01 · 法规与标准全景
消费IoT安全治理已形成"中国国标+欧盟强规+英美标签"的三极格局。下表汇总本课题引用的现行有效文件，日期均以正式公布文本为准。
| 法域 | 文件 | 要点 | 状态 |
|---|---|---|---|
| 中国 | 《民法典》人格权编（2021.1.1） | 隐私权：私人生活安宁与私密空间、活动、信息受保护 | 施行中 |
| 《网络安全法》（2017.6.1）、《数据安全法》（2021.9.1）、《个人信息保护法》（2021.11.1） | PIPL确立敏感个人信息单独同意+影响评估+最小必要；公共场所图像采集设备仅能为公共安全所需并设显著提示（第26条） | 施行中 | |
| 《网络产品安全漏洞管理规定》（2021.9.1） | 产品提供者2个工作日内向工信部平台报送漏洞信息；禁止违规发布漏洞信息 | 施行中 | |
| 《儿童个人信息网络保护规定》（2019.10.1）；GB/T 35273-2020 | 儿童数据监护人同意+专门规则；个人信息安全实践国标 | 施行中 | |
| GB/T 22239-2019（等保2.0，含物联网安全扩展要求） | 感知层、网络传输层、处理应用层的扩展控制要求 | 现行国标 | |
| 《物联网基础安全标准体系建设指南（2021版）》；GB/T 41387-2022、GB/T 41388-2022 | 设备、网络、平台、数据四类标准体系；智能家居通用安全与安全网关两项国标 | 现行国标 | |
| 《生成式人工智能服务管理暂行办法》（2023.8.15施行） | 训练数据合法性、生成内容标识义务——AI语音助手与家庭大模型应用的国内治理依据 | 施行中 | |
| 欧盟 | GDPR（2018.5.25） | 数据主体权利+最高全球营业额4%罚则；儿童数据以监护人同意为前提 | 施行中 |
| 《无线电设备指令》授权条例（EU）2022/30 | 互联网连接无线电设备的网络安全强制要求（对齐EN 303 645） | 2025.8.1适用 | |
| 《网络弹性法案》CRA（条例（EU）2024/2847） | 含数字元素产品全生命周期安全义务；漏洞与事件强制报告（报告义务2026年9月起，主要义务2027年12月起分阶段适用） | 分阶段实施 | |
| 英国 | PSTI法案及消费者IoT安全要求（2024.4.29起） | 三件套：禁通用默认口令、漏洞披露渠道、公示最短支持期；最高罚1000万英镑或全球营业额4% | 强制实施 |
| 美国 | FCC Cyber Trust Mark（2024规则） | 基于NIST IR 8425基线的自愿性标签，2025年进入实施 | 2025年启动 |
| FTC执法+COPPA | 事后追责：Vizio（220万美元）、Ring（580万美元）、Alexa（2500万美元）等判例 | 执法常态化 | |
| 加州SB-327（2018立法，2020.1.1生效） | 联网设备须具备合理安全特性（禁默认口令），美国州法先河 | 施行中 | |
| FCC 24-17裁定（2024.2.8）；FTC《电话营销规则》修订（2024） | 认定AI生成声音属TCPA“人工/预录声音”，AI自动外呼须事先取得同意；TSR修订针对AI语音克隆诈骗 | 施行中 | |
| 新加坡 | CSA网络安全标签计划CLS（2020.10启动） | 亚洲首个消费IoT标签，1—4级分级，首批覆盖家用路由器 | 已实施 |
| 日本 | METI《IoT安全指南》（2016年起持续修订） | 面向设备制造商的自愿性安全指南，政府与企业协同推进 | 指引性 |
| 澳大利亚 | 《消费者物联网安全实践准则》（2019） | 与EN 303 645对齐的13项自愿原则 | 自愿性 |
