01 · 国内法规与标准框架
| 法规/标准 | 发布/施行 | 与本课题的映射 |
|---|---|---|
| 《网络安全法》 | 2017年6月1日施行 | 网络运营者安全义务总纲；日志留存≥6个月；本课题第7章审计基线的上位依据 |
| 《数据安全法》《个人信息保护法》 | 2021年9月1日 / 2021年11月1日施行 | 设备影子/影子画像中的位置、行为数据多为个人信息；CloudPets类语音数据属敏感个人信息——平台数据分类分级与最小化收集的直接依据 |
| 《关键信息基础设施安全保护条例》 | 2021年9月1日施行 | 能源、市政等IoT/OT系统若被认定为关基，适用"三同步"与优先保护（与子课题02共担） |
| GB/T 22239-2019（等保2.0） | 2019年12月1日实施 | 设物联网安全扩展要求（感知层接入、网关节点、管理平台）与工控扩展要求；IoT平台定级备案与测评的直接技术标准 |
| 《网络产品安全漏洞管理规定》 | 2021年9月1日施行 | 平台/SDK漏洞收集与报送义务（≤2日/≤3日/≤10日分级时限）；本课题协同披露流程（第5页MV720案例路径）的合规蓝本 |
| 工信部车联网卡实名通知（网安函〔2021〕246号） | 2021年9月印发 | 车联网卡实名登记与存量补登记（2022年9月30日节点）——第6页核心内容 |
| 断卡行动及相关部署 | 2020年10月10日起 | 物联网卡"两卡"治理、一证通查、涉诈卡关停——第6页治理框架 |
| GB 44495—2024《汽车整车信息安全技术要求》 | 2026年1月1日实施 | 车企平台侧（T-Box接入、OTA平台）强制要求，与子课题04衔接 |
02 · 国际法规与标准框架
| 法规/标准 | 发布/生效 | 与本课题的映射 |
|---|---|---|
| 欧盟《网络弹性法案》（CRA） | 2024年12月10日生效；漏洞与事件报告义务自2026年9月11日起适用，主要义务2027年12月11日起适用 | 含数字元素产品的漏洞处理、默认安全、支持期明示义务——出口欧盟IoT平台的合规基线 |
| 美国FCC Cyber Trust Mark | 2024年批准规则 | 消费IoT标签制度，"唯一默认口令/强制改密"为核心条款——第3、5页基线的国际呼应 |
| ETSI EN 303 645 | 2020年发布 | 消费IoT 13项安全基线（通用密码禁令、漏洞披露通道、透明更新政策）——本课题基线清单的国际蓝本 |
| NIST IR 8228 | 2019年5月 | IoT网络安全与隐私风险管理的"设备-数据-隐私"三视角框架——风险评估方法论 |
| ISO/IEC 27400:2022 | 2022年发布 | 《IoT安全与隐私指南》国际标准，覆盖设备/平台/服务全生命周期 |
| IEC 62443系列 | 持续更新 | IACS安全标准族，IIoT平台与工控衔接场景的分区与等级方法（与子课题02共担） |
| 3GPP / GSMA规范 | R13—R17 / SGP系列 | 蜂窝安全（33.401/33.501）与eSIM（SGP.32）——第2、6页技术依据 |
| OASIS / IETF / OMA / CSA标准 | 见第2页 | MQTT、CoAP、LwM2M、Matter协议规范——本课题全部协议分析的基准文本 |
2.1 协议与基线标准速查
| 标准 | 状态 | 安全核心条款方向 |
|---|---|---|
| ISO/IEC 20922:2016（MQTT 3.1.1） | 现行 | TLS Profile；认证字段框架（授权留实现） |
| OASIS MQTT 5.0（2019） | 现行 | 增强认证、会话过期、原因码可观测性 |
| RFC 7252 + RFC 6347/8613 | 现行 | CoAP必须支持DTLS；OSCORE对象级安全选项 |
| OMA LwM2M 1.1/1.2 | 现行 | TCP/TLS承载、OSCORE支持、固件升级对象加固 |
| Matter 1.0+（2022—） | 持续版本更新 | DAC设备证明、DCL账本、配网PAKE |
