工業(yè)和信息化部辦公廳關(guān)于印發(fā)物聯(lián)網(wǎng)基礎安全標準體系建設指南（2021版）的通知
工業(yè)和信息化部辦公廳關(guān)于印發(fā)物聯(lián)網(wǎng)基礎安全標準體系建設指南（2021版）的通知
工信廳科〔2021〕34號
為進一步發(fā)揮標準對物聯(lián)網(wǎng)基礎安全的規(guī)范和保障作用，加快網(wǎng)絡強國建設步伐，現(xiàn)將《物聯(lián)網(wǎng)基礎安全標準體系建設指南（2021版）》印發(fā)給你們，請結(jié)合本行業(yè)（領(lǐng)域）、本地區(qū)實際，在標準化工作中貫徹執(zhí)行。
附件：物聯(lián)網(wǎng)基礎安全標準體系建設指南（2021版）
工業(yè)和信息化部辦公廳
2021年9月23日
附：
物聯(lián)網(wǎng)基礎安全標準體系建設指南
（2021 版）
2021 年 9 月
一、總體要求
以習近平新時代中國特色社會主義思想為指導，深入貫 徹落實習近平總書記關(guān)于網(wǎng)絡強國的重要思想，堅持總體國 家安全觀，以筑牢物聯(lián)網(wǎng)基礎安全、防范公共網(wǎng)絡安全風險 為目標，著力構(gòu)建物聯(lián)網(wǎng)基礎安全標準體系，加強標準統(tǒng)籌 規(guī)劃，扎實推進標準研制，促進標準落地實施，支撐和保障 物聯(lián)網(wǎng)產(chǎn)業(yè)安全有序發(fā)展。
（一）基本原則
需求牽引，加強統(tǒng)籌。緊密貼合物聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展現(xiàn)狀和 趨勢，著力構(gòu)建科學合理、先進適用、開放融合的基礎安全
標準體系，強化標準工作統(tǒng)籌協(xié)調(diào)，指導標準制定有序開展。
聚焦重點，急用先行。圍繞物聯(lián)網(wǎng)基礎設施和重點行業(yè) 應用，加快推進基礎通用、關(guān)鍵技術(shù)、試驗方法等重點和急 需標準制定，及時滿足物聯(lián)網(wǎng)產(chǎn)業(yè)的安全需求。
廣泛參與，強化實施。凝聚設備廠商、電信企業(yè)、安全 企業(yè)、互聯(lián)網(wǎng)企業(yè)、科研單位、高校等產(chǎn)學研用各方力量， 鼓勵頭部企業(yè)發(fā)揮示范帶頭作用，推動標準有效實施。
（二）建設目標
到 2022 年，初步建立物聯(lián)網(wǎng)基礎安全標準體系，研制
重點行業(yè)標準 10 項以上，明確物聯(lián)網(wǎng)終端、網(wǎng)關(guān)、平臺等關(guān)鍵基礎環(huán)節(jié)安全要求，滿足物聯(lián)網(wǎng)基礎安全保障需要，促 進物聯(lián)網(wǎng)基礎安全能力提升。
到 2025 年，推動形成較為完善的物聯(lián)網(wǎng)基礎安全標準
體系，研制行業(yè)標準 30 項以上，提升標準在細分行業(yè)及領(lǐng)域的覆蓋程度，提高跨行業(yè)物聯(lián)網(wǎng)應用安全水平，保障消費 者安全使用。
二、建設內(nèi)容
（一）標準體系框架
物聯(lián)網(wǎng)基礎安全標準主要是指物聯(lián)網(wǎng)終端、網(wǎng)關(guān)、平臺 等關(guān)鍵基礎環(huán)節(jié)的安全標準。物聯(lián)網(wǎng)基礎安全標準體系包括 總體安全、終端安全、網(wǎng)關(guān)安全、平臺安全、安全管理等 5 大類標準（見圖 1）。
