網(wǎng)絡(luò)安全標(biāo)準(zhǔn)對(duì)物聯(lián)網(wǎng)系統(tǒng)安全保障作用淺析

王慶升 尹秀蘭 胡彬 車長(zhǎng)明/文

物聯(lián)網(wǎng)目的是要實(shí)現(xiàn)“萬(wàn)物互聯(lián)”，將實(shí)體設(shè)備接入虛擬的信息世界，實(shí)現(xiàn)信息數(shù)據(jù)的融合和處理，因此安全的物聯(lián)網(wǎng)才能抵御各種錯(cuò)綜復(fù)雜的安全問(wèn)題和風(fēng)險(xiǎn)。2021年有關(guān)部門發(fā)布了《國(guó)家物聯(lián)網(wǎng)新型基礎(chǔ)設(shè)施建設(shè)三年行動(dòng)計(jì)劃（2021-2023年）》。標(biāo)準(zhǔn)作為公認(rèn)的為產(chǎn)品、技術(shù)及產(chǎn)業(yè)發(fā)展提供規(guī)范和要求的技術(shù)成果，在網(wǎng)絡(luò)安全保障工作中同樣發(fā)揮著重要作用。網(wǎng)絡(luò)安全標(biāo)準(zhǔn)是對(duì)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》等法律法規(guī)要求具體化和法律要求落地的具體支撐，對(duì)于產(chǎn)品、行業(yè)、產(chǎn)業(yè)具有重要的引領(lǐng)、規(guī)范、保障作用?！缎袆?dòng)計(jì)劃》同時(shí)提出，到2023 年底，要“構(gòu)建一套健全完善的物聯(lián)網(wǎng)標(biāo)準(zhǔn)和安全保障體系”。在我國(guó)物聯(lián)網(wǎng)技術(shù)提升、產(chǎn)業(yè)發(fā)展、對(duì)外交流等方面，網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化將發(fā)揮重要保障和支撐作用。

物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)化工作進(jìn)展

物聯(lián)網(wǎng)發(fā)展離不開(kāi)標(biāo)準(zhǔn)，特別是信息技術(shù)產(chǎn)業(yè)規(guī)模的不斷擴(kuò)大，物聯(lián)網(wǎng)技術(shù)飛速發(fā)展，應(yīng)用領(lǐng)域已擴(kuò)展到各行各業(yè)，成為重要的網(wǎng)絡(luò)資源。物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)化作為促進(jìn)產(chǎn)業(yè)發(fā)展、保障行業(yè)應(yīng)用安全可控的重要手段，其積極作用已逐步成為行業(yè)共識(shí)。因此，國(guó)內(nèi)外標(biāo)準(zhǔn)組織紛紛開(kāi)展物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)化工作。ISO/IEC 信息技術(shù)委員會(huì)（JTC1）下多個(gè)分技術(shù)委員會(huì)，諸如（安全技術(shù)分委員會(huì)）SC27、（物聯(lián)網(wǎng)及相關(guān)技術(shù)分委員會(huì)）SC41，以及（國(guó)際電信聯(lián)盟電信標(biāo)準(zhǔn)化組織）ITU-T、（歐洲電信標(biāo)準(zhǔn)化協(xié)會(huì)）ETSI，持續(xù)開(kāi)展物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)化工作，制定、發(fā)布了大量物聯(lián)網(wǎng)相關(guān)標(biāo)準(zhǔn)，標(biāo)準(zhǔn)內(nèi)容主要聚焦于安全體系框架、網(wǎng)絡(luò)安全、隱私保護(hù)、設(shè)備安全內(nèi)容。ISO/IEC JTC1/SC27 2018 年發(fā)布了ISO/IEC 30141：2018《物聯(lián)網(wǎng) 參考體系架構(gòu)》及ISO/IEC 29192《信息安全 輕量密碼學(xué)》等標(biāo)準(zhǔn)。2022 年ISO/IEC 正式發(fā)布了ISO/IEC 27400:2022《網(wǎng)絡(luò)安全物聯(lián)網(wǎng)安全和隱私指南》，對(duì)物聯(lián)網(wǎng)相關(guān)風(fēng)險(xiǎn)、原則以及安全和隱私控制提供了指南，將隱私控制和個(gè)人信息保護(hù)要求擴(kuò)展到物聯(lián)網(wǎng)領(lǐng)域中。ITU-T發(fā)布了ITU-T X.1361《基于網(wǎng)關(guān)模型的物聯(lián)網(wǎng)安全框架》和ITU-T X.1362《物聯(lián)網(wǎng)環(huán)境的簡(jiǎn)單加密規(guī)程》等標(biāo)準(zhǔn)。另外，國(guó)外一些產(chǎn)業(yè)聯(lián)盟也積極開(kāi)展物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)化工作，5G 汽車聯(lián)盟（5GAA）、工業(yè)互聯(lián)網(wǎng)聯(lián)盟（IIC）、全球移動(dòng)通信系統(tǒng)協(xié)會(huì)（GSMA）也在各自業(yè)務(wù)領(lǐng)域中開(kāi)展物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)化研究。

