美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）計(jì)劃修訂其物聯(lián)網(wǎng)網(wǎng)絡(luò)安全框架，以應(yīng)對(duì)人工智能、沉浸式技術(shù)新興技術(shù)和用例帶來(lái)的不斷變化的風(fēng)險(xiǎn)。NIST準(zhǔn)備修訂的框架是在2020年美國(guó)首個(gè)全國(guó)性的物聯(lián)網(wǎng)網(wǎng)絡(luò)安全法案出臺(tái)后形成的NIST IR 8259系列框架，在過(guò)去近5年的時(shí)間里，該文檔被美國(guó)物聯(lián)網(wǎng)產(chǎn)業(yè)界廣泛采用。隨著物聯(lián)網(wǎng)應(yīng)用的擴(kuò)展，加上新興技術(shù)快速發(fā)展，原有的物聯(lián)網(wǎng)網(wǎng)絡(luò)安全框架面臨著新的挑戰(zhàn)，需要對(duì)其進(jìn)行持續(xù)修訂。筆者曾在《特朗普重返白宮，回顧一下他曾經(jīng)簽署的美國(guó)首部物聯(lián)網(wǎng)安全法》一文中提出，美國(guó)首個(gè)物聯(lián)網(wǎng)安全法案實(shí)施過(guò)程中，NIST發(fā)揮了重要作用，我們今天就系統(tǒng)地了解一下NIST在物聯(lián)網(wǎng)安全方面所做地工作。
NIST物聯(lián)網(wǎng)網(wǎng)絡(luò)安全計(jì)劃
2016年至2017年，幾個(gè)惡性物聯(lián)網(wǎng)安全事件發(fā)生，包括惡意軟件Mirai攻擊物聯(lián)網(wǎng)設(shè)備事件和“WannaCry”勒索病毒暴發(fā)，美國(guó)聯(lián)邦政府部門意識(shí)到了物聯(lián)網(wǎng)安全問(wèn)題的嚴(yán)重性，開始積極探討和研究如何應(yīng)對(duì)物聯(lián)網(wǎng)面臨的安全沖擊。2017年5月，時(shí)任總統(tǒng)特朗普簽署了13800號(hào)總統(tǒng)行政令《加強(qiáng)聯(lián)邦網(wǎng)絡(luò)和關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全》，其中內(nèi)容之一就是要增強(qiáng)美國(guó)應(yīng)對(duì)僵尸網(wǎng)絡(luò)及其他自動(dòng)化和分布式威脅的能力，行政令還提出各機(jī)構(gòu)應(yīng)使用由NIST制定的“改善關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全的框架”。
NIST為了執(zhí)行13800號(hào)行政令，在此后召開了專門研討會(huì)，探討在物聯(lián)網(wǎng)環(huán)境下增強(qiáng)網(wǎng)絡(luò)彈性及應(yīng)對(duì)僵尸網(wǎng)絡(luò)威脅的解決方案。研討會(huì)上，與會(huì)人員就當(dāng)前加強(qiáng)物聯(lián)網(wǎng)安全，降低僵尸網(wǎng)絡(luò)威脅的標(biāo)準(zhǔn)、技術(shù)及做法，物聯(lián)網(wǎng)設(shè)備開發(fā)，互聯(lián)網(wǎng)用戶的自我保護(hù)，物聯(lián)網(wǎng)安全研究以及政府角色等問(wèn)題進(jìn)行了集中討論。為了應(yīng)對(duì)物聯(lián)網(wǎng)網(wǎng)絡(luò)安全問(wèn)題，NIST啟動(dòng)了物聯(lián)網(wǎng)網(wǎng)絡(luò)安全計(jì)劃。
