中介网(zhongjie.com)：专注互联网虚拟资产中介交易平台
自我监管并未像许多人希望的那样在物联网 (IoT) 领域得到广泛采用。大约四年前推出的 Secure by Design Framework 奠定了基础并帮助告知 ETSIEN303 645，这是 2020 年首个全球适用的联网消费设备行业标准。但由于采用率低迷，英国政府被迫采取行动，起草了产品安全和电信基础设施 (PSTI)法案，预计明年生效。
问题是强制性监管不一定会立即达到预期的效果。许多参与 PSTI 咨询的人认为，他们最多需要两年时间才能完全合规，并且报告物联网安全基金会发现，79% 的公司预计将无法满足法规要求。显然，需要某种机制来鼓励供应商在正式法规出台之前加入。
保证作为答案
通过标签进行产品保证的概念是实现这一目标的一种方法。为您的物联网产品获得安全标签不仅有助于为合规铺平道路，还可以帮助您在拥挤的市场中脱颖而出。它允许消费者衡量设备的安全性以及它与类似设备的比较情况。这是一个有吸引力的提议，这就是为什么它在这里和整个池塘都受到关注的原因。在十月，白宫宣布它已与一些世界顶级技术制造商就如何实施网络安全标签计划进行对话。这将建立在 NIST 开展的工作的基础上，NIST 发表了消费者物联网网络安全标签标准在拜登总统发布“改善国家网络安全”的行政命令后的 2 月。尚未确定谁将负责监督其实施或如何对其进行验证，但打算在 2023 年春季推出标签计划。
在英国，我们已经遥遥领先于他们。几年前，文化、媒体和体育部 (DCMS) 就保障计划进行了招标，导致 IASME 行业集团启动了其物联网安全保障方案去年。这具有映射到 EN 303 645、PSTI 和 IoTSF 安全合规框架的三个级别。
基本级别涵盖了 PSTI 规定的所有安全控制措施，即禁止默认密码、强制制定漏洞披露政策以及产品在安全更新方面的支持时长的详细信息。因此，达到基本水平将确保未来的合规性。相比之下，银级反映了 ETSI 的强制性要求和数据保护规定，而金级则进一步扩展了这些要求。
希望为其产品贴上标签的供应商必须通过回答与八个不同领域相关的问题进行自我评估，这些领域涵盖组织、设备或服务、密码和凭证、漏洞和异常、软件、安全配置、通信和数据使用，涵盖 13 个网络消费者物联网的安全规定。董事会成员必须证明这些是正确的，然后才能通过 IASME 门户提交申请，此时申请将由独立任命的评估员审查。如果充分满足标准，此时的周转时间可短至 24 小时。
我们中间愤世嫉俗的人可能期望供应商探索基本级别的保证，因为这需要最少的跑腿工作并确保符合 PSTI 要求。然而，事实并非如此。我们看到的所有应用程序都是针对最高规格的，即 Gold。这表明市场现在的驱动力是获得最高荣誉，而不是满足即将到来的强制性要求。
事实证明，与 IASME 计划相关的入门成本低和易于访问也对较小的供应商具有很大的吸引力，其中许多供应商都在努力解释和应用《行为准则》和 ETSI 指南。他们已经能够利用评估员的专业知识来帮助他们理解并满足他们所选择级别的标准。
因此，总而言之，标签方案似乎是促进安全控制采用的有效方式。我们还不知道 PSTI 将如何执行以及由哪个机构执行——关于互联技术的 DCMS 听证会：朋友还是敌人？10 月 11 日举行的会议呼吁建立正式的监管机构——但我们知道该法案并未强制要求产品保证。很简单，它不需要。事实证明，保证足以激励供应商超越最低要求。
协调一致
NIST 计划与 IASME 设计的计划有何不同还有待观察。它提出了一个基线，涵盖资产识别、产品配置、数据保护、接口访问控制、软件更新、网络安全状态意识、文档、信息和查询接收、信息传播以及产品教育和意识。但它也提出了一些有趣的建议，包括使用可扫描或可访问的链接或二维码，以提供更深入的细节。还不知道我们是否会看到不同保证方案和合规性测试之间的协调。白宫表示，预计其国家计划将成为“全球公认的标签”。这些计划很可能会共享一些相同的标准，并且供应商在为不同市场标记设备时不想重新发明轮子。
这些发展提高了物联网安全意识，但它们也表明，拥有可以就设备安全性提供建议和评估的第三方是关键。同样的 DCMS 听证会呼吁任何指定的监管机构引入对 PSTI 合规性的独立验证，因此我们很可能希望在立法之前采取这样的举措。同时，采用 IASME 方案肯定会给供应商带来好处。
