全国信息安全标准化技术委员会：2019物联网安全标准化白皮书_59页__1mb

物联网安全标准化白皮书（2019版）总结

核心内容概述

本白皮书系统分析了物联网安全现状、安全威胁、安全政策与标准体系，提出了物联网安全标准化的框架与重点方向，旨在为物联网安全监管机构、标准研究及测评认证机构、物联网产业建设和运营商提供参考，推动物联网安全标准体系的建立与完善，促进物联网产业健康持续发展。

主要观点

1. 物联网发展趋势

   • 物联网与5G、大数据、人工智能等技术融合，推动了智能家居、智慧城市、个人穿戴等新兴应用。
   • 中国在“十三五”期间明确将物联网纳入国家战略，已形成较为完整的物联网产业链，并在多个城市推进智慧城市建设。

2. 物联网安全挑战

   • 终端多样性：终端设备数量庞大，形态多样，安全防护能力差异大。
   • 连接规模海量化：攻击影响易放大，如DDoS攻击、僵尸网络等。
   • 业务场景复杂：业务种类繁多，安全管理存在死角。
   • 数据安全风险：数据采集范围广，涉及个人隐私、行业数据等，存在泄露风险。
   • 产业合作链条长：安全责任划分不清，影响整体安全防护。

3. 国际与国内安全政策与标准

   • 国际方面：美国、欧盟、日本等均在物联网安全方面制定了相关政策与标准，如美国的《物联网设备网络安全法》、欧盟的《物联网安全基线指南》、日本的《物联网安全综合对策》。
   • 国内方面：我国政府将物联网安全纳入政策规划，全国信息安全标准化技术委员会（TC260）与相关行业组织推动了多项物联网安全标准的制定与实施，如《信息安全技术 物联网安全参考模型及通用要求》等。

4. 物联网安全参考模型

   • 基于实体的物联网参考模型与GB/T37044—2018提出的物联网安全参考模型，从安全分区、生存周期、基本安全防护措施等维度构建物联网安全体系。

5. 物联网安全标准化需求

   • 标准需覆盖感控设备、网络与传输、应用与服务、安全管理与运维四大领域。
   • 同时需结合其他领域标准，如数据安全、密码算法、5G、云计算等，构建协同发展的物联网安全生态。

关键信息

5.1 物联网安全参考模型

• 基于实体的模型：涵盖物理实体、物联网设备、网络、网关、应用与服务、运维与管理等多个实体及交互关系。
• GB/T37044—2018模型：从安全分区、系统生存周期、基本安全防护措施三个维度构建物联网安全体系，明确了各层级的安全需求。

5.2 物联网安全需求

• 感控设备安全：包括感知终端、智能物联网卡、安全网关等，需关注数据完整性、身份认证、通信安全等。
• 网络与传输安全：需建立无线通信安全机制、传输交换安全协议、密钥管理、数据加密等。
• 应用与服务安全：包括业务服务平台安全、垂直领域安全等，需保障身份认证、数据隐私、服务可用性等。
• 安全管理与运维安全：需包括漏洞管理、应急响应、安全监测、安全审计等，提升系统整体安全性。

5.3 物联网安全标准化需求分类

• 安全模型与术语类：统一术语、定义及安全模型，为其他标准提供基础支撑。
• 感控设备安全类：制定感知设备、智能卡、安全网关等设备的安全标准。
• 网络与交换安全类：覆盖无线通信、传输交换、网络设备安全等。
• 应用与服务安全类：包括通用业务服务平台、垂直领域安全等。
• 安全管理与运维类：涉及安全漏洞管理、应急响应、安全运维机制等。

6.1 物联网安全标准分类

• 标准主题分类：分为基础与通用类、感控设备类、网络与交换类、应用与服务类、安全管控与运维类。
• 标准类型分类：分为综合类、安全要求类、实施指南类、检测评估类。

6.2 物联网安全标准体系框架

• 已发布与在研的物联网安全标准覆盖了多个关键领域，如工业互联网、智慧城市、车联网等。
• 标准体系框架有助于明确标准定位，提升标准研制与应用的协调性。

6.4 近期重点工作方向

• 完善感控设备安全标准：针对关键应用场景，如无人机、智能医疗设备等，制定相关安全技术规范。
• 加快垂直行业标准研制：重点推进工业互联网、车联网、智慧医疗、智能安防等领域的安全标准。
• 推进安全运维与管控标准：建立统一的运维管理机制，提升安全响应与处置能力。
• 开展通用业务服务平台安全规范：明确平台在数据防护、身份认证、访问控制等方面的安全要求。
• 加强数据安全标准应用：推动数据生命周期管理、个人信息保护、数据交易等标准的实施。

7.1-7.5 工作建议

• 不断完善安全标准体系：覆盖物联网全生命周期，从规划、设计、开发到废弃，确保安全贯穿始终。
• 鼓励关键技术标准立项：推动安全芯片、安全协议、边缘计算、轻量级密码算法等技术标准的制定。
• 推动安全标准落地应用：加强标准实施机制，推动标准试点与推广，提升物联网应用的安全合规性。
• 加强安全标准人才培养：推动高校与科研机构在物联网安全与标准研究方面加大投入，培养相关专业人才。
• 打造物联网安全标准与产业生态：促进产业链上下游协同创新，构建开放、合作、共赢的安全生态圈。

附录与参考

• 附录A：列出了已发布和在研的物联网安全相关标准，涵盖多个领域。
• 附录B：提供了物联网安全标准的应用实践案例，如视频监控、公安核查、智能家居等。
• 附录C：列出了物联网相关术语的缩略语。
• 参考文献：包括多项国内外标准及政策文件，为物联网安全研究与实践提供依据。

总结

本白皮书从物联网安全现状、安全挑战、安全政策与标准、安全需求与标准体系等方面进行了系统分析，提出了物联网安全标准化的框架及重点方向，为物联网安全监管、技术发展及产业生态建设提供了重要指导。