美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）計劃修訂其物聯(lián)網(wǎng)網(wǎng)絡(luò)安全框架，以應(yīng)對人工智能、沉浸式技術(shù)新興技術(shù)和用例帶來的不斷變化的風(fēng)險。NIST準(zhǔn)備修訂的框架是在2020年美國首個全國性的物聯(lián)網(wǎng)網(wǎng)絡(luò)安全法案出臺后形成的NIST IR 8259系列框架，在過去近5年的時間里，該文檔被美國物聯(lián)網(wǎng)產(chǎn)業(yè)界廣泛采用。隨著物聯(lián)網(wǎng)應(yīng)用的擴展，加上新興技術(shù)快速發(fā)展，原有的物聯(lián)網(wǎng)網(wǎng)絡(luò)安全框架面臨著新的挑戰(zhàn)，需要對其進(jìn)行持續(xù)修訂。筆者曾在《特朗普重返白宮，回顧一下他曾經(jīng)簽署的美國首部物聯(lián)網(wǎng)安全法》一文中提出，美國首個物聯(lián)網(wǎng)安全法案實施過程中，NIST發(fā)揮了重要作用，我們今天就系統(tǒng)地了解一下NIST在物聯(lián)網(wǎng)安全方面所做地工作。
NIST物聯(lián)網(wǎng)網(wǎng)絡(luò)安全計劃
2016年至2017年，幾個惡性物聯(lián)網(wǎng)安全事件發(fā)生，包括惡意軟件Mirai攻擊物聯(lián)網(wǎng)設(shè)備事件和“WannaCry”勒索病毒暴發(fā)，美國聯(lián)邦政府部門意識到了物聯(lián)網(wǎng)安全問題的嚴(yán)重性，開始積極探討和研究如何應(yīng)對物聯(lián)網(wǎng)面臨的安全沖擊。2017年5月，時任總統(tǒng)特朗普簽署了13800號總統(tǒng)行政令《加強聯(lián)邦網(wǎng)絡(luò)和關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全》，其中內(nèi)容之一就是要增強美國應(yīng)對僵尸網(wǎng)絡(luò)及其他自動化和分布式威脅的能力，行政令還提出各機構(gòu)應(yīng)使用由NIST制定的“改善關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全的框架”。
NIST為了執(zhí)行13800號行政令，在此后召開了專門研討會，探討在物聯(lián)網(wǎng)環(huán)境下增強網(wǎng)絡(luò)彈性及應(yīng)對僵尸網(wǎng)絡(luò)威脅的解決方案。研討會上，與會人員就當(dāng)前加強物聯(lián)網(wǎng)安全，降低僵尸網(wǎng)絡(luò)威脅的標(biāo)準(zhǔn)、技術(shù)及做法，物聯(lián)網(wǎng)設(shè)備開發(fā)，互聯(lián)網(wǎng)用戶的自我保護(hù)，物聯(lián)網(wǎng)安全研究以及政府角色等問題進(jìn)行了集中討論。為了應(yīng)對物聯(lián)網(wǎng)網(wǎng)絡(luò)安全問題，NIST啟動了物聯(lián)網(wǎng)網(wǎng)絡(luò)安全計劃。
