近日，國(guó)家互聯(lián)網(wǎng)信息辦公室等三部門聯(lián)合印發(fā)《網(wǎng)絡(luò)安全標(biāo)識(shí)管理辦法》（以下簡(jiǎn)稱“辦法”），該辦法將于7月1日起實(shí)施。過(guò)去幾年，美國(guó)、歐盟、日本、新加坡等國(guó)家和地區(qū)大力推進(jìn)物聯(lián)網(wǎng)安全標(biāo)簽體系，業(yè)界也曾呼吁應(yīng)盡快建立起中國(guó)版的物聯(lián)網(wǎng)安全標(biāo)簽體系。如今《辦法》的發(fā)布，雖然并非專門指向物聯(lián)網(wǎng)產(chǎn)品，但物聯(lián)網(wǎng)產(chǎn)品占據(jù)具有互聯(lián)網(wǎng)聯(lián)網(wǎng)功能產(chǎn)品大部分比例，因此在一定程度上可以認(rèn)為是中國(guó)版物聯(lián)網(wǎng)安全標(biāo)簽體系初步版本的發(fā)布，將進(jìn)一步提升物聯(lián)網(wǎng)產(chǎn)品競(jìng)爭(zhēng)力。
消費(fèi)物聯(lián)網(wǎng)產(chǎn)品將成為《辦法》適用的典型對(duì)象
《辦法》中指出“具有互聯(lián)網(wǎng)聯(lián)網(wǎng)功能的產(chǎn)品適用于本辦法，具體產(chǎn)品實(shí)施目錄管理”。在去年11月份，該辦法征求意見(jiàn)稿中已附上了首批實(shí)施網(wǎng)絡(luò)安全標(biāo)識(shí)的產(chǎn)品目錄，納入首批目錄的是消費(fèi)類網(wǎng)聯(lián)攝像頭，這是一個(gè)典型的消費(fèi)物聯(lián)網(wǎng)產(chǎn)品。
物聯(lián)網(wǎng)產(chǎn)品基本都具備互聯(lián)網(wǎng)聯(lián)網(wǎng)功能，尤其是消費(fèi)物聯(lián)網(wǎng)產(chǎn)品作為智能互聯(lián)設(shè)備，面向廣大消費(fèi)群體，不少產(chǎn)品擁有上億甚至數(shù)億用戶基礎(chǔ)，而消費(fèi)者并不具備網(wǎng)絡(luò)安全的專業(yè)知識(shí)和能力，因此在消費(fèi)物聯(lián)網(wǎng)領(lǐng)域?qū)嵤┚W(wǎng)絡(luò)安全標(biāo)識(shí)，對(duì)于保護(hù)廣大消費(fèi)者合法權(quán)益具有重要意義。這意味著，未來(lái)市場(chǎng)上大量的智能攝像頭、智能音箱、智能門鎖、智能家電等產(chǎn)品可能都將被納入該辦法的適用范圍。
《辦法》雖然還未發(fā)布具體的產(chǎn)品實(shí)施目錄，但分析互聯(lián)網(wǎng)聯(lián)網(wǎng)功能的產(chǎn)品，我們不難發(fā)現(xiàn)，當(dāng)前消費(fèi)物聯(lián)網(wǎng)產(chǎn)品在這類產(chǎn)品中占據(jù)大部分的份額，因此可以說(shuō)，《辦法》實(shí)際上也是針對(duì)消費(fèi)物聯(lián)網(wǎng)安全的一個(gè)制度。
國(guó)際接軌與自身特色并重，設(shè)計(jì)產(chǎn)品可信體系制度
此前，美國(guó)、歐盟、新加坡等國(guó)家和地區(qū)大力推動(dòng)自身物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃，與這些國(guó)家和地區(qū)相比，我國(guó)的制度設(shè)計(jì)思路體現(xiàn)出國(guó)際接軌和自身特色并重的特點(diǎn)。
1、自愿參與原則，推動(dòng)以消費(fèi)者“用腳投票”來(lái)倒逼產(chǎn)品生產(chǎn)者提升安全能力
《辦法》第三條就明確提出：網(wǎng)絡(luò)安全標(biāo)識(shí)管理工作堅(jiān)持統(tǒng)籌發(fā)展和安全，產(chǎn)品生產(chǎn)者按照自愿原則參與。鼓勵(lì)產(chǎn)品生產(chǎn)者依據(jù)本辦法提升產(chǎn)品網(wǎng)絡(luò)安全能力，標(biāo)注網(wǎng)絡(luò)安全標(biāo)識(shí)。鼓勵(lì)消費(fèi)者優(yōu)先選用標(biāo)注網(wǎng)絡(luò)安全標(biāo)識(shí)的產(chǎn)品。
采用自愿性的原則，最大程度保證這項(xiàng)制度堅(jiān)持市場(chǎng)化導(dǎo)向，給消費(fèi)者提供標(biāo)識(shí)出更具安全性能的產(chǎn)品，讓消費(fèi)者具有更多選擇，形成“優(yōu)質(zhì)優(yōu)價(jià)”的市場(chǎng)選擇機(jī)制，進(jìn)一步引導(dǎo)企業(yè)加大對(duì)產(chǎn)品安全性能的投入，保障該制度有效實(shí)施。這種模式旨在平衡安全與發(fā)展，尊重企業(yè)自主權(quán)，同時(shí)通過(guò)透明信息讓市場(chǎng)發(fā)揮資源配置作用。
