4 月 29 日，英國消費者互聯(lián)產(chǎn)品安全制度正式開始生效，英國由此成為首個禁止在物聯(lián)網(wǎng)設(shè)備上使用默認(rèn)弱密碼的國家。
圖源：英國政府官網(wǎng)
該法案誕生的起源最早可以追溯到 2016 年 10 月 21 日發(fā)生的惡性網(wǎng)絡(luò)攻擊事件。
當(dāng)時，黑客們使用了一種被稱作“物聯(lián)網(wǎng)破壞者”的 Mirai 病毒，該病毒每掃描到一個物聯(lián)網(wǎng)設(shè)備（比如網(wǎng)絡(luò)攝像頭、智能開關(guān)等）后，就會嘗試使用默認(rèn)密碼進(jìn)行登陸（一般為 admin/admin，Mirai 病毒自帶 60 個通用密碼），一旦登陸成功，這臺物聯(lián)網(wǎng)設(shè)備就進(jìn)入“肉雞”名單，開始被黑客操控攻擊其他網(wǎng)絡(luò)設(shè)備。黑客們借此控制了美國大量的網(wǎng)絡(luò)攝像頭和相關(guān)的 DVR 錄像機(jī)，然后操縱這些“肉雞”攻擊了美國的多個知名網(wǎng)站，包括 Twitter、Paypal、Spotify 在內(nèi)等多個人們每天都用的網(wǎng)站被迫中斷服務(wù)，幾乎讓美國大半個互聯(lián)網(wǎng)陷入癱瘓狀態(tài)。
Mirai 病毒由三名 20 歲左右的美國公民開發(fā)，雖然他們很快被逮捕并處罰，但該病毒卻引發(fā)了產(chǎn)業(yè)的廣泛擔(dān)憂——如果物聯(lián)網(wǎng)設(shè)備制造商的安全策略過于草率，那么有可能造成廣泛的、出乎意料的影響。
英國最新法案的落地，正是對這類安全漏洞的有力回應(yīng)。它要求物聯(lián)網(wǎng)設(shè)備制造商在生產(chǎn)過程中就加強(qiáng)安全防護(hù)措施，從源頭上杜絕弱密碼等安全隱患。具體而言，物聯(lián)網(wǎng)設(shè)備將不得使用“admin”或者“12345”等默認(rèn)密碼，而且制造商還需要發(fā)布聯(lián)系方式，以便用戶可以報告錯誤。
不符合規(guī)定的產(chǎn)品可能面臨被召回，相關(guān)公司則面臨最高 1000 萬英鎊或其全球收入 4% 的罰款，以較高者為準(zhǔn)。
英國物聯(lián)網(wǎng)安全法案相關(guān)細(xì)節(jié)
從 2024 年 4 月 29 日起，英國消費者互聯(lián)產(chǎn)品安全制度正式生效。從該日期起，該法律將要求英國消費者互聯(lián)產(chǎn)品（或“智能”產(chǎn)品）的制造商遵守該法案中規(guī)定的相關(guān)義務(wù)，其中包括確保他們及其產(chǎn)品滿足相關(guān)的最低安全要求。
該制度由兩項立法組成：
《2022 年產(chǎn)品安全和電信基礎(chǔ)設(shè)施 ( PSTI ) 法案》第 1 部分；和
《2023 年產(chǎn)品安全和電信基礎(chǔ)設(shè)施（相關(guān)互聯(lián)產(chǎn)品的安全要求）法規(guī)》。
圖源：英國政府官網(wǎng)
PSTI 法案于 2022 年 12 月獲得批準(zhǔn)。政府于 2023 年 4 月發(fā)布了 PSTI（相關(guān)互聯(lián)產(chǎn)品的安全要求）法規(guī)的完整草案。這些法規(guī)于 2023 年 9 月 14 日簽署成為法律。
誰受到新法規(guī)約束？
簡單來說，相關(guān)互聯(lián)產(chǎn)品的制造商、進(jìn)口商和分銷商將受到新法規(guī)約束。所以該法規(guī)會對中國物聯(lián)網(wǎng)設(shè)備制造商的出海產(chǎn)生一定影響。
哪些產(chǎn)品受到管控？