NIST宣稱物聯(lián)網(wǎng)網(wǎng)絡(luò)安全計劃的使命是培養(yǎng)對物聯(lián)網(wǎng)的信任，并通過標(biāo)準(zhǔn)、指南和相關(guān)工具營造一個支持全球范圍創(chuàng)新的環(huán)境。在這一計劃中，NIST重點針對3個領(lǐng)域形成相關(guān)標(biāo)準(zhǔn)、指南和工具，支持這3個領(lǐng)域物聯(lián)網(wǎng)網(wǎng)絡(luò)安全工作實施。其中，第一個領(lǐng)域是為物聯(lián)網(wǎng)制造商和服務(wù)商提供的指南，形成NIST IR 8259系列；第二個領(lǐng)域是為聯(lián)邦政府和企業(yè)在其系統(tǒng)中部署物聯(lián)網(wǎng)設(shè)備提供指南，形成NIST SP 800-213系列；第三個領(lǐng)域是面向消費物聯(lián)網(wǎng)產(chǎn)品的標(biāo)準(zhǔn)和技術(shù)貢獻(xiàn)，包括消費物聯(lián)網(wǎng)核心基線NIST IR 8425，對物聯(lián)網(wǎng)安全標(biāo)簽計劃形成有力支持。
目前，NIST物聯(lián)網(wǎng)網(wǎng)絡(luò)安全計劃相關(guān)標(biāo)準(zhǔn)不僅規(guī)范美國國內(nèi)企業(yè)的產(chǎn)品和服務(wù)，也是很多企業(yè)進(jìn)入海外市場認(rèn)證標(biāo)準(zhǔn)。例如，NIST IR 8259、NIST IR 8425認(rèn)證得到全球多個國家認(rèn)可，國內(nèi)格力、美的等家電廠商的智能家電獲得NIST IR 8425復(fù)合性認(rèn)證，為其產(chǎn)品走向全球市場提供有利條件。
基于NIST IR 8259系列延伸與更新
2020年5月，NIST發(fā)布了《物聯(lián)網(wǎng)設(shè)備制造商的基礎(chǔ)網(wǎng)絡(luò)安全活動》（NIST IR 8259），它描述了制造商在向客戶銷售其物聯(lián)網(wǎng)設(shè)備之前應(yīng)考慮執(zhí)行的建議網(wǎng)絡(luò)安全活動，這些基本的網(wǎng)絡(luò)安全活動可以幫助制造商減少客戶所需的網(wǎng)絡(luò)安全相關(guān)工作，這反過來又可以降低物聯(lián)網(wǎng)設(shè)備受損和使用受損設(shè)備進(jìn)行攻擊的普遍性和嚴(yán)重性。
在該文件發(fā)布后的近五年中，已經(jīng)以三種語言（英語、西班牙語和葡萄牙語）版本發(fā)布，下載次數(shù)超過4萬次，得到業(yè)界廣泛認(rèn)可和應(yīng)用。為了完善該系列框架，NIST增加了兩個重要條目，即《物聯(lián)網(wǎng)設(shè)備網(wǎng)絡(luò)安全能力核心基線》（NIST IR 8259A）和《物聯(lián)網(wǎng)非技術(shù)支撐能力核心基線 》（NIST IR 8259B），NIST IR 8259A和NIST IR 8259B補充了NISTIR 8259中描述的活動，提供了特定的技術(shù)能力和非技術(shù)性支持活動，制造商應(yīng)在其產(chǎn)品設(shè)計和支持計劃中考慮這些活動，以幫助確保他們滿足客戶的網(wǎng)絡(luò)安全需求和目標(biāo)。
為了支持相關(guān)部門推進(jìn)物聯(lián)網(wǎng)安全工作，例如支持《物聯(lián)網(wǎng)網(wǎng)絡(luò)安全改進(jìn)法案》實施和美國物聯(lián)網(wǎng)網(wǎng)絡(luò)安全標(biāo)識計劃，在NISTIR 8259系列標(biāo)準(zhǔn)的基礎(chǔ)上，后續(xù)出臺了多個標(biāo)準(zhǔn)和指南，NISTIR 8259為這些標(biāo)準(zhǔn)和指南提供了概念和背景的基礎(chǔ)。后續(xù)出臺新的標(biāo)準(zhǔn)和指南包括：
