近日，美國國家標準與技術(shù)研究院(“NIST”)發(fā)布了《消費物聯(lián)網(wǎng)產(chǎn)品網(wǎng)絡(luò)安全標簽推薦標準》(“物聯(lián)網(wǎng)標準”)。物聯(lián)網(wǎng)標準為消費物聯(lián)網(wǎng)產(chǎn)品的網(wǎng)絡(luò)安全標簽提供建議，換句話說，為個人、家庭或家庭使用的物聯(lián)網(wǎng)產(chǎn)品提供建議。
正如NIST所描述的，該出版物的目的是確定“潛在標簽方案的關(guān)鍵要素”然而，該出版物明確指出，該計劃不會由NIST建立或管理，而是由“另一個組織或計劃”建立或管理，該出版物稱之為“計劃所有者”計劃所有人的身份尚未確定，但“可能是公共或私營部門”實體。
物聯(lián)網(wǎng)標準的發(fā)布代表著面向消費者物聯(lián)網(wǎng)產(chǎn)品的國家網(wǎng)絡(luò)安全標簽計劃的更進一步。我們應(yīng)該期待NIST在這份出版物中建立的框架將成為這些要求的典范。
物聯(lián)網(wǎng)標準框架。物聯(lián)網(wǎng)標準為潛在的網(wǎng)絡(luò)安全物聯(lián)網(wǎng)標簽計劃的三個關(guān)鍵方面確立了推薦的考慮因素:
基線產(chǎn)品標準
標記
合格評定
基線產(chǎn)品標準
關(guān)于“基線產(chǎn)品標準”，物聯(lián)網(wǎng)標準建議采用“基于結(jié)果的方法”，該方法“考慮到了物聯(lián)網(wǎng)產(chǎn)品多樣化市場所需的靈活性?！蔽锫?lián)網(wǎng)標準沒有要求具體的技術(shù)規(guī)范，而是列出了理想的基線“結(jié)果”，如果實現(xiàn)這些結(jié)果，將增強物聯(lián)網(wǎng)產(chǎn)品的網(wǎng)絡(luò)安全性。基于結(jié)果的方法“允許網(wǎng)絡(luò)安全解決方案和緩解措施隨著時間的推移而升級和改變，而不會顯著改變產(chǎn)品的標簽標準?！蓖扑]的標準是作為基線。該出版物討論了十項基準產(chǎn)品標準:
資產(chǎn)識別
物聯(lián)網(wǎng)產(chǎn)品是(1)唯一可識別的，(2)庫存其所有組件。
產(chǎn)品配置
物聯(lián)網(wǎng)產(chǎn)品具有(1)可更改的配置，(2)“恢復安全默認設(shè)置的能力”，以及(3)限制對“授權(quán)個人、服務(wù)和其他物聯(lián)網(wǎng)產(chǎn)品組件”實施更改的能力
數(shù)據(jù)保護
物聯(lián)網(wǎng)產(chǎn)品及其組件保護存儲和傳輸?shù)臄?shù)據(jù)免受未經(jīng)授權(quán)的訪問、泄露和修改。
接口訪問控制:“物聯(lián)網(wǎng)產(chǎn)品及其組件將對本地和網(wǎng)絡(luò)接口以及這些接口所使用的協(xié)議和服務(wù)的邏輯訪問限制為僅授權(quán)的個人、服務(wù)和物聯(lián)網(wǎng)產(chǎn)品組件?！?/p>
軟件更新
物聯(lián)網(wǎng)產(chǎn)品和組件軟件只能由授權(quán)的個人、服務(wù)和其他物聯(lián)網(wǎng)產(chǎn)品組件通過“一種安全且可配置的機制(視每個物聯(lián)網(wǎng)產(chǎn)品組件的情況而定)”進行更新
網(wǎng)絡(luò)安全狀態(tài)感知
“物聯(lián)網(wǎng)產(chǎn)品支持檢測影響或受物聯(lián)網(wǎng)產(chǎn)品組件及其存儲和傳輸?shù)臄?shù)據(jù)影響的網(wǎng)絡(luò)安全事件?！?/p>
