回顾过去和现在的信息安全建设，展望10年后的物联网安全

阿肯在以前的行业分享中谈到过，未来10年的安全看IOT。近期圈内朋友们在交流的时候就多次提到能否介绍一下IOT的安全方向。对于IOT安全，阿肯3年前有幸关注了这个主题，本来有个项目刚好可以落地物联网安全的想法，后来因为各种原因离开了公司，不过当时阿肯跟团队写了一版简单的物联网安全基线，站在现在来看也需要修正了。

目前物联网整个行业都处于摸索尝试阶段，对于物联网的安全，阿肯基于自己的理解，加上与专业人士的交流，以及国内外关于物联网安全的准则和发展预测，简单梳理一下10年后物联网安全的建设模式。

在谈物联网安全之前，让我们先回顾一下过去和现在的安全建设情况。过去10年，20年的信息安全我们都经历过，现在的安全发展也正在经历，所以这方面可以根据经验以及各家的现有做法简单回顾一下。

1、 20年前的安全做法：流程+人+少量技术。

2000年左右，国内企业正在大规模工业化，大量的工厂企业做着外贸出口的产品。国外品牌商对中国工厂企业是居高临下的管理和指导。国内的各个企业也大量引入国外企业的管理经验，工艺流程、品质管理、物料管理、库存管理、计划排程，生产效率，并部署SAP、Orace等ERP系统提升企业运营能力。这个时候的信息安全驱动因素，要么是因为国外客户的订单要求，比如当年的比亚迪、富士康等代工类企业；要么是自己的公司确实很多技术资料需要保护，比如当时的华为、中兴等自主品牌企业。那时的信息安全工作基本上是围绕BSI 17799，或者ISO27001来开展的。10多个领域，100多个管控项目，少量是通过技术控制的，比如防病毒、外设管控、上网行为、防火墙、系统补丁以及简单的漏扫设备等，大部分是通过流程和人工落实执行的，包含大量的安全制度、流程、工单、手工报告、各级安全人员去维护整个公司安全体系的运转。

以下就是当年熟悉的27001。阿肯当年就是从看这份文件开始，花了一个月时间消化，为了开展后面的安全建设工作，写了一份适合自己企业的安全基本法。放在现在看17年前写的制度，觉得当年自己挺有勇气的，反正我现在是看不下去。不过当年确实就是根据自己写的安全政策方针逐步铺开全集团的安全工作，而且还在集团副总裁的带领下，去参观了华为的安全建设方式，发现方向没有错，就闷着头在30多个BU全面铺开了。

2、现在的安全：技术+人+少量流程

2008年后的10多年，随着中国互联网企业快速发展，从制造业更新升级，到目前的产业互联和数字化转型，接下来的5-10年信息安全将会快速融入了业务，成为业务的一部分。企业的安全将不得不实现信息化、数字化、自动化，甚至智能化。实现这一目标的思路就是零信任，也就是阿肯的“一句话安全”，之前的文章已经谈过很多了，这里就不重复。阿肯也在按照这个安全业务架构和建设路径去做的。详细见：

3、10年后的安全：IOT供应链安全

随着中国企业的产业互联及数字化转型，高端技术的研发投入增加，中国未来在技术、产业、经济、文化和行业品牌方面都会有大幅提升。在IOT时代，中国也会比互联网时代的全球产业占比更大，这是一个大体趋势。

那么物联网到底是什么？说起来也简单。就像手机买来后就要联网，否则啥也干不了。以后老百姓买个冰箱，默认就连上网了，可以在网上直接买菜，可以网上设置冰箱的温度。买个车就像个移动的手机一样，车里面可以做手机的大部分娱乐购物的事情，也以网上操控汽车和维护汽车固件/软件，办公园区的门禁、水电、安防、企业入驻，以及能源电网的管理等都可能逐步IOT化。