自愿性原則也得到多個(gè)國(guó)家的采用，成為一種共識(shí)。例如，美國(guó)的物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃已明確屬于自愿性計(jì)劃，依賴于公私合作，由聯(lián)邦通訊委員會(huì)（FCC）監(jiān)督，第三方標(biāo)簽管理員具體運(yùn)作。不過(guò)，美國(guó)這一計(jì)劃已得到頭部廠商和產(chǎn)業(yè)鏈關(guān)鍵環(huán)節(jié)的廣泛支持，使其在市場(chǎng)上具備一定的“準(zhǔn)強(qiáng)制性”要求。
不過(guò)，歐盟的網(wǎng)絡(luò)安全標(biāo)識(shí)計(jì)劃具有強(qiáng)制性，主要是通過(guò)《網(wǎng)絡(luò)彈性法案》（CRA）來(lái)實(shí)施，要求所有帶數(shù)字元素的產(chǎn)品在投放市場(chǎng)前必須滿足網(wǎng)絡(luò)安全要求，并貫穿整個(gè)生命周期，違者將面臨高額罰款。
2、基于技術(shù)標(biāo)準(zhǔn)進(jìn)行等級(jí)劃分，分類分級(jí)保障實(shí)施
我國(guó)《辦法》建立了一個(gè)清晰的三級(jí)分級(jí)體系，即基礎(chǔ)級(jí)（一星）、增強(qiáng)級(jí)（二星）和領(lǐng)先級(jí)（三星），并對(duì)每個(gè)等級(jí)提出了差異化的安全要求?；A(chǔ)級(jí)對(duì)標(biāo)國(guó)家標(biāo)準(zhǔn)底線要求（如無(wú)弱口令、漏洞管理等）；增強(qiáng)級(jí)要求產(chǎn)品網(wǎng)絡(luò)安全能力達(dá)到同類產(chǎn)品先進(jìn)水平；領(lǐng)先級(jí)要求產(chǎn)品網(wǎng)絡(luò)安全能力達(dá)到同類產(chǎn)品領(lǐng)先水平，同時(shí)還應(yīng)通過(guò)滲透性測(cè)試方法，檢測(cè)抵御高級(jí)別網(wǎng)絡(luò)攻擊的能力。這種分級(jí)分類方法能夠精準(zhǔn)匹配不同產(chǎn)品的安全需求和市場(chǎng)定位。
在標(biāo)識(shí)載體上，采用了透明化管理，標(biāo)識(shí)必須包含備案信息碼，消費(fèi)者掃碼即可獲取檢測(cè)報(bào)告、關(guān)鍵指標(biāo)、生產(chǎn)者符合性聲明等詳細(xì)信息，增強(qiáng)標(biāo)識(shí)的信息含量和可信度。
《辦法》強(qiáng)調(diào)，安全要求應(yīng)當(dāng)和現(xiàn)行國(guó)家標(biāo)準(zhǔn)、國(guó)際標(biāo)準(zhǔn)做好銜接，充分借鑒吸收其它實(shí)施網(wǎng)絡(luò)安全標(biāo)識(shí)制度國(guó)家和地區(qū)的相關(guān)經(jīng)驗(yàn)。橫向?qū)Ρ龋嚓P(guān)國(guó)家和地區(qū)同類制度也采取了快速獲取信息和分類分級(jí)的方式。
例如，美國(guó)的物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃的標(biāo)識(shí)也會(huì)有一個(gè)二維碼，掃碼可獲取產(chǎn)品安全支持期限、更新策略等詳細(xì)信息，其標(biāo)準(zhǔn)主要依據(jù)NIST（美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院）的相關(guān)指南；新加坡的物聯(lián)網(wǎng)網(wǎng)絡(luò)安全標(biāo)識(shí)也采用星級(jí)（Tier）分級(jí)，從一星到四星，安全要求逐級(jí)提高，高級(jí)別的需要第三方實(shí)驗(yàn)室測(cè)試；而歐盟的CRA雖未采用星級(jí)標(biāo)簽，但通過(guò)協(xié)調(diào)標(biāo)準(zhǔn)進(jìn)行符合性評(píng)估，并對(duì)產(chǎn)品進(jìn)行風(fēng)險(xiǎn)分類，對(duì)重要和關(guān)鍵產(chǎn)品實(shí)施更嚴(yán)格的合格評(píng)定程序。
我國(guó)制度在分級(jí)理念上與新加坡相似，但在具體等級(jí)定義和要求上更側(cè)重于與國(guó)內(nèi)產(chǎn)業(yè)水平和國(guó)家標(biāo)準(zhǔn)銜接，并明確提出了“領(lǐng)先級(jí)”需通過(guò)滲透性測(cè)試這一更加嚴(yán)格的驗(yàn)證方法。同時(shí)，通過(guò)二維碼溯源的設(shè)計(jì)在信息透明度和消費(fèi)者快速可及性上，與美國(guó)的實(shí)踐理念類似。