我國(guó)在物聯(lián)網(wǎng)發(fā)展歷程中，持續(xù)關(guān)注物聯(lián)網(wǎng)安全保障及能力建設(shè)，并作為物聯(lián)網(wǎng)發(fā)展規(guī)劃的重要內(nèi)容。尤其是工業(yè)互聯(lián)網(wǎng)、車聯(lián)網(wǎng)、智能家居等產(chǎn)業(yè)快速發(fā)展，加快研制應(yīng)用物聯(lián)網(wǎng)安全基礎(chǔ)標(biāo)準(zhǔn)和關(guān)鍵技術(shù)標(biāo)準(zhǔn)需求愈發(fā)迫切。截至2022年7月，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)（TC260）已發(fā)布308項(xiàng)信息安全國(guó)家標(biāo)準(zhǔn)，其中，部分通用的安全標(biāo)準(zhǔn)如風(fēng)險(xiǎn)預(yù)警、風(fēng)險(xiǎn)處理、漏洞管理、密碼算法、密鑰管理、PKI、通信協(xié)議（IPSec、SSL 等）、安全評(píng)估、等級(jí)保護(hù)相關(guān)的安全標(biāo)準(zhǔn)同樣適用于廣義的物聯(lián)網(wǎng)安全。

除通用的安全標(biāo)準(zhǔn)以外，在物聯(lián)網(wǎng)安全領(lǐng)域，我國(guó)已發(fā)布了部分物聯(lián)網(wǎng)安全參考模型、物聯(lián)網(wǎng)感知層網(wǎng)關(guān)安全、物聯(lián)網(wǎng)數(shù)據(jù)傳輸安全、物聯(lián)網(wǎng)感知終端應(yīng)用安全要求等方面的國(guó)家標(biāo)準(zhǔn)，并已開(kāi)始在工業(yè)互聯(lián)網(wǎng)、車聯(lián)網(wǎng)、智能家居等領(lǐng)域開(kāi)展安全標(biāo)準(zhǔn)的研究工作。

中國(guó)通信標(biāo)準(zhǔn)化協(xié)會(huì)也在相關(guān)物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)化領(lǐng)域開(kāi)展大量研究，發(fā)布了YD/T 3339、YDB 171 等多個(gè)物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)。2019 年10 月，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)通信安全標(biāo)準(zhǔn)工作組在組織行業(yè)進(jìn)行物聯(lián)網(wǎng)安全技術(shù)標(biāo)準(zhǔn)化工作基礎(chǔ)上，發(fā)布了《物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)化白皮書（2019 版）》，給出了物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)體系框架，如圖1 所示。其中，TC260各類標(biāo)準(zhǔn)進(jìn)展見(jiàn)表1（見(jiàn)下頁(yè)）。

表1

圖1 物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)體系框架

結(jié)合上述物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)進(jìn)展，從目前產(chǎn)業(yè)發(fā)展來(lái)看，我國(guó)現(xiàn)有物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)還未能滿足物聯(lián)網(wǎng)全方位安全保障的需求，物聯(lián)網(wǎng)基礎(chǔ)安全標(biāo)準(zhǔn)體系需進(jìn)一步建立和完善，需要重點(diǎn)推進(jìn)基礎(chǔ)通用、關(guān)鍵技術(shù)、試驗(yàn)方法技術(shù)研究和標(biāo)準(zhǔn)制定工作，支撐物聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展。2021年9月，工信部印發(fā)了《物聯(lián)網(wǎng)基礎(chǔ)安全標(biāo)準(zhǔn)體系建設(shè)指南（2021版）》，進(jìn)一步發(fā)揮標(biāo)準(zhǔn)對(duì)物聯(lián)網(wǎng)基礎(chǔ)安全的規(guī)范和保障作用，提出了到2025年要提升標(biāo)準(zhǔn)在細(xì)分行業(yè)及領(lǐng)域的覆蓋程度，提高跨行業(yè)物聯(lián)網(wǎng)應(yīng)用安全水平的要求。