圖1 物聯(lián)網(wǎng)基礎安全標準體系框架
（二）重點領(lǐng)域
1. 總體安全
總體安全是物聯(lián)網(wǎng)基礎安全的基礎性、指導性和通用性
標準，主要包括物聯(lián)網(wǎng)基礎安全術(shù)語定義、架構(gòu)模型、安全 場景、安全集成、安全分級、安全協(xié)議等（見圖 2）。
圖2 總體安全
（1） 物聯(lián)網(wǎng)基礎安全術(shù)語定義：規(guī)范物聯(lián)網(wǎng)基礎安全 的概念，統(tǒng)一相關(guān)術(shù)語的理解和使用。
（2） 物聯(lián)網(wǎng)基礎安全架構(gòu)模型：主要提出物聯(lián)網(wǎng)基礎 安全體系框架以及各部分參考模型，明確和界定云、管、端 各層面功能、關(guān)系、角色、邊界、責任等內(nèi)容。
（3） 物聯(lián)網(wǎng)基礎安全場景：主要對不同類型場景中的 安全需求進行示例和規(guī)范。
（4） 物聯(lián)網(wǎng)基礎安全集成：在物聯(lián)網(wǎng)系統(tǒng)規(guī)劃、集成、 實施等過程中，通過建立安全模型等方式，保障基礎設施系統(tǒng)各層級對象安全性和可靠性。
（5） 物聯(lián)網(wǎng)基礎安全分級：明確物聯(lián)網(wǎng)基礎安全分級 的基本原則、維度、方法、示例等要求，為實施分級安全管 理提供基礎支撐。
（6） 物聯(lián)網(wǎng)基礎安全協(xié)議：主要是物聯(lián)網(wǎng)平臺、網(wǎng)關(guān)、 終端本身及設備之間的基礎安全協(xié)議，包括有線協(xié)議安全、無線協(xié)議安全、存儲協(xié)議安全等。
終端安全是物聯(lián)網(wǎng)基礎安全體系中感知層面的標準，主 要包括終端通用安全、模組安全、通信芯片安全、卡安全、 行業(yè)終端安全、終端測試評估等（見圖 3）。
圖3 終端安全
（1） 終端通用安全：主要包括物聯(lián)網(wǎng)終端硬件安全、操作系統(tǒng)安全、軟件安全、接入認證、數(shù)據(jù)安全、協(xié)議安全、隱私保護、證書規(guī)范、固件安全、插件/組件安全等。
（2） 模組安全：規(guī)范通信模組在接入認證、數(shù)據(jù)交互、 數(shù)據(jù)傳輸、抗電磁干擾等方面的安全要求，包括蜂窩通信模組和其他類型通信模組等。
（3） 通信芯片安全：主要包括通信加密算法、密鑰管 理、加解密能力、簽名驗簽、數(shù)據(jù)存儲、芯片安全基線要求 等。
（4） 卡安全：分為管理要求和技術(shù)要求。其中，管理 要求主要是規(guī)范物聯(lián)網(wǎng)卡銷售、登記、使用管理等；技術(shù)要 求主要包括卡身份認證、分級分類、技術(shù)手段建設等。
（5） 行業(yè)終端安全：主要是指與各垂直行業(yè)密切相關(guān) 的、具有特定功能的物聯(lián)網(wǎng)終端安全要求，如智能門鎖、監(jiān) 控設備等特定行業(yè)終端的特有安全要求。
（6） 終端測試評估：主要包括物聯(lián)網(wǎng)卡安全測試、硬 件安全測試、操作系統(tǒng)安全測試、軟件安全測試、接入認證 安全測試、數(shù)據(jù)安全測試、通信協(xié)議安全測試、固件安全測 試等。