3、全流程監(jiān)管的實(shí)施過(guò)程與責(zé)任分工
分析《辦法》監(jiān)督管理相關(guān)條款，不難發(fā)現(xiàn)我國(guó)構(gòu)建了“事前備案-事中監(jiān)督-事后追責(zé)”的全流程監(jiān)管體系，責(zé)任劃分清晰。
在事前備案中，企業(yè)通過(guò)備案機(jī)構(gòu)建設(shè)的統(tǒng)一平臺(tái)進(jìn)行線上備案，備案機(jī)構(gòu)在10個(gè)工作日內(nèi)完成形式審查。同時(shí)，檢測(cè)環(huán)節(jié)也比較靈活，一星、二星產(chǎn)品可由自有實(shí)驗(yàn)室或第三方機(jī)構(gòu)檢測(cè)，三星產(chǎn)品則強(qiáng)制要求第三方滲透測(cè)試。
在事中監(jiān)督中，由國(guó)家網(wǎng)信辦、工信部、公安部及地方對(duì)應(yīng)部門負(fù)責(zé)監(jiān)督檢查，并強(qiáng)調(diào)跨部門信息共享與協(xié)同。
在事后追責(zé)中，規(guī)定了詳細(xì)的撤銷備案情形、并對(duì)違規(guī)生產(chǎn)者和出具虛假報(bào)告的檢測(cè)機(jī)構(gòu)設(shè)置了失信懲戒措施，違規(guī)行為還將被納入全國(guó)信用信息共享平臺(tái)。
同時(shí)，《辦法》還明確了漏洞協(xié)同治理要求，即在檢測(cè)中發(fā)現(xiàn)安全漏洞，必須按照《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》進(jìn)行報(bào)告和修補(bǔ)，實(shí)現(xiàn)了標(biāo)識(shí)管理與漏洞管理的制度銜接。
對(duì)比來(lái)看，美國(guó)、新加坡、歐盟等國(guó)家和地區(qū)也采取類似的事前-事中-事后的監(jiān)管制度。其中，歐盟由于是強(qiáng)制性的制度，對(duì)于失信行為具有更加嚴(yán)格的懲罰措施。
國(guó)際化工作還需要進(jìn)一步完善
《辦法》雖然對(duì)標(biāo)識(shí)管理形成完善的一套體系，但針對(duì)產(chǎn)品出海以及海外產(chǎn)品進(jìn)入中國(guó)過(guò)程中的安全標(biāo)識(shí)管理，暫未形成相關(guān)規(guī)定。
過(guò)去幾年，美國(guó)、新加坡、歐盟、日本等國(guó)家和地區(qū)加快物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃的國(guó)際互認(rèn)，推動(dòng)產(chǎn)品安全治理的國(guó)際協(xié)同。在我國(guó)智能互聯(lián)產(chǎn)品大規(guī)模“走出去”的背景下，產(chǎn)品生產(chǎn)企業(yè)需要進(jìn)一步符合海外物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃的要求，進(jìn)行相關(guān)測(cè)試、認(rèn)證和備案。若我國(guó)的網(wǎng)絡(luò)安全標(biāo)識(shí)制度能夠和海外相關(guān)計(jì)劃達(dá)成跨境合作，則會(huì)大幅降低企業(yè)出海成本，提升企業(yè)海外競(jìng)爭(zhēng)力。因此，推動(dòng)國(guó)際化是網(wǎng)絡(luò)安全標(biāo)識(shí)工作下一步的一個(gè)重點(diǎn)方向。
總結(jié)而言，《網(wǎng)絡(luò)安全標(biāo)識(shí)管理辦法》的出臺(tái)，標(biāo)志著我國(guó)對(duì)消費(fèi)物聯(lián)網(wǎng)產(chǎn)品的安全管理從相對(duì)粗放走向精細(xì)化和市場(chǎng)化。通過(guò)分級(jí)標(biāo)識(shí)引導(dǎo)產(chǎn)品升級(jí)、透明信息賦能消費(fèi)者選擇、全鏈條監(jiān)管壓實(shí)主體責(zé)任，又通過(guò)集中備案、信用懲戒、漏洞協(xié)同等設(shè)計(jì)，形成了具有中國(guó)特色的治理模式，旨在將網(wǎng)絡(luò)安全內(nèi)化為消費(fèi)物聯(lián)網(wǎng)產(chǎn)品的內(nèi)生屬性。雖然具體實(shí)施細(xì)節(jié)有待完善，但該制度無(wú)疑將為消費(fèi)物聯(lián)網(wǎng)產(chǎn)業(yè)的高質(zhì)量發(fā)展與安全可靠發(fā)展提供強(qiáng)有力的制度工具，最終讓網(wǎng)絡(luò)安全標(biāo)識(shí)成為消費(fèi)者放心的一張名片。