PSTI 管控產(chǎn)品范圍包括互聯(lián)網(wǎng)連接的產(chǎn)品，例如網(wǎng)絡(luò)攝像頭、智能門鎖、報警系統(tǒng)、智能家居助手、智能手機(jī)、智能家電、可穿戴設(shè)備等；也適用于不能直接連接到互聯(lián)網(wǎng)但能同時連接到多個其他設(shè)備的產(chǎn)品，如智能照明器具、智能控制器、物聯(lián)網(wǎng)基站等。
不在 PSTI 管控范圍的產(chǎn)品包括計算機(jī)（a) 臺式電腦；(b) 筆記本電腦；(c) 不具備連接蜂窩網(wǎng)絡(luò)能力的平板電腦（根據(jù)制造商的預(yù)期用途，專為14歲以下兒童設(shè)計的，不屬于例外產(chǎn)品）、醫(yī)療產(chǎn)品、智能電表產(chǎn)品、電動汽車充電器，及藍(lán)牙一對一連接產(chǎn)品。
值得注意的是，這些產(chǎn)品也可能有網(wǎng)絡(luò)安全要求，但不在PSTI法案管控范圍，而是可能由其它法案管控。
法規(guī)關(guān)鍵要求
①通用默認(rèn)密碼要求：法規(guī)禁止通用默認(rèn)密碼，并對密碼強(qiáng)度有相關(guān)要求。這意味著，用戶在首次使用時需要提供唯一的密碼，或需要更改密碼。
②安全漏洞報告與處理：制造商必須提供有關(guān)如何向他們報告其產(chǎn)品安全漏洞的信息。制造商還必須提供有關(guān)時間范圍的信息，在該時間范圍內(nèi)確認(rèn)收到報告和狀態(tài)更新，直到報告編寫者可以預(yù)期所報告的安全問題得到解決。
③最短的安全更新周期信息：制造商需要有明確且透明的方式對用戶公布最短的安全更新周期，即明確說明制造商將持續(xù)提供多長時間的更新。這些信息應(yīng)以英文免費提供，無需事先請求，并且以不具備任何技術(shù)知識的讀者也能理解的方式提供。
同時，法案范圍內(nèi)產(chǎn)品必須隨附合規(guī)聲明，其中必須包括以下信息:
產(chǎn)品(類型和批次)
每個制造商的名稱和地址，以及(如適用)其授權(quán)代表
聲明由產(chǎn)品制造商或其代表編寫
符合相關(guān)安全要求(《PSTI條例》附表1)或符合視為符合的條件(附表2)的聲明
制造商首次供應(yīng)產(chǎn)品時正確的產(chǎn)品規(guī)定支持期
合規(guī)聲明的簽名、簽名人姓名和職務(wù)以及簽發(fā)地點和日期
法規(guī)如何執(zhí)行？
據(jù)悉，產(chǎn)品安全和標(biāo)準(zhǔn)辦公室 (OPSS) 將根據(jù)與 DSIT 簽署的諒解備忘錄，自 2024 年 4 月 29 日起負(fù)責(zé)執(zhí)行 2022 年P(guān)STI 法案和 2023 年法規(guī)。
OPSS 隸屬于商業(yè)貿(mào)易部，已經(jīng)執(zhí)行英國現(xiàn)有的產(chǎn)品安全法規(guī) OPSS 將利用現(xiàn)有流程和關(guān)系，以穩(wěn)健和基于風(fēng)險的方式執(zhí)行英國產(chǎn)品安全制度，并對不遵守義務(wù)的企業(yè)采取適當(dāng)和相稱的行動。
各國相繼出臺物聯(lián)網(wǎng)安全相關(guān)政策
據(jù)研究機(jī)構(gòu)預(yù)測，到 2030 年物聯(lián)網(wǎng)設(shè)備數(shù)量將超過 294.2 億，按照聯(lián)合國預(yù)測 2030 年全球人口 85 億計算的話，屆時平均每個人就對應(yīng) 3 臺物聯(lián)網(wǎng)設(shè)備。
隨著聯(lián)網(wǎng)設(shè)備的激增，IoT 設(shè)備終端受到網(wǎng)絡(luò)攻擊的次數(shù)也越來越多，消費者對網(wǎng)絡(luò)安全和隱私保護(hù)意識在逐漸增強(qiáng)，品牌商的網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)已提升到了戰(zhàn)略地位。網(wǎng)絡(luò)安全法規(guī)強(qiáng)制性化漸成趨勢，各個國家紛紛出臺了網(wǎng)絡(luò)安全法規(guī)，例如中國、歐盟、英國、新加坡、巴西、日本以及美國都已經(jīng)提上了日程，以增強(qiáng)市場物聯(lián)網(wǎng)產(chǎn)品規(guī)范化管理。