網(wǎng)絡(luò)安全標(biāo)準(zhǔn)在物聯(lián)網(wǎng)系統(tǒng)中的保障作用

現(xiàn)階段，在物聯(lián)網(wǎng)基礎(chǔ)安全標(biāo)準(zhǔn)體系逐步建立完善過(guò)程中，在物聯(lián)網(wǎng)系統(tǒng)規(guī)劃、建設(shè)、運(yùn)行時(shí)，除物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)外，充分利用現(xiàn)行的國(guó)家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)中部分通用的安全標(biāo)準(zhǔn)，應(yīng)用網(wǎng)絡(luò)安全等級(jí)化保護(hù)、信息安全管理體系、個(gè)人信息保護(hù)等成熟的國(guó)家標(biāo)準(zhǔn)，指導(dǎo)物聯(lián)網(wǎng)系統(tǒng)，特別是網(wǎng)絡(luò)安全等級(jí)化保護(hù)范圍內(nèi)的物聯(lián)網(wǎng)系統(tǒng)的規(guī)劃設(shè)計(jì)、建設(shè)實(shí)施、運(yùn)行管理、系統(tǒng)終止等環(huán)節(jié)的安全保障，提高物聯(lián)網(wǎng)安全管理及個(gè)人信息保護(hù)水平，同樣具有重要作用。

在GB/T 37044-2018《信息安全技術(shù)物聯(lián)網(wǎng)安全參考模型及通用要求》中定義了物聯(lián)網(wǎng)安全參考模型，如圖2 所示。該模型包括物聯(lián)網(wǎng)系統(tǒng)參考安全分區(qū)、系統(tǒng)生存周期、基本安全防護(hù)措施三個(gè)維度。各維度的不同階段或不同層面的劃分，可適用部分上述三個(gè)領(lǐng)域安全標(biāo)準(zhǔn)的相關(guān)要求。

圖2 物聯(lián)網(wǎng)安全參考模型

網(wǎng)絡(luò)安全等級(jí)保護(hù)系列標(biāo)準(zhǔn)

《中華人民共和國(guó)網(wǎng)絡(luò)安全法》中明確我國(guó)實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求履行安全保護(hù)義務(wù)。我國(guó)網(wǎng)絡(luò)安全等級(jí)保護(hù)系列標(biāo)準(zhǔn)得到不斷完善，等級(jí)保護(hù)2.0 已將物聯(lián)網(wǎng)納入保護(hù)范圍。網(wǎng)絡(luò)安全等級(jí)保護(hù)工作的開(kāi)展所依據(jù)的標(biāo)準(zhǔn)主要有GB/T 25058-2019《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》、GB/T 22240-2020《網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》GB/T 22239-2019《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》GB/T 28448-2019《網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》等。納入國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)范圍的物聯(lián)網(wǎng)系統(tǒng)，應(yīng)按照等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)要求進(jìn)行等保定級(jí)、備案工作，系統(tǒng)應(yīng)在滿足安全通用要求的基礎(chǔ)上，滿足對(duì)應(yīng)級(jí)別的物聯(lián)網(wǎng)安全擴(kuò)展要求。對(duì)物聯(lián)網(wǎng)等級(jí)保護(hù)定級(jí)時(shí)，應(yīng)將感知、網(wǎng)絡(luò)傳輸和處理應(yīng)用等特征要素作為一個(gè)整體對(duì)象定級(jí)，各要素不應(yīng)單獨(dú)定級(jí)。GB/T 22239-2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》給出了從一至五級(jí)的等級(jí)化物聯(lián)網(wǎng)安全擴(kuò)展要求，包括安全物理環(huán)境、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全運(yùn)維管理四個(gè)方面，重點(diǎn)針對(duì)物聯(lián)網(wǎng)系統(tǒng)末端的感知節(jié)點(diǎn)物理環(huán)境保護(hù)、感知節(jié)點(diǎn)及網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備安全、數(shù)據(jù)重放及數(shù)據(jù)融合、以及感知節(jié)點(diǎn)的巡檢、維護(hù)等方面提出了安全要求。在物聯(lián)網(wǎng)系統(tǒng)建設(shè)過(guò)程中，在感知節(jié)點(diǎn)部署地點(diǎn)選擇、附屬設(shè)施配置、訪問(wèn)控制策略、數(shù)據(jù)處理及運(yùn)行管理制度的制定等方面均可按照標(biāo)準(zhǔn)中技術(shù)和管理要求進(jìn)行設(shè)計(jì)和落實(shí)。

