制定跨国战略保护物联网生态系统（英文版）

亚特兰大理事会II 数十亿美元的安全性：采取多国战略以更好地保护物联网ECOSYSTEM 数十亿美元的安全性： 迈向跨国战略，以更好地保护物联网生态 帕特里克·米切尔、丽芙·罗利和贾斯汀·谢尔曼与尼玛· 阿加、加布里埃尔·杨和左天九 亿万人的安全：采取多国战略以更好地保护物联网生态系统 大西洋理事会 网络治国计划在地缘政治和网络安全的关系中工作，以制定策略来帮助塑造治国之道，并更好地告知和保护技术用户。这项工作延伸到国家和非国家行为者的竞争，互联网和计算系统的安全性，操作技术和物理系统的安全性以及网络空间社区。该倡议召集了一个由热情和知 识渊博的贡献者组成的多元化网络，弥合了技术、政策和用户社区之间的差距。 的使命数字法医研究实验室(DFRLab)是利用开源研究来识别，揭露和解释虚假信息在何时何地发生；促进客观真理作为政府为人民和人民的基础；保护民主制度和规范免受那些试图在数字参与空间中破坏民主制度和规范的影响；创造一种适应影响和现实世界结果的新 专业知识模式；并在人类比历史上任何时候都更紧密地联系在一起的时代建立数字弹性。通过建立世界领先的数字取证分析师中心，跟踪治理、技术和安全方面的事件。 本报告是根据大西洋理事会关于知识独立的政策编写和出版的。作者全权负责其分析和建议。大西洋理事会及其捐助者不确定，也不一定赞同或倡导本报告的任何结论。 ISBN-13：978-1-61977-249-6 ©2022美国大西洋理事会。保留所有权利。未经大西洋理事会书面许可，不得以任何形式或任何方式复制或传播本出版物的任何部分，除非在新闻文章、批评文章或评论中简短引用。请直接查询: 大西洋理事会 103015thStreetNW,12楼华盛顿, DC20005 有关更多信息，请访问www.AtlanticCouncil.org。 封面图像许可语言：CSI部分使用OpenAI的DALL-E程序（AI图像生成应用程序）制作了本报告的封面图像。生成图像提示语言草案后，作者根据自己的喜好对语言进行了审查，编辑和修订，并对本出版物的内容承担最终责任。 III 数十亿美元的安全性： 迈向跨国战略，以更好地保护物联网生态 帕特里克·米切尔、丽芙·罗利和贾斯汀·谢尔曼与尼玛 ·阿加、加布里埃尔·杨和左天九 执行摘要 T全球物联网（IoT）设备和服务的爆炸式增长导致了数据处理和互连的爆炸式增长。同时，这种相互 联系和由此产生的相互依存关系放大了个人数据、公司网络、关键基础设施和互联网生态系统的一系列网络安 全风险。政府、公司和民间社会已经提出并实施了一系列物联网网络安全计划来应对这一挑战，从引入自愿标准和最佳实践到强制使用网络安全认证和标签。然而，方法之间的碎片化、复杂的认证方案以及给买家带来负担等问题，在支持物联网网络安全方面还有很多不足之处。对国家，私营部门和用户的丑陋连锁反应给个人隐 私，人身安全带来了风险。 互联网生态系统的其他部分，以及更广泛的经济和国家安全。 鉴于这种系统性风险，本报告提供了一项跨国战略，以增强物联网生态系统的安全性。它提供了一个框架，可以更清楚地了解物联网安全格局及其需求，该框架侧重于整个物联网产品生命周期，旨在减少策略方法之间的分裂，并寻求更好地将技术和流程指导纳入网络安全策略。原则上，它分析并使用美国，英国（英国 ），澳大利亚和新加坡作为案例研究，由于其物联网安全成熟度，整体网络安全能力以及对全球物联网和互联网安全对话的一般影响。它还研究了三个垂直行业，智能家居，网络和电信以及消费者医疗保健，它们涵盖了不同的产品，并作为了解更广泛的物联网市场的有用代理，因为它们的市场规模，消费者覆盖范围以及不同程度的安全成熟度。 本报告尽可能关注现有的安全举措——既要利用现有工作，又要避免适得其反地提出一种全新的物联网安全方法——同时建议做出改变，并为物联网网络安全的监管方法引入更多的凝聚力和协调性。