網(wǎng)關(guān)安全主要包括物聯(lián)網(wǎng)網(wǎng)關(guān)通用安全、網(wǎng)關(guān)通信與接 口安全、網(wǎng)關(guān)物理環(huán)境安全、網(wǎng)關(guān)組件安全、網(wǎng)關(guān)測試評估 等（見圖 4）。
圖4 網(wǎng)關(guān)安全
（1） 網(wǎng)關(guān)通用安全：規(guī)范物聯(lián)網(wǎng)網(wǎng)關(guān)相關(guān)的功能架構(gòu)、 安全協(xié)議、安全防護，以及數(shù)據(jù)傳輸、處理和存儲等方面的安全技術(shù)要求，主要包括網(wǎng)關(guān)安全模型、安全架構(gòu)、安全功能、安全性能、數(shù)據(jù)安全、邊緣計算安全、安全協(xié)議等。
（2） 網(wǎng)關(guān)通信與接口安全：規(guī)范網(wǎng)關(guān)與其他設備互聯(lián) 時通信接口和管理接口的安全通信協(xié)議、黑白名單、鑒權(quán)認 證等方面技術(shù)要求，主要包括網(wǎng)關(guān)南向和北向接口安全規(guī) 程、安全協(xié)議流程、端口防護等。
（3） 網(wǎng)關(guān)物理環(huán)境安全：規(guī)范網(wǎng)關(guān)貯存、運輸和使用 環(huán)境條件下電磁輻射、防電磁干擾、抗硬力破壞、溫濕鹽霧 環(huán)境適應能力等方面技術(shù)要求，主要包括網(wǎng)關(guān)設備電磁兼 容、機械環(huán)境適應性、氣候環(huán)境適應性等。
（4） 網(wǎng)關(guān)組件安全：規(guī)范網(wǎng)關(guān)功能服務、數(shù)據(jù)采集、
數(shù)據(jù)傳輸處理等軟硬件組件的安全設計、安全功能等方面技 術(shù)要求，主要包括網(wǎng)關(guān)設備組件安全架構(gòu)、開源組件安全、 應用啟動安全等。
（5） 網(wǎng)關(guān)測試評估：規(guī)范網(wǎng)關(guān)安全評估測試方法，主 要包括設備安全測試、組件安全測試、接口安全測試、安全 管理維護測試、數(shù)據(jù)傳輸處理安全測試、環(huán)境適應性測試、 分級分類評估測試等。
4. 平臺安全
物聯(lián)網(wǎng)平臺包括設備管理平臺、連接管理平臺、應用使 能平臺、業(yè)務分析平臺、態(tài)勢感知及風險處置平臺等。物聯(lián) 網(wǎng)平臺安全標準主要包括平臺通用安全、平臺安全防護、平 臺交互安全、平臺安全監(jiān)測、平臺測試評估等（見圖 5）。
圖5 平臺安全
（1） 平臺通用安全：規(guī)范各類物聯(lián)網(wǎng)平臺通用數(shù)據(jù)安 全、通信安全、身份鑒別、安全監(jiān)測、物理安全、安全可信 等方面要求，主要包括通用安全框架、平臺可信計算等。
（2） 平臺安全防護：規(guī)范物聯(lián)網(wǎng)平臺以及基于物聯(lián)網(wǎng) 平臺開發(fā)的行業(yè)業(yè)務系統(tǒng)和對外應用組件的訪問控制、防代 碼逆向、安全審計、篡改和注入防范等安全防護要求，主要 包括平臺業(yè)務基礎安全、平臺安全防護要求等。
（3） 平臺交互安全：規(guī)范物聯(lián)網(wǎng)平臺之間、平臺與上 層業(yè)務系統(tǒng)或管理系統(tǒng)、平臺與下層接入設備之間的數(shù)據(jù)交 互、加密傳輸、交互接口配置和審計等方面的安全要求，主 要包括不同物聯(lián)網(wǎng)平臺之間交互、平臺與南向和北向之間交 互等。