信息安全管理體系標(biāo)準(zhǔn)

ISO27000 系列標(biāo)準(zhǔn)作為國(guó)際通行的信息安全管理要求被各國(guó)廣泛采用，我國(guó)將ISO27001 標(biāo)準(zhǔn)等同采用，發(fā)布了GB/T 22080-2016《信息技術(shù)安全技術(shù)信息安全管理體系要求》國(guó)家標(biāo)準(zhǔn)，并作為我國(guó)信息安全管理體系認(rèn)證審核的依據(jù)，為政府部門、企事業(yè)單位提高信息安全管理水平提供了有力支撐。信息安全管理體系標(biāo)準(zhǔn)中的各條款及要求，通用于各種業(yè)務(wù)類型、規(guī)模的組織，物聯(lián)網(wǎng)系統(tǒng)的開(kāi)發(fā)、運(yùn)營(yíng)、維護(hù)等各類組織同樣適用本標(biāo)準(zhǔn)。信息安全管理體系與其他管理體系相同，通過(guò)PDCA 循環(huán)不斷提升管理水平，對(duì)信息安全風(fēng)險(xiǎn)管理進(jìn)行管控，將風(fēng)險(xiǎn)控制在組織可接受范圍內(nèi)。基于風(fēng)險(xiǎn)管理方法保障物聯(lián)網(wǎng)安全，是對(duì)物聯(lián)網(wǎng)安全等級(jí)化保護(hù)方式的有益補(bǔ)充。該標(biāo)準(zhǔn)對(duì)組織日常管理中與信息安全相關(guān)要求，諸如內(nèi)外部環(huán)境、領(lǐng)導(dǎo)作用、角色及權(quán)責(zé)、資源支撐、人員意識(shí)及能力提出了要求，標(biāo)準(zhǔn)中提供了規(guī)范性附錄，定義了信息安全管理的14 個(gè)控制域、35 個(gè)控制目標(biāo)以及114 項(xiàng)控制措施，涵蓋了信息安全組織、資產(chǎn)管理、訪問(wèn)控制等方面，分別可對(duì)物聯(lián)網(wǎng)安全的策略規(guī)則、誰(shuí)來(lái)做、保護(hù)對(duì)象、事前管理、事后管理等方面的管理提供指引，如圖3所示。

圖3 信息安全管理體系控制措施架構(gòu)

以標(biāo)準(zhǔn)附錄“A.11 物理和環(huán)境安全”為例，在物聯(lián)網(wǎng)系統(tǒng)建設(shè)及運(yùn)維過(guò)程中，結(jié)合物聯(lián)網(wǎng)系統(tǒng)開(kāi)展風(fēng)險(xiǎn)評(píng)估，對(duì)不可接受的物理和環(huán)境風(fēng)險(xiǎn)，加強(qiáng)感知設(shè)備及重要網(wǎng)關(guān)節(jié)點(diǎn)的安置和保護(hù)、部署不間斷電源、空調(diào)等支持性設(shè)施、針對(duì)各類安全風(fēng)險(xiǎn)采取相應(yīng)安全保護(hù)手段，避免感知層設(shè)備保密性、完整性及可用性受到損害，提高業(yè)務(wù)連續(xù)性。在系統(tǒng)日常運(yùn)維過(guò)程中，強(qiáng)化對(duì)系統(tǒng)巡檢、分析、報(bào)告等方面的管理要求，明確管理責(zé)任，編制節(jié)點(diǎn)、設(shè)備的巡檢、分析及報(bào)告模板，及時(shí)對(duì)結(jié)果進(jìn)行記錄和報(bào)告。通過(guò)管理手段的系統(tǒng)化、規(guī)范化、文件化保障物聯(lián)網(wǎng)系統(tǒng)的安全。

