物聯網敏感信息保護研究

葛雨明 中國信息通信研究院技術與標準研究所博士

關欣 中國信息通信研究院技術與標準研究所工程師

李璐 中國信息通信研究院技術與標準研究所助理工程師

物聯網敏感信息保護研究

葛雨明 中國信息通信研究院技術與標準研究所博士

關欣 中國信息通信研究院技術與標準研究所工程師

李璐 中國信息通信研究院技術與標準研究所助理工程師

對物聯網敏感信息的內涵和界定進行了分析，從政策、法律法規和技術多個角度梳理了物聯網敏感信息的保護需求和現狀，對我國在開展物聯網敏感信息保護過程當中仍然面臨的問題進行了總結，并提出了我國進一步推進物聯網敏感信息保護的建議意見。

物聯網 敏感信息 保護研究

1 引言

隨著物聯網技術的規模化應用和普及，物聯網當中個人、企業和行業用戶的敏感信息越來越多地被收集、使用和存儲，物聯網敏感信息保護工作受到政府、企業和個人等各界的高度關注，保護需求日益明顯。

政府政務、公共服務數據和行業應用推進信息開放共享已經成為重要趨勢。2013年5月奧巴馬簽署政務數據公開法令，歐洲各國政府也將向大眾開放公共數據，我國積極出臺“國務院關于促進信息消費擴大內需的若干意見”（國發〔2013〕32號）、《促進大數據發展行動綱要》（國發〔2015〕50號）等相關政策文件，積極促進數據資源的開放共享。

物聯網與傳統領域的融合創新將進一步加速。物聯網的典型應用領域車聯網，將大幅提升汽車安全和交通安全，促進綠色發展，帶動信息消費，對汽車、信息通信和交通運輸等多個行業的生產方式和產業分工產生深遠影響。再如智能電網、智慧醫療等其他物聯網典型應用領域，隨著智能檢測終端、可穿戴設備、智能醫療器械的部署和使用，將會對電網、醫療等傳統領域產生重大的影響和促進。

為了更好地規范物聯網行業發展，也使得個人、企業、行業等用戶可以放心地將信息進行開放共享，需要完善的物聯網敏感信息保護技術和解決方案。然而，當前也出現了相應與物聯網敏感信息泄露相關的事實。2013年5月3日，谷歌眼鏡被指存在重大安全隱患，黑客可以通過電腦控制谷歌眼鏡，從而獲得用戶的所見所聞及用戶的密碼等敏感信息；2013年8月8日，360安全專家指出，黑客可以利用遠程醫療設備的無線或有線通信協議中存在的安全設計缺陷及硬件設備安全漏洞，通過遠程控制心臟起搏器等方式殺人于無形。

本文將對物聯網敏感信息的內涵和范圍進行界定，在此基礎上分析物聯網敏感信息的保護需求；其次，從事前、事中、事后出發，對物聯網敏感信息保護涉及的問題、技術逐步展開深入研究，探索可行的解決方案；最后，對我國在推進物聯網敏感信息保護過程當中仍然面臨的問題進行了總結，并提出了我國進一步推進物聯網敏感信息保護的建議意見。

2 物聯網敏感信息

2.1 物聯網敏感信息界定

如圖1所示，物聯網敏感信息的范圍更多側重于借助物聯網技術采集得到的個人、企業、行業和公共服務等各類信息。單獨對于物聯網個人敏感信息，區別于電信網、互聯網個人信息，也不僅僅包括人的身份信息，還包括社會服務、行業應用中獲得的信息，以及與人相關“物”（環境、食品、交通等）作為采集對象存在的信息。物聯網敏感信息保護要求綜合考慮物聯網敏感信息的機密性、完整性、可用性和匿名性。

2.2 物聯網敏感信息特征

物聯網敏感信息具有共享性、敏感性、系統性和真實性4個顯著的特征。

（1）共享性

是指物聯網通過“物—物”、“物—人”、“物—云”互聯，將促進行業、企業和個人信息的共享。

圖1 物聯網敏感信息界定

（2）敏感性

是指物聯網所共享的數據往往與社會生活和生產密切相關，很多信息都是比較敏感的。例如，人們的生活習慣和喜好；智能家居、智能電網等社會生活信息；智慧醫療、體域網收集得到的人的個體特征和醫療信息；工業物聯網、農業物聯網的工農業生產信息、車聯網的自動控制信息等。

（3）系統性

是指物聯網很多數據具有很強的邏輯關系，例如智能電網的智能電表，可面向社會實現電能調度、服務管控，也可面向用戶實現階梯供電，能夠反映出一個地區或者一戶住宅的電能使用情況和特殊電器的使用情況。

（4）真實性

是指物聯網中的很多信息是通過物理設備采集得到的，能夠反映社會、生活、生產的真實情況。

2.3 物聯網敏感信息分類

從不同的角度看物聯網敏感信息分類，具有不同的劃分方式。按物聯網體系架構進行劃分，可以方便在不同環節對物聯網敏感信息進行保護；按照物聯網技術在不同行業的應用進行劃分，可以體現出物聯網敏感信息保護的不同需求；此外，考慮相同物聯網應用可同時服務于不同的對象，也可以按照服務對象對物聯網敏感信息進行劃分。