它介绍了生态系统中当前的风险状态，分析了当前策略模型的挑战，并描述了一个综合的物联网安全框架。然后，该报告为政府和行业参与者提出了九项建议，以增强物联网安全性，分为三个建议集：设置最低可接受安全性的基准（或“Tier1”）。激励高于基线（或“Tier2”及以上），并在整个物联网产品生命周期（从设计到日落）中追求标准和实施的国际一致性。它还包括对美国、澳大利亚、英国和新加坡的实施指导，为各国在其特定司法管辖区实施建议提供了更清晰的路线图，并推动采取更强大、更有凝聚力的跨国方法来确保全球物联网的安全。 ACKNOWLEDGMENTS 作者感谢KatMegas，JamesDeaco，DavidKleidermacher和RobSpiger对本文档的早期草稿以及TreyHerr 和BrceScheier的支持。感谢NacyMessieh对数据可视化的支持。作者还感谢所有参与者，他们将保持匿名 ，在关于这些问题的多次查塔姆大厦规则讨论中。感谢NacyMessiah和AdreaRait的数据可视化和网页设计 ，感谢DoaldPartya和AaisGozalez的图形和文档设计。 TABLEOFCONTENTS 1.INTRODUCTION2 风险3 不安全5 2.风险7 标准7 标签8 采购9 实践10 标准11 挑战13 国家物联网安全挑战14 私营部门物联网安全挑战15 用户IOT安全挑战16 3.综合框架18 4.进近22 风险22 进近23 看起来像吗?25 AMBITIONS26 5.建议27 成功35 标签36 Conclusion37 138 计划38 UK38 新加坡39 澳大利亚40 STATES41 T 1.INTRODUCTION 他在全球范围内使用的数十亿物联网(IoT)产品促成了数据处理和个人联系的爆炸式增长， 所有这些互联和相互依存都放大了个人数据、公司网络、关键基础设施和互联网生态系统的一系列网络安全风险。 物联网产品的安全本质上是至关重要的，因为物联网产品越来越多地触及现代生活的各个方面。市民身上有物联网可穿戴设备，车上有物联网产品，收集有关心跳、脚步和全球定位系统(GPS)位置的数据。人们在家中也有物联网智能产品-扬声器唤醒每个私人对话，互联网连接的门锁，控制大气系统的设备以及监控幼儿和宠物的摄像头。医院甚至使用物联网产品来控制患者的医疗剂量。对物联网产品的依赖日益增加，不可避免地将用户与包括云在内的网络和电信系统联系起来。考虑到这种程度的互联，物联网不安全对个人隐私、个人安全和国家安全构成了风险。 物联网爆炸也将对互联网生态系统的安全性产生巨大影响。每年部署更多的物联网产品，这意味着物联网产品占连接到全球互联网的设备的很大比例。例如，市场研究公司IoTAalytics估计，物联网产品在2019年超过了传统的互联网连接设备，并预测到 2025年这一比例将在3比1左右。1在这种规模下，安全性较差的产品（例如，具有易于猜测的密码或具有已知和未修复的安全漏洞的产品）可以使攻击者在公司或其他敏感环境中立足并窃取数据或造成破坏。例如，黑客可以利用物联网摄像机中的安全问题以数字方式闯入建筑物 或身体上。2黑客可以大规模侵入物联网设备，发起分布式拒绝服务 (DDoS)攻击，为数十万甚至数百万消费者提供互联网服务。 为了应对这些网络安全风险，政府、私营公司、行业组织和民间社会团体已经开发了无数的国家和行业框架来提高物联网安全性 ，每个框架都解决了产品设计、开发、销售和安装、维护和日落阶段的问题。然而，这些众多的控件集和框架是法律规范中的大杂烩。在辖区内，一些政府正在推进详细的物联网安全指导，而另一些政府几乎没有取得实质性进展，或者政策目标含糊不清，混淆和阻碍了行业发展。在司法管辖区之间，分散的要求甚至使一些最关注安全的供应商采取行动的努力变冷。与此同时，消费者必须努力应对物联网产品的不安全、糟糕的安全结果以及对其社区和网络中其他人的丑陋连锁反应——供应商缺乏安全信息加剧了这种情况。