Enisa報告：物聯網安全需求與現行標準差距分析
2019工業網際網路峰會於2月21日在京召開，工業網際網路作為新一代資訊科技與製造業深度融合的產物，其安全保障引發廣泛關注。此前，歐洲網路與資訊保安局（ENISA）曾釋出《物聯網安全標準差距分析》（IoT Security Standards Gap Analysis），將物聯網領域的安全和隱私要求對標現有標準，旨在確定潛在可改進領域以及進一步的發力點，以此確保物聯網安全。
一、報告概述
2017年，ENISA為物聯網應用定義了一套安全基線指南，旨在洞悉關鍵基礎設施（CII）中的物聯網安全需求，明晰關鍵設施與相關威脅的關係，評估潛在攻擊，為保護物聯網系統定義可行的優秀實踐和安全舉措。同年，ENISA還發布過報告“網路與資訊保安（NIS）標準化的差距——在歐盟標準化政策中促進網路與資訊保安的指南”。本次研究的任務是將物聯網領域的安全和隱私需求對標已頒佈的標準，明確差距，總體目標是希望為歐盟在網路與資訊保安領域中，開發調適標準、促進標準應用及標準化治理等方面提供指引。
本研究尤為關注歐盟即將頒佈的網路安全認證方案，該方案將是歐洲網路安全認證框架的一部分。目前該框架暫未通過，但預計2019年年底可完成。標準及技術規範構成認證的基礎，因此迫切需要在安全評估模型、方法、技術及工具等方面的歐洲物聯網標準，來補充物聯網安全的現行舉措、優秀實踐和行業指引。
本次研究主要選擇瞭如下組織和機構的標準或階段性建議作為分析物件：
-
歐洲三大標準化組織：CEN、CENELEC和ETSI（主要是其中的網路安全技術委員會，即TC Cyber）；
-
國際標準化組織（ISO）/國際電工委員會（IEC）：聯合技術委員會（JTC1）第27分委員會（IT安全技術組，即SC27）和第41分委員會（物聯網及相關技術，即SC41）；
-
國際電信聯盟電信標準化部門（ITU-T）:Y系列建議書，即“全球資訊基礎設施、網際網路的協議問題和下一代網路”；
二、標準與安全需求之間差距的分析
安全需求以ENISA報告“關鍵資訊基礎設施環境中的物聯網安全基線指南”為藍本，在該報告中列出的需求已對應到現行的可識別標準，如果遵循標準將滿足安全需求。
簡化分析結果表明不存在明顯的標準差距，亦即現有標準可以滿足每項需求。雖然有著針對裝置或服務中不同要素的安全標準，但在物聯網中，人們往往說的是整個生態系統，而不侷限於裝置和服務。物聯網的應用具有高可擴充套件性及其他特性要求，這類特性使安全問題更復雜，需要更通用和靈活的方法來保障安全性。因此，物聯網裝置安全標準的差距在於標準缺乏大局觀。市面上的裝置可能對使用者進行身份驗證、也可對其傳輸的資料進行加密、解密收到的資料，或者可驗證資料的完整性，但仍然是不安全的。類似地，開發物聯網產品或服務的廠商可能符合管理指南（如ISO-27000）中定義的開發流程，但仍然會提供不安全的產品。
監管機構和供應商共同面臨的挑戰是隻向市場提供安全的物聯網裝置，由於物聯網生態系統的動態性，因此需要採用有彈性的方法來適應。設想社會未來幾年後的發展並預估屆時所面臨的威脅很難，可行的辦法是對未來進行寬泛的假設，即ICT促進社會普遍連線，強化日常生活的便捷性，這必將要求ICT和網路更為安全。然而，未來幾年的關注點勢必遠超出討論安全技術的範圍，因此本文中的多數建議還是關於加深對ICT技術社會性的理解，明瞭ICT，尤其是安全的ICT如何影響日常生活。
雖然物聯網安全的檢查清單及與特定標準進行對標，可大大促進物聯網安全的總體有效性，還應謹記物聯網生態系統的複雜性需要靈活的方法來應對。不僅只是用易適應的、基於環境及風險的解決方案來應對潛在的技術挑戰，還應考慮物聯網市場的約束因素，不應阻礙競爭和創新。
部分“設計即安全”安全需求與現行標準對應
部分“設計即隱私”安全需求與現行標準對應
部分“組織、人員和流程措施”安全需求與現行標準對應
三、認證事務的機遇
從市場角度來看，訂立標準是為了實現：1）互操作性；2）信心。提到物聯網，不應只考慮單個部件，考慮到裝置、服務、人員、流程和資料的內在連線性和相互依賴性等，要求採用整體方法，因此，要全面地看待部件，而不只限於考慮應遵循哪些標準。標準可用於開發特定產品型別時設定技術規格，併為產品的安全評估提供框架，方法如下圖所示：
作為代表性用例，主要討論ISO / IEC 15408 IT安全評估這一國際標準，該標準被廣泛認為是“通用準則”（Common Criteria，CC）。CC由3部分組成，包括：
-
第1部分：簡介和一般模型
-
第2部分：安全功能要求
-
第3部分：安全保證要求
基於第1部分中討論的安全模型，可以開發技術規範，在CC中，針對產品型別，稱為“保護輪廓”（protection profiles，PP）；針對給定產品，稱為“安全目標”（security target，ST）。此類規範包含根據CC第2部分中給出的正式分類法的安全需求，同時使用CC第3部分中給出的安全保證要求建立評估需求。
CC已經從PP / ST到cPPs（合作性保護輪廓，collaborative Protection Profiles）、再到通用準則小組提出的“直接理由”（Direct Rationale）方法的演變，為更廣泛、更全面的安全觀提供了框架，進而增強信心。“直接理由”方法是指為產品總體安全設定規格的方法，比傳統方法更簡潔，可用於物聯網環境中設定完善的技術規範，亦即為使用者信任此類產品符合安全需求而夯實基礎和提供佐證。
基於通用準則的演化可推動市場對物聯網安全的信心，建議ICT安全領域實施SDO，努力實現cPP，並最終達成“直接理由”cPP。對於開發標準的機遇就是，一方面標準可被驗證，另一方面是作為安全保證在認證鏈中被引用。好處就是，只要遵循某一個妥善維護的標準，並且表裡如一，就無需操心其他標準。
宣告：本文來自賽博安全，版權歸作者所有。文章內容僅代表作者獨立觀點，不代表安全內參立場，轉載目的在於傳遞更多資訊。如需轉載，請聯絡原作者獲取授權。