de)，但它依然會顯著影響到(dao)我國出(chu)口產品的(de)競(jing)爭力(li)。能(neng)源(yuan)之星計劃或許可以對(dui)其起到(dao)參考作用(yong)，過(guo)去多年，我國出(chu)口的(de)機電(dian)產品中相當一部分是(shi)(shi)能(neng)源(yuan)之星認(ren)證(zheng)范(fan)疇內的(de)產品，能(neng)源(yuan)之星認(ren)證(zheng)推動本土品牌“走出(chu)去”，也優(you)化了營商環境。
參考(kao)能(neng)源(yuan)之(zhi)星計(ji)劃(hua)，我國(guo)企業應深入研(yan)究物聯網(wang)(wang)安(an)全(quan)標簽(qian)計(ji)劃(hua)的規則，積極加(jia)(jia)入這一認證，獲(huo)得(de)出海競(jing)爭力。在物聯網(wang)(wang)安(an)全(quan)標簽(qian)計(ji)劃(hua)全(quan)球(qiu)主(zhu)要經濟(ji)體互認的趨(qu)勢下(xia)，加(jia)(jia)入標簽(qian)計(ji)劃(hua)能(neng)夠(gou)為建立全(quan)球(qiu)更多國(guo)家市場競(jing)爭力打下(xia)基礎。
二是必須意識到推出物聯網安全標簽計劃的緊迫性。
從(cong)過去幾年主(zhu)要發達經濟體的做法來(lai)看，物聯(lian)網安(an)(an)全標(biao)簽計(ji)(ji)劃已(yi)經成為一個主(zhu)流的選擇，我國需要盡快(kuai)推出中(zhong)國版(ban)的物聯(lian)網安(an)(an)全標(biao)簽計(ji)(ji)劃。
推出(chu)中國版的物(wu)聯網(wang)安全標(biao)簽計(ji)劃(hua)，需要建立完善物(wu)聯網(wang)安全標(biao)準(zhun)(zhun)(zhun)。參考(kao)歐(ou)洲通信標(biao)準(zhun)(zhun)(zhun)化(hua)(hua)協(xie)會ETSI EN 303 645標(biao)準(zhun)(zhun)(zhun)，建議國內(nei)物(wu)聯網(wang)標(biao)準(zhun)(zhun)(zhun)化(hua)(hua)組(zu)織加快制定與海外主流標(biao)準(zhun)(zhun)(zhun)相符的安全標(biao)準(zhun)(zhun)(zhun)體系，支撐標(biao)簽計(ji)劃(hua)開展。
2023年(nian)8月，由(you)中國(guo)質量認證中心、中國(guo)家(jia)用電(dian)器(qi)研(yan)究院、工(gong)(gong)業(ye)和(he)信(xin)息(xi)化(hua)部(bu)電(dian)子第(di)五研(yan)究所等(deng)單位聯(lian)(lian)(lian)合(he)起草的(de)(de)物(wu)聯(lian)(lian)(lian)網家(jia)電(dian)產品網絡安全(quan)標(biao)(biao)(biao)準和(he)認證規則正式發布，基于這一標(biao)(biao)(biao)準物(wu)聯(lian)(lian)(lian)網家(jia)電(dian)產品認證的(de)(de)相關工(gong)(gong)作(zuo)也(ye)同步展開起來(lai)。可(ke)以看出，針(zhen)對消(xiao)費物(wu)聯(lian)(lian)(lian)網安全(quan)的(de)(de)認證工(gong)(gong)作(zuo)已(yi)得到業(ye)界認可(ke)，但我們在標(biao)(biao)(biao)簽(qian)計劃方面的(de)(de)經驗還(huan)不足。
通過(guo)建立(li)物(wu)聯(lian)網安(an)(an)全(quan)標(biao)簽(qian)計(ji)劃，也(ye)是規范我國(guo)(guo)物(wu)聯(lian)網產(chan)品(pin)市場的(de)有(you)效手段。正如海外各國(guo)(guo)政府(fu)推動物(wu)聯(lian)網安(an)(an)全(quan)標(biao)簽(qian)計(ji)劃初衷(zhong)，通過(guo)物(wu)聯(lian)網安(an)(an)全(quan)標(biao)簽(qian)計(ji)劃，可以大幅度提(ti)升公眾對于物(wu)聯(lian)網產(chan)品(pin)的(de)安(an)(an)全(quan)意識，同時讓那些欠(qian)缺安(an)(an)全(quan)能力(li)、不(bu)注重安(an)(an)全(quan)方(fang)案的(de)廠商(shang)和產(chan)品(pin)逐漸被淘汰。
三是大力推動中國版物聯網安全標簽計劃與海外的互認。