| ETSI EN 303 645 | 现行（v2.1.1） | 13条基线：禁通用默认密码、漏洞披露、更新透明 |
03 · 合规义务→技术措施映射表
| 合规义务（出处） | 落地技术措施 | 本课题对应章节 |
|---|---|---|
| 禁通用默认口令（ETSI 5.1-1；FCC Trust Mark） | 唯一初始口令+首启强制改密；云API默认口令清零 | 第3、5页 |
| 漏洞披露通道（ETSI 5.2-10；漏洞规定；CRA） | PSIRT/安全邮箱公示；协同披露SOP（厂商→CNVD→CISA） | 第5页MV720路径 |
| 敏感数据最小化（个保法；NIST IR 8228） | 影子字段最小化；语音/影像数据分类分级与加密 | 第4页影子章节 |
| 安全更新与支持期透明（CRA；ETSI 5.2-7） | EOL政策公示；OTA签名+灰度；停服凭据吊销 | 第3、4页 |
| 实名与卡治理（246号；断卡行动） | 卡实名台账；能力最小化；IMEI绑定；异常监测 | 第6页 |
| 等保物联网扩展测评（GB/T 22239） | 感知层接入认证、网关管控、平台审计达标 | 第7页清单 |
| 通信加密与认证（协议Profile；GB 44495衔接） | 双向TLS；禁TLS 1.0/1.1；算法基线 | 第2、3页 |
| 事件报告（关基条例；漏洞规定） | 事件分级与报告时限（依《关基条例》及国家网络安全事件应急预案执行） | 第7页成熟度L4 |
04 · 实施路线图（12个月五阶段）
4.1 组织职责（RACI简化）
| 工作流 | 平台研发 | 安全团队 | 运营商对接 | 法务合规 |
|---|---|---|---|---|
| 协议基线与加固 | R/A | C | I | I |
| 身份与密钥体系 | R/A | C | I | C |
| 监测与狩猎 | C | R/A | C | I |
| 卡治理协同 | C | C | R/A | C |
| 披露与事件响应 | C | R/A | I | C |
R=负责 A=批准 C=咨询 I=知会
4.2 核心度量指标（季度）
- 高危误配置清零率（匿名/明文/通配符/弱TLS四项，目标100%）；
- 凭据平均轮换时长（事件驱动轮换≤72小时，常规轮换按策略）；
- 异常接入MTTD（目标≤24小时进入研判）；
- 影子写入审计覆盖率（100%）；
- 卡异常处置闭环时长（运营商侧≤48小时）。
05 · 子课题小结与后续研究方向
- 本课题结论：物联网平台与协议层安全的核心矛盾是"协议的轻量设计 vs 授权的部署责任"——MQTT/CoAP本身不欠安全债，欠的是默认配置、身份粒度与运营纪律；平台层（云IoT与自建Broker）的权限设计质量决定单点失误是否演变为平台级事件。
- 三大优先投入：①身份凭证体系（一机一密/动态注册+设备侧证书校验）——阻断最大批量风险；②Topic/影子/规则引擎授权收敛——压缩内部横向面；③卡生命周期治理——封堵连接侧黑产入口。
- 后续方向：①MQTT over QUIC的标准化进展跟踪（IETF草案阶段，将改变加密传输与连接迁移安全模型）；②OSCORE与Matter DAC的工程化评估工具链；③IoT协议蜜罐与加密流量指纹的开源数据集建设（与子课题06蜜罐研究合并立项）；④AIoT时代大模型设备接入协议（自然语言指令通道）的授权与审计新问题。
使用说明：本八页与子课题01《IoT设备固件安全与漏洞挖掘》结构对齐、数据互通，建议联合使用：固件侧发现凭证→本平台侧验证阻断点；本平台侧测绘发现异常设备→固件侧逆向溯源。两个子课题共同构成"物联网与工控安全"专题中"端-管-云"研究闭环的"管-云"一极。
本节参考来源（第8页）
以下均为真实可查的权威来源（标准组织、监管机构、漏洞库、厂商安全公告与主流安全媒体报道），用于支撑本页事实性表述；涉统计数字均标注原始出处。
中国政府网《关键信息基础设施安全保护条例》（2021年9月1日施行）：gov.cn/zhengce/content/2021-08/17/content_5631671.htm。