（1）按照物聯網體系架構進行劃分

物聯網敏感信息包括應用層敏感信息、傳輸層敏感信息和感知層敏感信息。

（2）按照物聯網應用領域進行劃分

物聯網敏感信息包括：

●智能電網敏感信息，例如生產生活用電量信息以及電能供應商的電價信息。

●車聯網敏感信息，例如車輛狀況及位置信息等。

●智慧醫療敏感信息，例如人體健康信息、就醫信息等。

●工業物聯網，例如工業生產敏感信息。

●農業物聯網，例如農產品種植、生產、運輸、銷售敏感信息等。

（3）按照物聯網提供服務的對象進行劃分

物聯網敏感信息包括：

●公共服務敏感信息，例如政府的公共視頻采集等信息。

●企業敏感信息，例如企業內部服務、工農業生產和溯源等信息。

●用戶敏感信息，個人用戶在物聯網應用中的相關信息，例如個人醫療等信息。

3 物聯網敏感信息保護現狀和發展趨勢

由于物聯網概念提出時間較短，無論從政策、法律法規和產業發展，還是從技術、標準和行業應用來看，物聯網敏感信息保護都處于剛剛起步階段。

3.1 物聯網敏感信息保護政策與措施

現階段還沒有專門針對物聯網敏感信息保護和安全的法律法規。物聯網敏感信息保護與信息安全關系密切，在物聯網敏感信息保護和安全法律法規出臺之前，世界各國選擇性地使用部分信息安全法律法規來規范物聯網發展，并進一步加快物聯網安全、信息保護法律法規的制定。

●美國

美國逐步重視物聯網發展對國家安全及產業安全的潛在風險，采取合理可行的措施進行策略調整，強化國家關鍵性基礎設施的安全，并推動制訂相關的法律法規。2008年，美國國防部發布第5200.01號“國防部信息安全計劃和對敏感隔離信息的保護”指令，重新修訂了對所有密級信息、特別訪問程序、敏感隔離信息和受控非保密信息的保護。2014年2月，總統奧巴馬宣布啟動美國《網絡安全框架》。

●歐盟

歐盟通過立法確定保證敏感信息保護的各項基本原則和具體的法律規定，并協調歐盟成員國之間的敏感信息保護措施。歐盟在2014年底通過歐洲數據保護改革方案。

●日本

日本通過政府立法、行業自律和輿論監督等多種方式推進敏感信息保護，并培養公眾、企業的敏感信息保護意識。2005年4月，《個人信息保護法》開始生效，這是日本保護用戶信息安全的根本法律。日本2013年6月出臺《網絡安全戰略》，明確提出“網絡安全立國”。

●國內

我國也是意識到物聯網敏感安全和敏感信息保護的重要性，強調物聯網發展需要敏感信息保護體系的完善。國家在制定《物聯網“十二五”發展規劃》和《物聯網發展專項行動計劃》過程中，明確了物聯網敏感信息保護的重要地位。《物聯網“十二五”發展規劃》，建立信息安全保障體系，做好物聯網信息安全頂層設計，加強物聯網信息安全技術的研究開發，有效保障信息采集、傳輸、處理等各個環節的安全可靠。加強監督管理，做好物聯網重大項目的安全評測和風險評估，構建有效的預警和管理機制，大力提升信息安全保障能力。《物聯網發展專項行動計劃》，在安全保障專項行動計劃中，建設物聯網信息安全技術檢測評估平臺；在法律法規保障專項行動計劃中，提出制定信息保護辦法和相關法律，研究制定物聯網個人信息保護辦法，組織開展物聯網數據安全保護法律法規研究。

3.2 物聯網敏感信息保護技術體系

物聯網敏感信息保護的基礎是物聯網信息安全，在保證信息機密性、完整性、可用性基礎上，針對敏感信息進行防泄露、匿名性處理，保證敏感信息的隱私，如增加噪聲、去除敏感信息的用戶特征等。國內外信息安全領域的成熟標準，可為物聯網敏感信息保護和安全的標準制定提供技術支撐和經驗借鑒。

●物聯網敏感信息保護應用層技術

包括數字證書、動態認證、數據加密、密碼技術，敏感信息匿名處理技術（數據匿名和混淆等）。

●物聯網敏感信息保護網絡層技術

包括網絡移動接入認證、跨網認證技術，數據源認證、敏感信息傳輸加密、數據完整性技術、DDoS攻擊檢測技術。

●物聯網敏感信息保護感知層技術

包括節點訪問控制技術、防火墻、病毒防治、安全事件識別技術、終端數據加密技術、PKI公鑰基礎設施等。

在匿名處理和防泄露技術方面，實時敏感數據動態屏蔽技術就是典型的防泄露處理技術。實時敏感數據動態屏蔽技術采用最小化原則對敏感數據進行處理，包括最小權限和最小揭露。實時敏感數據動態屏蔽技術可以根據用戶角色和信息系統，實時動態屏蔽保護個人標識信息/敏感信息，讓企業單位可以在不影響特權使用者其正常業務工作下，避免該使用者存取到不必要的敏感數據。實時敏感數據動態屏蔽技術可以確保使用者僅能看到其工作角色應該看到的數據，而不會看到不必要的敏感數據。此外，主流的防泄露技術還包括數據加密軟件技術、安全隔離技術和泄露防護技術等。