一是《聯(lián)邦政府物聯(lián)網(wǎng)設(shè)備網(wǎng)絡(luò)安全指南》（NIST SP 800-213）。這一指南是NIST IR 8259系列標(biāo)準(zhǔn)在聯(lián)邦政府的應(yīng)用，將物聯(lián)網(wǎng)產(chǎn)品網(wǎng)絡(luò)安全納入NIST的各種信息系統(tǒng)風(fēng)險管理指南中，以使聯(lián)邦機構(gòu)對可能感興趣的物聯(lián)網(wǎng)設(shè)備的功能范圍更加清晰、更加可用、更加兼容。此外，與這一指南相伴而生的《物聯(lián)網(wǎng)設(shè)備網(wǎng)絡(luò)安全需求目錄》（(NIST SP 800-213A)提供了設(shè)備及其制造商為確保這些設(shè)備安全所需的最詳細(xì)的功能列表，也提供了許多超出基線的附加功能。
二是《面向消費物聯(lián)網(wǎng)產(chǎn)品的物聯(lián)網(wǎng)核心基線概況》（NIST IR 8425）。這一文件是NIST IR 8259 A和NIST IR 8259B針對消費級物聯(lián)網(wǎng)產(chǎn)品的闡釋。這份基線文件明確了消費物聯(lián)網(wǎng)的概念及其擴展范疇，考慮到了物聯(lián)網(wǎng)產(chǎn)品及其所有必要的組件，如移動應(yīng)用程序、網(wǎng)關(guān)或遠(yuǎn)程后臺等。
三是《消費級路由器產(chǎn)品的推薦網(wǎng)絡(luò)安全要求》（NIST IR 8425A）。該文件包括消費級路由器產(chǎn)品的網(wǎng)絡(luò)安全成果和路由器相關(guān)標(biāo)準(zhǔn)要求。
四是《產(chǎn)品開發(fā)網(wǎng)絡(luò)安全手冊：物聯(lián)網(wǎng)產(chǎn)品制造商的概念和考慮》（CSWP33草案)。**該草案討論對于為任何行業(yè)或使用案例開發(fā)和部署安全物聯(lián)網(wǎng)產(chǎn)品非常重要的概念，包括物聯(lián)網(wǎng)產(chǎn)品架構(gòu)、部署、角色和網(wǎng)絡(luò)安全視角。
NIST認(rèn)為，隨著物聯(lián)網(wǎng)應(yīng)用的擴展，新的挑戰(zhàn)已經(jīng)出現(xiàn)，促使NIST IR 8259需要進(jìn)行修訂，以更好地符合新的指南、標(biāo)準(zhǔn)的要求。對物聯(lián)網(wǎng)安全提議的更新包括將把關(guān)注點從單個物聯(lián)網(wǎng)設(shè)備擴大到整個產(chǎn)品生態(tài)系統(tǒng)，NIST還計劃整合風(fēng)險評估和威脅建模，解決物聯(lián)網(wǎng)、OT和IT系統(tǒng)之間的差異，并納入其網(wǎng)絡(luò)安全框架的見解。
該框架的更新還將解決新出現(xiàn)的問題，如可修復(fù)性與安全性的關(guān)系，以及互聯(lián)產(chǎn)品中IT和機械部件壽命之間的差異。NIST公告稱，隨著人工智能、沉浸式技術(shù)和其他創(chuàng)新的引入，物聯(lián)網(wǎng)網(wǎng)絡(luò)安全變得更加復(fù)雜，此次修訂旨在確保制造商能夠跟上這些發(fā)展，同時解決長期以來對設(shè)備安全性和支持的擔(dān)憂。更新后的框架將作為制造商和政策制定者的參考，有助于降低設(shè)備接管和數(shù)據(jù)泄露等風(fēng)險。
NIST IR 8259系列框架作為美國物聯(lián)網(wǎng)網(wǎng)絡(luò)安全底層框架，在其問世至今近5年時間不斷完善。特朗普在上一任期中對物聯(lián)網(wǎng)網(wǎng)絡(luò)安全已形成初步政策體系，在接下來的第二任總統(tǒng)任期中，預(yù)計會進(jìn)一步出臺新的物聯(lián)網(wǎng)網(wǎng)絡(luò)安全政策。目前NIST對物聯(lián)網(wǎng)網(wǎng)絡(luò)安全框架的修訂，也在為進(jìn)一步的政策出臺打下基礎(chǔ)。