NIST宣稱物聯(lián)網(wǎng)網(wǎng)絡(luò)安全計(jì)劃的使命是培養(yǎng)對(duì)物聯(lián)網(wǎng)的信任，并通過(guò)標(biāo)準(zhǔn)、指南和相關(guān)工具營(yíng)造一個(gè)支持全球范圍創(chuàng)新的環(huán)境。在這一計(jì)劃中，NIST重點(diǎn)針對(duì)3個(gè)領(lǐng)域形成相關(guān)標(biāo)準(zhǔn)、指南和工具，支持這3個(gè)領(lǐng)域物聯(lián)網(wǎng)網(wǎng)絡(luò)安全工作實(shí)施。其中，第一個(gè)領(lǐng)域是為物聯(lián)網(wǎng)制造商和服務(wù)商提供的指南，形成NIST IR 8259系列；第二個(gè)領(lǐng)域是為聯(lián)邦政府和企業(yè)在其系統(tǒng)中部署物聯(lián)網(wǎng)設(shè)備提供指南，形成NIST SP 800-213系列；第三個(gè)領(lǐng)域是面向消費(fèi)物聯(lián)網(wǎng)產(chǎn)品的標(biāo)準(zhǔn)和技術(shù)貢獻(xiàn)，包括消費(fèi)物聯(lián)網(wǎng)核心基線NIST IR 8425，對(duì)物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃形成有力支持。
目前，NIST物聯(lián)網(wǎng)網(wǎng)絡(luò)安全計(jì)劃相關(guān)標(biāo)準(zhǔn)不僅規(guī)范美國(guó)國(guó)內(nèi)企業(yè)的產(chǎn)品和服務(wù)，也是很多企業(yè)進(jìn)入海外市場(chǎng)認(rèn)證標(biāo)準(zhǔn)。例如，NIST IR 8259、NIST IR 8425認(rèn)證得到全球多個(gè)國(guó)家認(rèn)可，國(guó)內(nèi)格力、美的等家電廠商的智能家電獲得NIST IR 8425復(fù)合性認(rèn)證，為其產(chǎn)品走向全球市場(chǎng)提供有利條件。
基于NIST IR 8259系列延伸與更新
2020年5月，NIST發(fā)布了《物聯(lián)網(wǎng)設(shè)備制造商的基礎(chǔ)網(wǎng)絡(luò)安全活動(dòng)》（NIST IR 8259），它描述了制造商在向客戶銷售其物聯(lián)網(wǎng)設(shè)備之前應(yīng)考慮執(zhí)行的建議網(wǎng)絡(luò)安全活動(dòng)，這些基本的網(wǎng)絡(luò)安全活動(dòng)可以幫助制造商減少客戶所需的網(wǎng)絡(luò)安全相關(guān)工作，這反過(guò)來(lái)又可以降低物聯(lián)網(wǎng)設(shè)備受損和使用受損設(shè)備進(jìn)行攻擊的普遍性和嚴(yán)重性。
在該文件發(fā)布后的近五年中，已經(jīng)以三種語(yǔ)言（英語(yǔ)、西班牙語(yǔ)和葡萄牙語(yǔ)）版本發(fā)布，下載次數(shù)超過(guò)4萬(wàn)次，得到業(yè)界廣泛認(rèn)可和應(yīng)用。為了完善該系列框架，NIST增加了兩個(gè)重要條目，即《物聯(lián)網(wǎng)設(shè)備網(wǎng)絡(luò)安全能力核心基線》（NIST IR 8259A）和《物聯(lián)網(wǎng)非技術(shù)支撐能力核心基線 》（NIST IR 8259B），NIST IR 8259A和NIST IR 8259B補(bǔ)充了NISTIR 8259中描述的活動(dòng)，提供了特定的技術(shù)能力和非技術(shù)性支持活動(dòng)，制造商應(yīng)在其產(chǎn)品設(shè)計(jì)和支持計(jì)劃中考慮這些活動(dòng)，以幫助確保他們滿足客戶的網(wǎng)絡(luò)安全需求和目標(biāo)。
為了支持相關(guān)部門推進(jìn)物聯(lián)網(wǎng)安全工作，例如支持《物聯(lián)網(wǎng)網(wǎng)絡(luò)安全改進(jìn)法案》實(shí)施和美國(guó)物聯(lián)網(wǎng)網(wǎng)絡(luò)安全標(biāo)識(shí)計(jì)劃，在NISTIR 8259系列標(biāo)準(zhǔn)的基礎(chǔ)上，后續(xù)出臺(tái)了多個(gè)標(biāo)準(zhǔn)和指南，NISTIR 8259為這些標(biāo)準(zhǔn)和指南提供了概念和背景的基礎(chǔ)。后續(xù)出臺(tái)新的標(biāo)準(zhǔn)和指南包括：