個(gè)人信息安全規(guī)范標(biāo)準(zhǔn)

隨著大眾個(gè)人信息保護(hù)意識(shí)不斷提高，《中華人民共和國(guó)個(gè)人信息保護(hù)法》正式頒布實(shí)施，個(gè)人信息保護(hù)相關(guān)國(guó)家標(biāo)準(zhǔn)也及時(shí)跟進(jìn)，發(fā)布實(shí)施了GB/T 35273 -2020《信息安全技術(shù)個(gè)人信息安全規(guī)范》國(guó)家標(biāo)準(zhǔn)，為不同性質(zhì)的組織提高個(gè)人信息保護(hù)能力提供了有力保障。目前，工信部、中央網(wǎng)信辦等多部委聯(lián)合開(kāi)展的“App違法違規(guī)收集使用個(gè)人信息專項(xiàng)治理”行動(dòng)持續(xù)開(kāi)展，并取得豐碩成果，有效整治了個(gè)人信息收集及使用過(guò)程中的違規(guī)亂象。專項(xiàng)行動(dòng)除按照相關(guān)法律法規(guī)相關(guān)要求開(kāi)展治理外，也將GB/T 35273《信息安全技術(shù)個(gè)人信息安全規(guī)范》作為重要支撐性技術(shù)要求。隨著物聯(lián)網(wǎng)應(yīng)用領(lǐng)域的不斷擴(kuò)展，物聯(lián)網(wǎng)所涉及個(gè)人信息數(shù)據(jù)量也急劇增加，個(gè)人信息保護(hù)的問(wèn)題逐步顯現(xiàn)出來(lái)。在物聯(lián)網(wǎng)各類感知節(jié)點(diǎn)使用過(guò)程中，對(duì)于個(gè)人信息收集的安全性保障，以及物聯(lián)網(wǎng)運(yùn)營(yíng)者對(duì)于個(gè)人信息收集范圍的界定及用途，個(gè)人信息的存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)、刪除等過(guò)程，在符合相關(guān)法律法規(guī)要求的同時(shí)，應(yīng)按照GB/T 35273《信息安全技術(shù)個(gè)人信息安全規(guī)范》要求進(jìn)行規(guī)范。特別是具有APP 端的物聯(lián)網(wǎng)系統(tǒng)，涉及個(gè)人信息收集的應(yīng)按照合法、正當(dāng)、必要的原則，滿足標(biāo)準(zhǔn)中關(guān)于個(gè)人信息收集的合法性、最小必要、自主選擇、授權(quán)同意等要求，制定符合標(biāo)準(zhǔn)要求的隱私政策，明確告知用戶個(gè)人信息的收集范圍、用途等內(nèi)容，保障個(gè)人信息主體正當(dāng)權(quán)利，建立個(gè)人信息安全事件處置流程和要求，制定涵蓋個(gè)人信息數(shù)據(jù)聲明周期的管理制度，保障個(gè)人信息安全。

標(biāo)準(zhǔn)是現(xiàn)代社會(huì)技術(shù)和成果的總結(jié)和歸納，是推動(dòng)產(chǎn)業(yè)發(fā)展的重要抓手，也是經(jīng)濟(jì)社會(huì)高質(zhì)量發(fā)展的有力支撐。網(wǎng)絡(luò)安全標(biāo)準(zhǔn)作為支撐法律法規(guī)，是提供技術(shù)支持和方向引導(dǎo)的重要成果，在物聯(lián)網(wǎng)安全保障過(guò)程中，具有重要作用。在物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)尚未制定或完善的情況下，利用傳統(tǒng)網(wǎng)絡(luò)中安全保障的最佳實(shí)踐及標(biāo)準(zhǔn)要求提升物聯(lián)網(wǎng)安全管理和技術(shù)水平，保障物聯(lián)網(wǎng)系統(tǒng)安全，不失為解決物聯(lián)網(wǎng)安全問(wèn)題的有效方法。