4 物聯網敏感信息保護問題分析及建議

結合當前物聯網敏感信息保護的政策、產業和技術現狀，本文從政策、法律法規、技術和應用多個角度，分析總結了我國在開展物聯網敏感信息保護過程當中仍然面臨的問題，并提出了我國進一步推進物聯網敏感信息保護的建議意見。

4.1 物聯網敏感信息保護問題分析

我國物聯網敏感信息保護仍然處于全面起步階段，在政策、法律法規、技術和行業應用多個方面都仍存在一定程度的問題。

（1）政策和法律法規的問題

我國缺少敏感信息（數據）保護方面的配套法律法規，具體到物聯網領域，對于通過傳感、感知設備采集得到的信息內容的敏感程度、開放程度也仍然需要進一步的界定。此外，我國缺少物聯網敏感信息保護的頂層設計，相關配套管理政策還不清晰，對應的監督管理部門尚不明確。

（2）技術和標準化的問題

物聯網敏感信息保護核心技術攻關推動力度不大，敏感信息保護不僅要考慮信息的機密性、完整性和可用性，還要在已有信息安全技術的基礎上考慮信息的隱私性，采用對應的匿名化處理技術；此外，缺少物聯網敏感信息保護的標準體系設計，物聯網敏感信息保護的核心技術標準缺失。

（3）物聯網典型應用和行業的問題

物聯網應用和行業企業對敏感信息重要性認識不足，在推進物聯網典型應用領域和行業發展中，缺乏對敏感信息保護重要程度的認識，缺少對敏感信息保護需求、保護場景和泄露風險的研究。

4.2 物聯網敏感信息保護開展建議

物聯網敏感信息保護工作的開展也要從政策、法律法規、技術標準等多個方面聯合入手，并且形成政府和企業聯合的長效工作機制。

（1）政策和法律法規方面

我國政府應積極推動敏感信息（數據）保護相關法律法規、政策的制定。此外，政府和企業應加強聯合，推進物聯網敏感信息保護頂層設計和規劃布局。

（2）技術和標準化方面

我國應積極加強物聯網敏感信息保護標準體系建設，細化技術標準和檢測手段。進一步研究物聯網敏感信息保護需求、風險分析，明確信息保護的重要性。

（3）物聯網典型應用和行業方面

政府和企業應聯合推動行業自律體系建設，探索長期有效的監管措施。企業應進一步提高企業敏感信息保護重視程度，推動行業規章制度建立，并盡快落實開展敏感信息保護需求分析、風險評估和保護方法等研究。此外，政府、企業應聯合加強公眾在物聯網典型應用中的敏感信息保護意識。

羅德與施瓦茨參加2015第14屆國際電磁兼容暨微波展覽會

近日，2015第14屆國際電磁兼容暨微波展覽會在上海舉行。作為國內外電磁兼容行業公認的專業性電磁兼容盛會，自舉辦以來已在業界受到廣泛好評。羅德與施瓦茨公司（R&S公司）是全球最大的電磁兼容測試設備與系統的供應商，也是歐洲最大的電子儀器的供應商，憑借80多年的射頻微波行業與40多年電磁兼容行業的技術創新和經驗積累，以全方位的解決方案參加了此次展會，在本次展覽會上全面展示其領先的電磁兼容測試產品、系統及技術。

在展會期間，羅德與施瓦茨公司還參加了第14屆電磁兼容論壇，介紹了羅德與施瓦茨公司最新的EMI測試接收機技術以及最新的高功率信號放大器技術。

GJB 151B-2013研討會圓滿結束

近日，由《安全與電磁兼容》編輯部、羅德與施瓦茨公司共同主辦的“GJB151B-2013研討會”在京成功舉行，來自軍隊、航天、航空、兵器、船舶、工業和信息化部、第三方檢測機構、高校以及民企等行業的60個單位、近150人參加了本次會議。

本次研討會的圓滿舉辦，深入討論了GJB151B-2013在實施過程中的細節，詳細介紹了對于設備的系數應用、選用不當、參數設置、接收機、電纜和接頭、測試布置和測試等有關的問題，同時提出不能生搬硬套標準條款，應基于對產品原理的理解制定合理的測試方案，并結合實際案例說明了如何具體實施。此次研討會對于國內各個執行GJB151B-2013的機構與單位都具有很寶貴的指導和借鑒的作用。

Sensitive Information Protection of Internet of Things

In this paper,we first analyse the content and definition of sensitive information of IoT.Then we talk about the requirements and current stage of sensitive information protection of IoT,from the views of policy,laws,requlations and technology.Finally,we summarize the difficulties for sensitive information protection of IoT in China,and propose the suggestions.

IoT,sensitive information protection,research

2015-09-18）