用户的不良结果、缺乏跨国协调以及政府和行业努力之间的差距阻碍了物联网生态系统更好的安全性。 然而，进展是可能的。仅承认一个标准的国家和行业参与者的数量——欧洲电信标准协会(ETSI)的欧洲规范(EN)303645 ——作为一种共识方法，就证明了一些基线安全指南如何帮助推动真正的、协调的变革。 本报告提出了物联网网络安全的综合方法，以协调现有的国家方法，平衡公共和私营部门的利益，并确保在一个判例中被认为是安全的产品在其他判例中被认为是安全的。框架工作不是个人控制水平的规定； 1KnudLasseLueth，“物联网2020的状态：120亿物联网连接，首次超过非物联网”，IoT-Analytics.com，2020年11月19日，https://iot-analytics.com/state-the-iot-2020-120亿-iot-connections-首次超过非iot/。 2KeumarsAfifi-Sabet，“关键供应链缺陷将物联网摄像机暴露于网络攻击”，ITPro，2021年6月16日，https://www.itpro.com/security/vulgery/359899/critical-supply-chain-flaw-exposes-iot-cameras-to-网络攻击。 相反，它旨在解决美国，英国（UK），新加坡和澳大利亚的行业联盟和政府采取的方法的结构优先事项。我们关注这些国家，因为它们的物联网网络安全方法已经成熟，它们成熟的网络政策流程，它们对其他国家网络安全政策的历史影响，以及这四个国家合作的强大先例。 在考虑这种综合方法的影响时，该报告还侧重于三个垂直领域：智能家居，网络和电信以及消费者医疗保健。这三个提供了现成的关键物联网产品用例，在可用的技术和产品种类上有所不同，并由于其市场规模，消费者覆盖范围和不同的安全成熟度而成为了解更广泛的物联网市场的有用代理。 本报告借鉴了物联网安全最佳实践，标准，法律和法规的研究;与行业利益相关者和政策制定者的对话;并与物联网安全社区成员召开会议。在原则上和实践中，报告依赖于现有的方法，力求尽可能多地创建新的信息或指导，以简化实施。下面的第一部分描述了物联网生态系统中的风险状况，包括当前模型的挑战，三个物联网行业领域的不安全，以及美国，英国，澳大利亚和新加坡的物联网安全努力和控制设置的简要历史以及行业主导的努力。第二部分综合了这些不同的控制集，映射到物联网产品生命周期的每个阶段。第三部分（也是最后一部分）介绍了这四个国家和相关行业合作伙伴的物联网安全综合方法，并提出了九项建议，以解决现有物联网安全方法中的差距，消除标准设置或执法中的进一步分散，并合理化公共和私营部门安全利益之间的平衡。 这些建议附有具体针对四个国家的实施指南。 虽然本报告描述了物联网标签方法的一些关键组成部分，但它故意没有规定特定的标签设计。该报告留下了许多需要更多工作的问题，包括“谁”设置标签设计，“公司应该如何”配对物理和数字标签，以及公司和/或政府应该在多大程度上协调不同司法管辖区的标签。 安全的物联网产品具有压倒一切的公共利益，行业参与者-包括源制造商，集成商/供应商和零售商-必须响应这一利益。然而，物联网安全法规的高度不协调状态违背了公众利益。此外，进一步加大现行国家方法的力度有可能使问题恶化。这种或另一种综合方法可能需要的国家自治中的小妥协必须与更连贯和可执行的方案权衡，在这种方案为用户产生有意义的安全收益的情况下。要理解这种需要，应该从了解事态开始。 物联网风险的现状 当前的物联网生态系统充满了不安全。公司经常设计和开发网络安全实践不佳的物联网产品，包括弱默认密码，3弱加密，4有限的安全更新机制，5以及设备本身的最小数据安全过程。然后 ，政府、消费者和其他公司购买并部署这些产品，通常没有充分评估或理解他们所承担的网络安全风险。例如，虽然美国政府一直在努力为购买供联邦使用的产品开发物联网安全