物(wu)(wu)聯網安(an)(an)(an)全(quan)標(biao)簽(qian)計劃(hua)國(guo)(guo)(guo)際互認(ren)(ren)是一(yi)(yi)個大趨勢，我(wo)(wo)國(guo)(guo)(guo)在建立(li)中國(guo)(guo)(guo)版物(wu)(wu)聯網安(an)(an)(an)全(quan)標(biao)簽(qian)計劃(hua)的(de)(de)過(guo)程中，同步(bu)可(ke)以(yi)推(tui)動與主(zhu)要國(guo)(guo)(guo)家的(de)(de)深度合(he)(he)作，爭取(qu)我(wo)(wo)國(guo)(guo)(guo)的(de)(de)標(biao)簽(qian)計劃(hua)出(chu)臺后，主(zhu)要國(guo)(guo)(guo)家也(ye)可(ke)以(yi)認(ren)(ren)可(ke)，提升我(wo)(wo)國(guo)(guo)(guo)在物(wu)(wu)聯網安(an)(an)(an)全(quan)方面的(de)(de)話語權。基于這一(yi)(yi)條件(jian)，國(guo)(guo)(guo)內(nei)廠(chang)商只要符合(he)(he)中國(guo)(guo)(guo)版物(wu)(wu)聯網安(an)(an)(an)全(quan)標(biao)簽(qian)計劃(hua)要求，即可(ke)得到海(hai)外(wai)主(zhu)要國(guo)(guo)(guo)家的(de)(de)認(ren)(ren)可(ke)，大幅降低我(wo)(wo)國(guo)(guo)(guo)物(wu)(wu)聯網產品企業出(chu)海(hai)的(de)(de)成本。
同時，提前籌劃建設本(ben)土的物聯(lian)網安全標簽(qian)認證實(shi)驗室也可以提上日程。海(hai)(hai)外(wai)多個國家的標簽(qian)計劃都會委托第三方認證機(ji)構(gou)對(dui)物聯(lian)網產品進行安全檢測(ce)，對(dui)于國內(nei)出海(hai)(hai)產品，若能在本(ben)土授權機(ji)構(gou)獲得認證，將大幅降(jiang)低(di)出海(hai)(hai)成(cheng)本(ben)。
仍然以(yi)能(neng)源(yuan)之(zhi)星(xing)(xing)為例，2010年，美國(guo)(guo)環(huan)保(bao)署發布通(tong)知，要求(qiu)進行(xing)能(neng)源(yuan)之(zhi)星(xing)(xing)產品檢(jian)測(ce)的(de)實驗室(shi)需要提前獲得其(qi)授權(quan)的(de)認(ren)(ren)可(ke)機構認(ren)(ren)可(ke)，出具的(de)檢(jian)測(ce)結(jie)果(guo)才能(neng)被美方接(jie)受，這給我國(guo)(guo)電子電器、計算(suan)機、家(jia)(jia)(jia)用(yong)電器、照明等能(neng)源(yuan)之(zhi)星(xing)(xing)認(ren)(ren)證(zheng)(zheng)范圍內(nei)的(de)產品出口美國(guo)(guo)市(shi)場帶來不確定性。中(zhong)國(guo)(guo)合格評(ping)定國(guo)(guo)家(jia)(jia)(jia)認(ren)(ren)可(ke)委員會（CNAS）做了(le)大量(liang)工作，最終正式進入能(neng)源(yuan)之(zhi)星(xing)(xing)授權(quan)的(de)認(ren)(ren)可(ke)機構名(ming)錄。目前我國(guo)(guo)獲認(ren)(ren)可(ke)的(de)能(neng)源(yuan)之(zhi)星(xing)(xing)實驗室(shi)數(shu)量(liang)已達到80余(yu)家(jia)(jia)(jia)，約占(zhan)全球總數(shu)的(de)四(si)分之(zhi)一。依托認(ren)(ren)可(ke)的(de)國(guo)(guo)際互認(ren)(ren)成果(guo)，國(guo)(guo)內(nei)實驗室(shi)的(de)檢(jian)測(ce)數(shu)據直接(jie)被美方承認(ren)(ren)，不僅大大縮(suo)短(duan)了(le)產品備案周期，還大幅節約企業(ye)尤其(qi)是(shi)中(zhong)小微企業(ye)的(de)測(ce)試驗證(zheng)(zheng)成本(ben)。
借鑒這一(yi)經驗，國內(nei)相關機構可以提前進行籌(chou)劃，了解物聯網(wang)安全(quan)認(ren)證的相關規范，建設本土認(ren)證實驗室，助(zhu)力國內(nei)物聯網(wang)企(qi)(qi)業(ye)尤其是中小企(qi)(qi)業(ye)產品出口(kou)。
市(shi)場研(yan)究(jiu)機構Statista研(yan)究(jiu)報告顯示，到2027年全球預計有6.72億家庭會使用智能(neng)家居設備，市(shi)場規模的擴(kuo)大也帶來安全隱(yin)患(huan)將更為嚴峻(jun)。物(wu)聯網安全標簽(qian)計劃或許(xu)是(shi)當前(qian)和以后階段(duan)最為有效的市(shi)場化手(shou)段(duan)，來應對(dui)這(zhe)一安全隱(yin)患(huan)，屆時安全能(neng)力將成為物(wu)聯網企業的一個顯性競爭力表(biao)現(xian)。
