ETSI EN 303 645标准：监管机构是否充分保护物联网设备？
2020年6月，ETSI技术委员会发布EN 303 645，为物联网设备确立了全面的安全基线，赢得信息安全界广泛赞誉。
Sectigo物联网与嵌入式解决方案副总裁Alan Grau报道。
该标准顺应了立法者和监管机构日益认识到保护联网设备迫切性的趋势。2020年1月生效的加州SB-327法案，以及澳大利亚2019年《保护消费者物联网安全实践草案》，均体现了政府采取果断行动的决心。
英国于2020年1月推出自身物联网框架，凸显了设备安全长期存在的不足，以及监管机构解决这些问题的意愿。
但问题依然存在：这些法律法规是否足以保护遍布家庭和企业的数十亿物联网设备？
立法如何塑造物联网安全
历史上，物联网设备运行在隔离的专有网络中，由清晰的边界保护。互联网的扩张通过TCP/IP将这些系统连接起来，为消费者和企业带来前所未有的集成效益。IDC预测2025年联网设备将达416亿——增长速度远超监管演进。
监管协调滞后于这种快速扩张。为追求成本效益和大批量生产，许多厂商优先抢占市场，而非构建强健的认证与安全机制，导致设备脆弱不堪。
缺乏约束力的物联网框架下，厂商生产的设备内置安全极少，常依赖静态凭证，对攻击者几乎无防护力。除非安全成为强制要求，否则偷工减料将持续。强有力的立法与治理，对于将安全设计贯穿从制造到全生命周期至关重要。
进展与缺口
加州SB-327等进步举措为下一代安全与认证工具设定了清晰框架，针对暴露早期做法缺陷的僵尸网络。但该法仅适用加州，缺乏全国强制力。
ETSI EN 303 645由产业界、学界和政府合作制定，为利益相关者提供了统一目标。然而同SB-327一样，它不具法律约束力，允许部分厂商因成本更低或无执法压力而采取松散安全做法。
要真正保障物联网安全，前瞻性标准必须与强制设备开发网络安全框架的立法议程相结合。
为何内生安全至关重要
最佳实践现强调安全应在出厂时嵌入。供应链日益复杂，OEM必须确保每个设备离开铸造厂那一刻起就是安全的。内置公钥基础设施（PKI）保证凭证在下游组装过程中不被篡改，维护全生命周期完整性。
全球供应链——全球标准的必要性
物联网全球化意味着设备跨多国设计、制造、组装，放大了安全缺口风险。需要协调一致的立法努力，在每个阶段保护设备，守护财产、生命与数据。
作者：Alan Grau，Sectigo物联网与嵌入式解决方案副总裁
物联网技术