对照要点：中国走"国家标准+漏洞管理规章"路线；欧盟率先把消费IoT安全变成产品上市强制义务（CRA+RED）；英美以"默认口令禁令+标签制度"切入；新加坡以分级标签引导采购。对国内厂商出口而言，"一套基线（EN 303 645）多国映射"是成本最低的合规路径。
02 · 厂商责任：Secure by Design
2.1 六项法定义务化趋势
- 默认安全：无通用默认口令（PSTI已开罚则）、唯一设备身份、最小化开放服务；
- 漏洞响应：公开披露渠道（ETSI 5.2）、内部处置流程（ISO/IEC 30111、29147）、中国2个工作日报送义务、修复与验证闭环；
- 支持期承诺：明示最短安全更新支持期（PSTI法定、CRA强制），EOL前公告与处置建议；
- SBOM与组件治理：建立软件物料清单，跟踪芯片/SDK上游公告（SweynTooth、Realtek SDK、Kalay教训），采购合同中加入安全条款；
- 隐私工程：数据清单、逐项同意开关、删除权兑现、儿童数据专门规则（第5页工具链）；
- 证据留存：渗透测试、认证证书、评估报告归档——CRA下监管可要求提供合规证据。
2.2 内部威胁与供应链审计
Ring 580万美元处罚的核心事实是"员工与承包商可越权访问任意客户摄像头画面"：厂商必须对内部访问实行最小权限+审批+审计，把"能看到客户画面的人"压缩到制度必需的最小集合，并对批量调阅行为设置实时告警（第7页检测建议）。
03 · 家庭用户实操十条
| 编号 | 动作 | 要点与依据 |
|---|---|---|
| 1 | 改密与2FA | 所有设备管理账号改唯一强口令并开启双因子；摄像头/门锁/儿童设备账号不与主邮箱同密（Ring凭据填充教训，第6页） |
| 2 | 自动更新 | 能开尽开；一级设备（门锁/摄像头/网关）每月手动核查固件版本 |
| 3 | 关WPS/关UPnP/关WAN管理 | 路由器三关是家庭加固性价比最高的三步（第3页） |
| 4 | 三网分区 | 主网络/设备专网/访客网络三SSID；IoT设备全部进专网 |
| 5 | 一级设备先检测后入网 | 按第2页"五问"核查；优先CLS/CTM标签产品 |
| 6 | 音箱与技能最小化 | 支付/开锁类语音指令默认关闭；季度审计技能授权（第6页） |
| 7 | 摄像头部署纪律 | 敏感区域不装、范围限定、显著提示、物理遮蔽；账号共享按人限时 |
| 8 | 电视遥测关闭 | 关闭ACR/观看数据收集；固件更新；陌生APK不装（第6页） |
| 9 | 出口流量月审计 | 导出DNS/流量日志核对陌生域名固定外联（第5页2.3清单） |
| 10 | 应急处置卡 | 预设"设备疑似被控"流程：断网→改云密码→复位→核查固件→必要时替换（第3页6.2） |
04 · 行业与场景治理
4.1 精装房与长租公寓
- 交付重置义务：开发商/公寓方预装的智能门锁、水电表、面板，交付时必须重置全部管理凭据并书面移交账号权属；
- 权属清晰：租赁合同应明确设备账号归属与退租时数据删除（门锁开锁记录属高度敏感数据，按最小必要留存）；
- 租客知情权：房间内任何联网传感设备应在合同中列明，禁止房东侧隐瞒部署（民法典隐私权直接适用）。
4.2 民宿与酒店
- 防偷拍义务：经营者对客房负有安全保障义务；公安机关近年持续开展打击偷拍偷录专项行动，查处多起利用改装摄像头偷拍的案件；
- 技术排查：采用"定期人工排查+无线信号检测"双轨；摄像头部署仅限公共区域并符合PIPL第26条（公共安全目的+显著提示+不得另作他用）；
- 入住提示：对客房内合法的智能设备（电视、音箱）提供关闭指引，避免"默认开启"引发争议。
4.3 物业与智慧社区
- 人脸门禁合规：PIPL第26条要求公共场所图像采集/身份识别设备为维护公共安全所必需、显著提示且不得另作他用；应提供非人脸的替代通行方式（卡、码）；
- 影响评估：社区级人脸与车辆数据采集处理前应开展个人信息保护影响评估并留存记录；