（4） 平臺安全監(jiān)測：規(guī)范物聯(lián)網(wǎng)平臺的安全監(jiān)測、態(tài) 勢匯總等功能建設，主要包括物聯(lián)網(wǎng)網(wǎng)絡安全監(jiān)測預警平 臺、物聯(lián)網(wǎng)網(wǎng)絡安全態(tài)勢感知平臺等。
（5） 平臺測試評估：規(guī)范物聯(lián)網(wǎng)平臺的通用安全、平 臺安全防護、平臺內(nèi)部和平臺之間交互安全、平臺安全管理 等方面的測試評估方法，主要包括物聯(lián)網(wǎng)平臺能力評估、安 全防護測試、交互安全測試和安全管理評估等。
安全管理標準用于指導行業(yè)落實通用安全管理要求，主 要包括數(shù)據(jù)安全管理、安全信息協(xié)同、管理與維護安全、安 全認證等（見圖 6）。
圖6 安全管理
（1） 數(shù)據(jù)安全管理：面向物聯(lián)網(wǎng)業(yè)務應用產(chǎn)生的各類 數(shù)據(jù)，保障數(shù)據(jù)在各環(huán)節(jié)的安全可控和使用，主要包括在采 集、傳輸、存儲、處理、共享、銷毀等關(guān)鍵環(huán)節(jié)的數(shù)據(jù)安全 基礎管理和技術(shù)保障等。
（2） 安全信息協(xié)同：針對物聯(lián)網(wǎng)協(xié)議類型眾多，明確 物聯(lián)網(wǎng)基礎安全相關(guān)數(shù)據(jù)互聯(lián)互通標準，實現(xiàn)跨協(xié)議安全互 聯(lián)互通，主要包括接口規(guī)范、測試方法等。
（3） 管理與維護安全：規(guī)范不同物聯(lián)網(wǎng)場景下終端、網(wǎng)關(guān)、平臺的運維管理等方面安全要求，主要包括制度建設、 安全組織、人員管理、運行安全、資產(chǎn)管理、配置管理、遠程維護安全、脆弱性檢測、應急響應與管理、災備恢復等。
（4） 安全認證：規(guī)范不同類型的物聯(lián)網(wǎng)終端、網(wǎng)關(guān)、 平臺的認證管理，用于不同類型設備的安全認證互通互認， 主要包括證書生成、證書管理、證書更換等。
三、組織實施
一是加快標準研制。按照《標準體系》明確的目標和任 務，加強產(chǎn)學研用等各方的工作協(xié)同，注重物聯(lián)網(wǎng)基礎安全 標準與行業(yè)發(fā)展實際相結(jié)合，成體系推進標準研制。
二是實施動態(tài)更新。跟蹤物聯(lián)網(wǎng)新技術(shù)、新應用的發(fā)展 趨勢，主動適應物聯(lián)網(wǎng)安全發(fā)展水平的不斷提升，加強標準 體系的動態(tài)更新和完善，有效滿足產(chǎn)業(yè)安全發(fā)展需求。
三是深化標準應用。鼓勵行業(yè)協(xié)會、標準化技術(shù)組織等 面向生產(chǎn)者、用戶、第三方檢測認證機構(gòu)等，開展重點標準 的宣傳和培訓，引導企業(yè)對標達標，推動標準落地實施。
四是開展交流合作。支持中外企業(yè)、協(xié)會、標準化機構(gòu) 等開展物聯(lián)網(wǎng)基礎安全標準的國際交流合作，積極參與物聯(lián) 網(wǎng)安全國際標準制定，為提升全球物聯(lián)網(wǎng)安全水平貢獻中國 技術(shù)方案。
聯(lián)系我們
山西風雨竹企業(yè)管理咨詢有限公司
地址：運城市鹽湖區(qū)解放北路黃河世紀廣場4座936室
服務電話：0359-6390148
QQ號 碼：872951346
公司郵箱：fengyuzhu360@163.com
|
|