一是《聯(lián)邦政府物聯(lián)網(wǎng)設(shè)備網(wǎng)絡(luò)安全指南》（NIST SP 800-213）。這一指南是NIST IR 8259系列標(biāo)準(zhǔn)在聯(lián)邦政府的應(yīng)用，將物聯(lián)網(wǎng)產(chǎn)品網(wǎng)絡(luò)安全納入NIST的各種信息系統(tǒng)風(fēng)險(xiǎn)管理指南中，以使聯(lián)邦機(jī)構(gòu)對(duì)可能感興趣的物聯(lián)網(wǎng)設(shè)備的功能范圍更加清晰、更加可用、更加兼容。此外，與這一指南相伴而生的《物聯(lián)網(wǎng)設(shè)備網(wǎng)絡(luò)安全需求目錄》（(NIST SP 800-213A)提供了設(shè)備及其制造商為確保這些設(shè)備安全所需的最詳細(xì)的功能列表，也提供了許多超出基線的附加功能。
二是《面向消費(fèi)物聯(lián)網(wǎng)產(chǎn)品的物聯(lián)網(wǎng)核心基線概況》（NIST IR 8425）。這一文件是NIST IR 8259 A和NIST IR 8259B針對(duì)消費(fèi)級(jí)物聯(lián)網(wǎng)產(chǎn)品的闡釋。這份基線文件明確了消費(fèi)物聯(lián)網(wǎng)的概念及其擴(kuò)展范疇，考慮到了物聯(lián)網(wǎng)產(chǎn)品及其所有必要的組件，如移動(dòng)應(yīng)用程序、網(wǎng)關(guān)或遠(yuǎn)程后臺(tái)等。
三是《消費(fèi)級(jí)路由器產(chǎn)品的推薦網(wǎng)絡(luò)安全要求》（NIST IR 8425A）。該文件包括消費(fèi)級(jí)路由器產(chǎn)品的網(wǎng)絡(luò)安全成果和路由器相關(guān)標(biāo)準(zhǔn)要求。
四是《產(chǎn)品開發(fā)網(wǎng)絡(luò)安全手冊(cè)：物聯(lián)網(wǎng)產(chǎn)品制造商的概念和考慮》（CSWP33草案)。**該草案討論對(duì)于為任何行業(yè)或使用案例開發(fā)和部署安全物聯(lián)網(wǎng)產(chǎn)品非常重要的概念，包括物聯(lián)網(wǎng)產(chǎn)品架構(gòu)、部署、角色和網(wǎng)絡(luò)安全視角。
NIST認(rèn)為，隨著物聯(lián)網(wǎng)應(yīng)用的擴(kuò)展，新的挑戰(zhàn)已經(jīng)出現(xiàn)，促使NIST IR 8259需要進(jìn)行修訂，以更好地符合新的指南、標(biāo)準(zhǔn)的要求。對(duì)物聯(lián)網(wǎng)安全提議的更新包括將把關(guān)注點(diǎn)從單個(gè)物聯(lián)網(wǎng)設(shè)備擴(kuò)大到整個(gè)產(chǎn)品生態(tài)系統(tǒng)，NIST還計(jì)劃整合風(fēng)險(xiǎn)評(píng)估和威脅建模，解決物聯(lián)網(wǎng)、OT和IT系統(tǒng)之間的差異，并納入其網(wǎng)絡(luò)安全框架的見解。
該框架的更新還將解決新出現(xiàn)的問(wèn)題，如可修復(fù)性與安全性的關(guān)系，以及互聯(lián)產(chǎn)品中IT和機(jī)械部件壽命之間的差異。NIST公告稱，隨著人工智能、沉浸式技術(shù)和其他創(chuàng)新的引入，物聯(lián)網(wǎng)網(wǎng)絡(luò)安全變得更加復(fù)雜，此次修訂旨在確保制造商能夠跟上這些發(fā)展，同時(shí)解決長(zhǎng)期以來(lái)對(duì)設(shè)備安全性和支持的擔(dān)憂。更新后的框架將作為制造商和政策制定者的參考，有助于降低設(shè)備接管和數(shù)據(jù)泄露等風(fēng)險(xiǎn)。
NIST IR 8259系列框架作為美國(guó)物聯(lián)網(wǎng)網(wǎng)絡(luò)安全底層框架，在其問(wèn)世至今近5年時(shí)間不斷完善。特朗普在上一任期中對(duì)物聯(lián)網(wǎng)網(wǎng)絡(luò)安全已形成初步政策體系，在接下來(lái)的第二任總統(tǒng)任期中，預(yù)計(jì)會(huì)進(jìn)一步出臺(tái)新的物聯(lián)網(wǎng)網(wǎng)絡(luò)安全政策。目前NIST對(duì)物聯(lián)網(wǎng)網(wǎng)絡(luò)安全框架的修訂，也在為進(jìn)一步的政策出臺(tái)打下基礎(chǔ)。