早在 2020 年，新加坡網(wǎng)絡(luò)安全局 (CSA) 表示，新加坡已加入制定網(wǎng)絡(luò)安全標(biāo)簽計劃的國家行列，這在亞太地區(qū)尚屬首次。該計劃允許用戶在購買產(chǎn)品之前輕松評估產(chǎn)品的安全性，識別具有更好網(wǎng)絡(luò)安全措施的產(chǎn)品，并做出明智的決定。隨后的幾年間，新加坡陸續(xù)推動了和多個國家、地區(qū)、聯(lián)盟的網(wǎng)絡(luò)安全標(biāo)簽互認(rèn)證。
今年 3 月，美國聯(lián)邦通訊委員會 (FCC) 公開投票正式通過了物聯(lián)網(wǎng)安全標(biāo)簽計劃 (Cybersecurity Labeling Program)，在該計劃下，符合相關(guān)條件的消費物聯(lián)網(wǎng)產(chǎn)品將被賦予網(wǎng)絡(luò)安全標(biāo)識標(biāo)簽 (Cyber Trust Mark)，方便消費者根據(jù)產(chǎn)品安全信息做出購買決策，同時安全可信產(chǎn)品在市場上具有差異化優(yōu)勢，激勵物聯(lián)網(wǎng)產(chǎn)品制造商推出符合更高安全標(biāo)準(zhǔn)的產(chǎn)品。
隨后不久的 4 月，日本經(jīng)濟(jì)產(chǎn)業(yè)省發(fā)布了《物聯(lián)網(wǎng)安全合格評估計劃草案》征求意見稿，可以看作是日本版物聯(lián)網(wǎng)安全標(biāo)簽計劃，對標(biāo)美國、新加坡等國家和地區(qū)的物聯(lián)網(wǎng)安全標(biāo)簽計劃。
同樣是在 4 月，歐盟投票通過了《網(wǎng)絡(luò)安全彈性法案（CRA）》，這是一項旨在全面提升歐盟境內(nèi)數(shù)字產(chǎn)品安全防護(hù)水平的重大舉措。該法案的覆蓋范圍廣泛，不僅關(guān)注產(chǎn)品的設(shè)計和生產(chǎn)過程，還延伸到產(chǎn)品的銷售、使用以及報廢處理等環(huán)節(jié)。這意味著，在歐盟市場上銷售的每一款數(shù)字產(chǎn)品，都必須經(jīng)過嚴(yán)格的審查，確保其符合法案規(guī)定的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。以漏洞報告為例：制造商必須在24小時內(nèi)向其指定的歐盟成員國計算機(jī)安全事故響應(yīng)小組 (CISRT) 報告任何被惡意行為者利用的產(chǎn)品漏洞。然后，制造商必須在72小時內(nèi)提交一份總體跟進(jìn)報告，并在緩解措施出臺后 14 天內(nèi)提交一份詳細(xì)報告。
再看我國， 2021 年，工信部印發(fā)物聯(lián)網(wǎng)基礎(chǔ)安全標(biāo)準(zhǔn)體系建設(shè)指南的通知，提出到2022年，初步建立物聯(lián)網(wǎng)基礎(chǔ)安全標(biāo)準(zhǔn)體系，研制重點行業(yè)標(biāo)準(zhǔn)10項以上，明確物聯(lián)網(wǎng)終端、網(wǎng)關(guān)、平臺等關(guān)鍵基礎(chǔ)環(huán)節(jié)安全要求，滿足物聯(lián)網(wǎng)基礎(chǔ)安全保障需要，促進(jìn)物聯(lián)網(wǎng)基礎(chǔ)安全能力提升。到2025年，推動形成較為完善的物聯(lián)網(wǎng)基礎(chǔ)安全標(biāo)準(zhǔn)體系，研制行業(yè)標(biāo)準(zhǔn)30項以上，提升標(biāo)準(zhǔn)在細(xì)分行業(yè)及領(lǐng)域的覆蓋程度，提高跨行業(yè)物聯(lián)網(wǎng)應(yīng)用安全水平，保障消費者安全使用。
