腾讯安全正式发布《IoT安全能力图谱》

　　IoT技术，正在融合物理和数字世界的边界。

　　近年来，智能家居、智慧城市、工业互联网、智慧医疗等领域快速发展。IoT技术以联结为基础、数据作核心，在提升公众生活质量、增加企业生产效率、优化政府公共管理等场景中实现了突破性的价值创造，逐步成为新时代不可或缺的基础设施。

　　但技术和安全永远是一体两面。任何新技术的应用，都不可避免地会带来全新的安全风险和挑战。IoT技术也不例外，由之带来的安全风险亦呈现出全新特征：

　　1.IoT的攻击难度更低：攻击者可以从分布式的物联网终端获得更多的攻击入口和对象。

　　2.IoT的防守成本更高：物联终端因其功耗和计算能力限制，往往难以直接应用现有的防御技术。

　　3.IoT攻击的危害更大：物理和数字的融合，使得恶意攻击者能够真正给物理世界带来更巨大的破坏。

　　对企业的安全管理者来说，在业务快速拥抱IoT技术变革的时代，如何使其安全能力快速匹配新业务场景，延续有效的安全控制水平，正在成为其核心的目标和关注点。

　　腾讯安全专家咨询中心，结合IoT相关标准和国内外IoT最佳实践，针对企业如何构建IoT安全能力体系，发布整体能力清单和指导框架，绘制成通用性的IoT安全能力图谱，旨在帮助企业面向万物互联时代进行安全能力转型和升级。

　　关注腾讯安全(公众号：TXAQ2019)

　　回复【IoT安全能力图谱】获取原图

　　腾讯IoT安全能力图谱提出了六大能力：IoT安全治理能力、信任链构建能力、价值链保护能力、IoT系统“管边端”安全管控能力、IoT系统生命周期管理能力、IoT系统安全运营能力。

　　IoT安全治理能力，是高阶的风险治理能力和组织、流程保障机制，以建立对IoT风险的有效分析、评价、处置和监控能力。

　　贯穿“云管边端”的信任链构建能力和贯穿数据生命周期的价值链保护能力，主要强调从全局视角，在IoT系统各能力组件和参与方之间，建立起可信的网络和业务联结，并基于其核心业务价值保护，对IoT系统采集和处理数据建立完整的全生命周期管控能力，这两个能力的构建需要充分打通IT和OT技术的边界，从企业治理视角进行综合考量。

　　IoT系统“管边端”安全管控能力，聚焦IoT技术不同于传统IT技术的特点，针对其“管边端”业务场景特点给出了针对性的控制能力特化要求。

　　IoT系统生命周期管理能力和IoT系统安全运营能力，定位于对IoT安全治理要求和上述三项能力在IoT系统建设中的有效执行落地、以及运营过程中的持续监控和处置。

　　一、IoT安全治理能力

　　任何信息安全治理能力的核心，都是对风险的有效识别和持续管控，IoT安全同样并不例外。该能力构建的重点在于建立企业层面针对IoT风险的管控体系，并匹配相应的组织、人员、流程和监督保障。这些能力的构建，是独立于特定IoT系统的，但却是做好特定系统IoT安全所必不可少的基础支撑。

　　此外，IoT安全治理能力无需独立于IT安全治理，其高阶风险管理、方针政策均应保持统一，但在规范与流程层面，则应建立基于各自业务特点的差异化要求和融合支撑机制。

　　二、贯穿“云管边端”的信任链构建能力

　　以联结为基础的IoT系统，往往涉及了云、管、边、端、人之间复杂和灵活的业务交互场景，且其核心能力的构建，很多情况下还需要与其他IoT系统或第三方之间建立更多业务和数据交互。这些复杂联结关系和业务逻辑，是恶意攻击者最关注的对象，仿冒、控制、窃密、篡改等等手段不一而足。

　　所以，通过有效的身份治理、可信计算、认证鉴权和AI行为分析能力构建的贯穿“云管边端”信任链，就必然成为IoT安全的最核心能力要求，只有确保可以信赖IoT系统的各个能力组件和服务，其上构建的复杂业务才能够获得基础的安全保障。

　　三、贯穿数据生命周期的价值链保护能力

　　IoT系统的核心价值创造，高度依赖于数字化联结之上的信息和数据采集、传输、分析和处置，而这也是另一个被恶意攻击者密切关注的对象。对核心业务价值的保护，离不开基于业务场景的数据资产梳理和数据流分析。只有清楚确定了保护对象，以及基于数据流分析所识别的安全与合规风险，才能有效保障这些数据及其承载的业务。

　　价值链保护能力围绕数据生命周期，并重点关注CII和PII数据合规，从IoT系统设计阶段，就应将安全与合规的要求整合到业务和场景当中，而不是依赖后加的数据安全产品来提供相应的保护。

　　四、IoT系统“管边端”安全管控能力

　　IoT系统“管边端”安全管控能力聚焦于IoT系统不同于传统IT系统的特点，对其散布在非可控空间的端侧和管道侧组件，提出针对性的能力要求。不同于前两点的全局性能力，IoT系统“管边端”安全管控能力往往内嵌在IoT终端或网络服务供应商的产品解决方案中。

　　对于企业管理者来说，更重要能力的是基于实际IoT业务场景的安全风险，参照本图谱建议评估厂商方案的完备性。中长期来看，IoT安全能力体系的建设中，可以由监管和测评机构建立对IoT系统“管边端”安全管控能力的评价和背书，以降低企业安全管理者在具体技术细节评估层面的投入。

　　五、IoT系统生命周期管理能力

　　IoT系统生命周期管理能力是一项过程能力，它强调的是安全管理者应该在IoT系统设计、建设、使用和废弃的全生命周期中，建立持续的安全风险识别、跟踪和处置能力。

　　特别是在系统设计和建设阶段，充分将安全控制措施内建在IoT系统自身逻辑中，而不过分依赖外加的安全产品。此外，多数IoT系统冗长和复杂的上下游生态和供应链，则提出了更严格的供应链安全管理能力要求。

　　六、IoT系统安全运营能力

　　与治理能力类似，IoT系统安全运营能力同样不隶属于特定的IoT系统，且同样建议和IT运营能力同步建设，是上述其他安全能力有效和持续运作的基础支撑，重要程度不容忽视。

　　IoT系统安全运营能力中，除了基础的安全运营监测、威胁与脆弱性管理外，非常重要的一个特点是，应特别关注对核心业务的隔离与保护能力，避免信息安全事件延伸到重大人身、生产和国家安全事件。

　　出品人：

　　腾讯安全专家咨询中心——吕一平、陈颢明、曹静、田立、张康、朱新新、董林楠

　　腾讯安全IoT安全沙龙参会专家——柯皓仁、林志泳、苏洪江、李津、谭艺、吴鹏、乔冠霖、孙雪莱、周智坚、张金池、罗科峰、杨祥骏、陈凯、傅鹏君、孙强、李锋、孙晓奇、陈贤平、张富川、庞健荣(排名不分先后)

　　欢迎业内技术专家加入腾讯IoT技术讨论群，共同探讨IoT能力和技术实践。