- 数据权属：社区平台数据属业主共同权益，物业不得对外提供商业利用；系统移交与物业更换时数据处置需有明确约定。
05 · 90天实施路线图
| 角色 | 90天内关键动作 |
|---|---|
| 家庭 | 按实操十条执行；完成一次断网恢复与账号找回演练 |
| 厂商 | 默认口令清零、漏洞渠道公开、SBOM建立、认证标签（CLS/CTM）申请、隐私面板上线 |
| 物业/长租公寓 | 存量设备凭据重置移交、人脸门禁替代通道与显著提示、数据权属约定修订 |
| 监管/行业 | 以GB/T 41387/41388为检测依据推进抽检与认证；对"静默监听"类功能建立负面清单；协同打击摄像头黑产 |
06 · 与学院攻防演练体系的衔接
消费IoT是钓鱼与社会工程的高发场景，本子课题的研究成果可直接转化为学院攻防演练与意识教育内容：
- 仿冒设备管理App：伪造"路由器管理""摄像头看家"App诱导输入Wi-Fi密码与云账号（对应钓鱼场景库中"仿冒应用商店"场景）；
- 伪"固件升级"短信："【设备安全中心】您的摄像头存在高危漏洞，请点击升级"诱导进入钓鱼页收割云账号（对应"税务退税""会员续费"类场景手法）；
- 智能音箱假冒客服：利用语音助手"拨打官方客服"类技能设置被抢注的仿冒号码（对应"冒充客服"场景）；
- AI语音克隆钓鱼演练：模拟“克隆家人声音”的应急求助电话，检验家庭暗号与“挂断回拨核验”习惯（FTC/FBI 2023—2024年连续预警的手法，对应第1页8.2节）；
- 演练指标复用：以本子课题实操十条为知识基线，测量演练前后用户改密率、2FA开通率、云权限审计率的提升。
课题总结：智能家居安全的主战场从来不在高深攻击，而在"默认口令、默认共享、默认开启"三个默认。把默认改成安全，把网络切成信任域，把隐私做成开关，把档案变成检测规则——这四句话就是本子课题对家庭安全的全部回答。
本节参考来源（第8页）
法规文本以官方公布为准；判例与专项行动以监管通报为准。
《个人信息保护法》第26、28—30条（国家法律法规数据库）：npc.gov.cn；《民法典》人格权编：gov.cn。
《网络产品安全漏洞管理规定》（2021年9月1日施行）：miit.gov.cn；ISO/IEC 30111:2019、29147:2018（漏洞处理与披露，iso.org）。
欧盟CRA条例（EU）2024/2847（EUR-Lex）：eur-lex.europa.eu；RED授权条例（EU）2022/30（2025年8月1日适用）。
英国PSTI消费者IoT安全要求（2024年4月29日生效）：gov.uk（PSTI专题）；FCC Cyber Trust Mark：fcc.gov/cybertrustmark；新加坡CSA CLS：csa.gov.sg（CLS）。
FTC判例：Vizio（2017）、Ring（2023年5月，580万美元）、Amazon Alexa（2023年5月，2500万美元）：ftc.gov（新闻稿）。
GB/T 41387-2022、GB/T 41388-2022、GB/T 22239-2019、GB/T 35273-2020：openstd.samr.gov.cn；工信部《物联网基础安全标准体系建设指南（2021版）》：miit.gov.cn。
澳大利亚《Code of Practice: Securing the Internet of Things for Consumers》（2019）：homeaffairs.gov.au；日本METI《IoTセキュリティガイドライン》（2016年起修订版）：meti.go.jp。
加州SB-327《Information privacy: connected devices》（2018年签署，2020年1月1日生效）：leginfo.legislature.ca.gov；公安机关打击偷拍偷录专项行动公开通报（公安部官网及主流媒体报道）。