物聯(lián)網(wǎng)設(shè)備制造商需積極應(yīng)對安全挑戰(zhàn)
近期，Asimily 發(fā)布了一份題為《2024 年物聯(lián)網(wǎng)設(shè)備安全：無所作為的高昂成本》的新報告，報告有一些核心洞察值得關(guān)注：
從受攻擊的設(shè)備來看，路由器是最具針對性的物聯(lián)網(wǎng)設(shè)備，占所有物聯(lián)網(wǎng)感染的 75%。黑客利用路由器作為訪問網(wǎng)絡(luò)內(nèi)其他連接設(shè)備的墊腳石。安全攝像頭和 IP 攝像頭是第二大目標(biāo)設(shè)備，占所有攻擊的 15%。其他常見的目標(biāo)設(shè)備包括數(shù)字標(biāo)牌、媒體播放器、數(shù)字錄像機(jī)、打印機(jī)和智能照明。該報告還強(qiáng)調(diào)了與專業(yè)設(shè)備相關(guān)的特別嚴(yán)重的風(fēng)險，包括對醫(yī)療保健中的患者護(hù)理至關(guān)重要的設(shè)備（包括血糖監(jiān)測儀和起搏器）、制造業(yè)的實時監(jiān)測設(shè)備以及市政當(dāng)局的水質(zhì)傳感器。
從受攻擊的行業(yè)來看，犯罪分子越來越將注意力集中在制造業(yè)、金融和能源行業(yè)，零售、教育、醫(yī)療保健和政府組織仍然是熱門目標(biāo)，而媒體和交通在過去幾年中已不再受到重視。
同時，網(wǎng)絡(luò)保險公司正在限制賠付金額。隨著網(wǎng)絡(luò)攻擊變得越來越普遍，網(wǎng)絡(luò)安全保險變得越來越昂貴且難以獲得?，F(xiàn)在，越來越多的保險公司要求企業(yè)具備強(qiáng)大的物聯(lián)網(wǎng)安全和風(fēng)險管理能力，以獲得承保資格，并且越來越多地拒絕或限制那些不符合特定閾值的企業(yè)的承保范圍。在網(wǎng)絡(luò)保險公司拒絕承保的原因中，缺乏安全協(xié)議是最常見的，占 43%。不遵守合規(guī)程序占承保拒絕的 33%。
顯然，安全風(fēng)險為物聯(lián)網(wǎng)設(shè)備制造商帶來了新的挑戰(zhàn)，而各個國家新法案的實施都意味著制造商需要承擔(dān)更多的責(zé)任和義務(wù)。他們需要確保所生產(chǎn)的物聯(lián)網(wǎng)產(chǎn)品具備足夠的安全性，包括防止未經(jīng)授權(quán)的訪問、保護(hù)數(shù)據(jù)的完整性和有效性等方面。同時，他們還需要建立相應(yīng)的流程和文件，以證明其產(chǎn)品符合法案的要求。
從各個國家的法律來看，違反方案會遭遇嚴(yán)厲的處罰，除了巨額的賠償金外，企業(yè)的聲譽(yù)損失可能更加難以挽回——這將對那些忽視網(wǎng)絡(luò)安全問題、企圖通過降低成本來獲取市場競爭力的制造商形成有力的震懾。
對中國這樣的物聯(lián)網(wǎng)產(chǎn)品生產(chǎn)和出口大國而言，相關(guān)制造商需要積極應(yīng)對。一方面，制造商要確保設(shè)計的產(chǎn)品符合標(biāo)準(zhǔn)要求后再投入生產(chǎn)從而進(jìn)入市場，相關(guān)廠家應(yīng)該在產(chǎn)品開發(fā)過程中盡早了解相關(guān)法律法規(guī)，以便更好地規(guī)劃產(chǎn)品設(shè)計、生產(chǎn)和出海，確保產(chǎn)品符合安全標(biāo)準(zhǔn)。另一方面，制造商也要持續(xù)加大技術(shù)研發(fā)和創(chuàng)新投入，提升產(chǎn)品的安全水平，形成差異化競爭優(yōu)勢，從而在全球市場中爭得更多的份額。