工信部《网络产品安全漏洞管理规定》（2021年9月1日施行）及GB 44495—2024发布信息：miit.gov.cn；标准全文公开系统：openstd.samr.gov.cn。
工信部网安函〔2021〕246号《关于加强车联网卡实名登记管理的通知》：gov.cn/zhengce/zhengceku/2021-09/29/content_5639970.htm。
欧盟委员会《Cyber Resilience Act》官方页面：digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act。
FCC U.S. Cyber Trust Mark：fcc.gov/cyber-trust-mark；ETSI EN 303 645：etsi.org/deliver/etsi_en/303600_303699/303645。
NIST IR 8228（2019）：csrc.nist.gov/pubs/ir/8228/final；ISO/IEC 27400:2022：iso.org/standard/44375.html。
IEC 62443官方入口：iec.ch/cyber-security；OWASP IoT与API安全项目：owasp.org。
终审增补 · 合规时间线勘误与映射补全2026-09核验
H1. 链接勘误记录（本次终审已修正）
| 原链接 | 问题 | 勘误后 |
|---|---|---|
| iso.org/standard/44375.html（ISO/IEC 27400） | 目录号错误（44375为其他标准） | iso.org/standard/44373.html（ISO官方目录号，经CSA官方社区与ISO OBP双重核验） |
| fcc.gov/cyber-trust-mark（小写路径） | 页面不可达 | fcc.gov/CyberTrustMark（FCC官方页面，正文与参考来源已同步修正） |
| akamai.com/blog/security（栏目页） | 未指向对应博文 | akamai.com/blog/security-research/2024-corona-mirai-botnet-infects-zero-day-sirt（与第5页Avtech案例对应，经NVD参考链接核验） |
H2. 国内框架补全：《反电信网络诈骗法》（2022年12月1日施行）
| 法规/标准 | 发布/施行 | 与本课题的映射 |
|---|---|---|
| 《中华人民共和国反电信网络诈骗法》（主席令第一一九号） | 2022年9月2日通过，2022年12月1日施行 | 物联网卡治理专门法律底座：禁止非法买卖/出租/出借物联网卡；电信主管部门建立物联网卡使用监测预警机制；新业务涉诈风险评估义务（详见第6页增补F节） |
H3. 合规义务→技术措施映射表（补两行）
| 合规义务（出处） | 落地技术措施 | 本课题对应章节 |
|---|---|---|
| 物联网卡监测预警机制（反电诈法） | 卡行为监测模型对接运营商风控；新业务涉诈评估清单 | 第6页 |
| 漏洞与事件报告义务（CRA，2026年9月11日起适用） | 面向欧盟市场的IoT平台建立CSIRT报告流程与时限管理 | 第5、7页 |
增补来源
欧盟委员会《Cyber Resilience Act》官方页面（分阶段日期）：digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act。
ISO/IEC 27400:2022官方目录页：iso.org/standard/44373.html；在线预览：iso.org/obp/ui/#iso:std:iso-iec:27400:ed-1:v1:en。
FCC《U.S. Cyber Trust Mark》：fcc.gov/CyberTrustMark；《中华人民共和国反电信网络诈骗法》全文：sthjt.fujian.gov.cn/ztzl/gjaqjbmxcjy/zcfg/202411/t20241112_6564959.htm。