文檔
物聯(lián)網(wǎng)產(chǎn)品開發(fā)人員應(yīng)在產(chǎn)品開發(fā)過程中、客戶購買之前以及隨后的生命周期中，創(chuàng)建、收集和存儲與物聯(lián)網(wǎng)產(chǎn)品及其組件的網(wǎng)絡(luò)安全相關(guān)的信息。
信息和查詢接收
物聯(lián)網(wǎng)產(chǎn)品開發(fā)人員應(yīng)該能夠“接收與網(wǎng)絡(luò)安全相關(guān)的信息，并響應(yīng)客戶和其他人對該信息的查詢”。
信息傳播
物聯(lián)網(wǎng)產(chǎn)品開發(fā)者應(yīng)廣播和傳播與網(wǎng)絡(luò)安全相關(guān)的信息。
產(chǎn)品教育和認知
物聯(lián)網(wǎng)產(chǎn)品開發(fā)人員應(yīng)“在物聯(lián)網(wǎng)產(chǎn)品生態(tài)系統(tǒng)中”就與物聯(lián)網(wǎng)產(chǎn)品及其產(chǎn)品組件相關(guān)的網(wǎng)絡(luò)安全相關(guān)信息(例如，注意事項、功能)創(chuàng)建認知并教育客戶和其他人
標簽注意事項
接下來，該出版物提出了關(guān)于標簽注意事項的建議。關(guān)于NIST標簽指南的幾點說明:
NIST建議使用二進制標簽——“一個單一的標簽表明產(chǎn)品已經(jīng)達到基線標準?！?/p>
除了二進制標簽之外，NIST還提出了一種“分層”方法，即通過網(wǎng)址或可掃描代碼(如二維碼)在線向消費者提供額外的詳細信息。
NIST還強調(diào)“適當支持數(shù)字和物理格式”的靈活性，并鼓勵與消費者一起定期測試，以評估標簽的適當性和可用性。
NIST推薦旨在支持“物聯(lián)網(wǎng)產(chǎn)品的非專家家庭用戶”的特定標簽內(nèi)容因此，NIST表示，消費者應(yīng)該在購買前、購買時(店內(nèi)或網(wǎng)上)和購買后都可以使用標簽。
此外，結(jié)合一個標簽，NIST建議“一個強大的消費者教育運動?！?/p>
合格評定考慮因素
物聯(lián)網(wǎng)標準還建議考慮“符合性評估”，以證明設(shè)備是否符合相關(guān)標準。NIST強調(diào)，“方案所有人必須定制推薦的產(chǎn)品標準，定義合格評定要求，開發(fā)標簽和相關(guān)信息，并開展相關(guān)的消費者宣傳和教育。”NIST指出，“單一的合格評定方法不可能實現(xiàn)預期的目標”，并列出了可以“單獨或結(jié)合”使用的幾種合格評定方法，包括:
自我證明:由提供物聯(lián)網(wǎng)設(shè)備的組織做出的“供應(yīng)商符合性聲明”，聲明其符合規(guī)定的標準。
第三方測試和檢查:基于特定定義標準對消費物聯(lián)網(wǎng)設(shè)備進行的預期外部“確定或檢查”。
第三方認證:聲明“基于對物聯(lián)網(wǎng)產(chǎn)品已滿足規(guī)定標準的全面審查而發(fā)布?！?/p>
總結(jié)：在整個2021年，國會、各州和聯(lián)邦機構(gòu)繼續(xù)關(guān)注物聯(lián)網(wǎng)和物聯(lián)網(wǎng)網(wǎng)絡(luò)安全。公司應(yīng)該期待這一領(lǐng)域的持續(xù)發(fā)展，特別是潛在物聯(lián)網(wǎng)網(wǎng)絡(luò)安全標簽計劃的持續(xù)發(fā)展。以消費者為中心的標準表明，重點仍將是在物聯(lián)網(wǎng)產(chǎn)品市場中優(yōu)先考慮消費者意識和安全的合規(guī)制度。
