全球物联网安全法规覆盖面评估：自愿合规能否奏效？
各国政府加速推进物联网安全立法，标志着市场走向成熟。但治理物联网生态极其复杂：各法条差异大，实效将指引未来政策。Pen Test Partners合伙人Ken Munro指出，关键在于规则落地程度、成功与失效之处。
- 2017年物联网网络安全改进法案（美国）
旨在保障联邦机构使用的设备安全，要求：不含NIST漏洞库已知漏洞、支持OTA更新、远程管理不使用固定/硬编码凭证、及时披露修复漏洞。但聚焦NIST条目可能遗漏面向客户应用的SQL注入等通用缺陷；无凭证运行的射频协议设备被迫重新设计。该法案尚未生效；智能物联网法案、DIGIT法案、安全物联网法案、网络盾牌法案、物联网消费者提示法案等仍在审议。 - 网络安全法案（欧盟）
2018年5月生效，确立ENISA为欧盟网络安全机构，建立面向联网汽车与智能产品的自愿认证框架，覆盖所有成员国。仅适用于关键国家基础设施。厂商可申请“基础”、“实质”、“高级”分级；“基础”级允许自测，ENISA可发布改进警示。未规定强制执行机制，更新与强制漏洞披露仍为可选。但全欧盟范围内启用吹哨与负责任披露机制。 - SB-327法案（美国加州）
2018年8月通过，加州成美首个立法规范智能技术的州。2020年1月生效，设定消费级设备基线安全标准。但“旨在保护的适当安全”措辞模糊，厂商可凭意图免责；虽强制唯一密码，未涉熵源；零售商豁免导致法律生效前市场可能充斥不合规设备；未要求更新支持。 - 消费级物联网安全实践守则（英国）
由数字、文化、媒体与体育部（DCMS）发布，融合GDPR，面向厂商、应用开发者、服务商、零售商的自愿守则。禁止默认密码，强制凭证与敏感数据安全存储，鼓励软件更新。虽建议漏洞披露政策，不强制厂商发布修复。但这是消费级物联网安全的重要正向步骤。
主流路径倾向软性监管，核心问题是自愿合规的动力。物联网厂商面临巨大市场压力；自愿遵守需明确收益或后果。可通过赋予消费者依贸易标准退换有漏洞智能产品的权利、激励零售商仅进合规货品、推动厂商加入分级体系并接受测试，形成市场驱动压力。
评估自我监管成效尚早。待立法沉淀、行业适应后，再判断是否需惩罚性措施。
Ken Munro，Pen Test Partners合伙人，常为英美政府部门简报，并在多个欧盟消费者委员会就物联网监管任职。
物联网技术