目前在探索发展的IOT行业大致有：智能家居、智慧园区、智慧城市、车联网、工业工控、智慧电网（业务属性决定智慧电网的IOT发展比较早）。目前各行业的市场环境不成熟、产业的标准不统一、技术的发展也不成熟，产业市场还没有形成。但是各行业的玩家都已经在积蓄力量，比如小米、美的、京东、阿里、华为、百度...，还有很多行业分支的玩家，他们要么在IOT设备制造端发力，通过IOT设备的市场能力优势为自己在IOT 的标准竞争中站一席之地；要么利用互联网的基因发展IOT平台，不断通过各个场景下的项目构建IOT的生态系统，形成事实上标准和话语权。阿肯3年前也去了某大厂现场跟他们IOT平台的同事和安全架构师沟通，大厂的行动就是快。前段时间阿肯还跟另一个大厂的安全朋友在聊天，他说他们有好几个实验室目前正在研究车联网的安全问题，把车的CANBUS、TBOX都拆开，详细了解控制单元的控制指令以及通信方式，尝试分析一种异常的行为从而作出设备运行过程中的安全基线，为安全的检测产品化做准备。

为什么各大厂家都在为10年后的IOT安全投资？无利不起早，因为这个市场潜力大，大到跟现在的信息安全的玩法安全不一样。我们可以想象一下，IOT一旦大规模发展会给安全带来哪些挑战。比如，一辆联网的车在高速上行驶，因为固件或软件的漏洞，车辆被恶意控制就可能发生生命危险；能源设备因为漏洞被恶意攻击可能会造成社会事件；家里的IOT设备被入侵会导致老百姓的隐私和钱财损失…。简单来说，一旦IOT时代到来，IOT设备只要部署上线，就暴露在互联网中，就面临着各种安全风险。更要命的是，IOT的风险管理又不能直接对标互联网时代的安全标准和做法。因为IOT的供应链非常长，总体来讲可以简单分成以下几个环节：产品设计、产品开发、组装生产、物流运输、渠道销售、设备运行、技术维护、设备报废。这么长的链条，也涉及了很多第三方的参与者，其中每个环节都会带来安全的隐患。比如，产品设计阶段需要评估方案的安全性，产品中涉及的电子部件安全、固件的安全、产线组装过程如何防恶意植入的问题、渠道中是否有以次充好的假冒产品、联网前的安全配置问题、接入的认证问题、数据安全传输问题以及运营过程中的安全问题等等。简单概括IOT整个供应链面临的威胁（包括接触式、非接触式的攻击），主要表现为以下5个方面，如下图：

从上面的风险分类来看，IOT供应链从设计、生产、组装、运输、部署、运营、售后和报废的每个环节都存在风险，要是逐个再展开那就更多了。为了便于理解，阿肯简单画了一个IOT的业务逻辑图。从下图看，这些风险主要分布在标黄的9个节点上：

虽然IOT的业务还在萌芽探索阶段，但IOT的安全却是与生俱来的，只要IOT设备上线，安全问题就暴露在阳光下，安全的方案和措施需要快速跟上。那么涉及面如此多的IOT供应链安全，是否有可能提前梳理出一个安全方案的线条？

阿肯认为欧洲物联网供应链安全准则的优秀实践（3个关注点，29条建议）+阿肯的“一句话安全”，可以比较好的说清楚IOT供应链的安全建设思路。以下是“3点，29条”。

-3个关注点，29条建议

根据3点+29条，以及阿肯简单梳理的IOT业务逻辑图，我们可以把IOT的业务分成几个模块：IOT设备、IOT网关、IOT平台、IOT应用、业务运营。其中，IOT设备的安全就类似苹果公司QSR审核OEM/ODM工厂以及供应链参与方的产品质量一样，需要有一套品质管控体系，只是对于IOT设备来讲，安全的审核权重占比会更高，对于硬件、固件和程序的检测方式会增加更多的科技手段；其他几个方面的安全跟互联网的安全架构差不了多少，只是对风险运营的准确和及时性要求更高了。

基于以上分析，IOT安全的可能解决方案：IOT设备安全+安全接入+平台安全+安全运营，也就是“一句话安全业务框架”+“IOT设备安全”+“安全ERP”，具体如下图：

对于上面每个模块的安全到底怎么做，后面有机会可以细聊，也欢迎有同样想法的朋友们一起探讨。

上面啰嗦了这么多，朋友们可能会说在安全方面有些公司刚走完第一阶段，有些处在第二阶段，IOT安全还远着呢！可是各个大厂、产品公司都在未雨绸缪研究IOT的安全，纷纷成立了实验室，开发上线了IOT平台，各类小公司也都在瞄准时机，摩拳擦掌。对于IOT安全，未来已来，IOT时代的安全将更加刺激，各位安全同仁你有自己的准备吗？不过真到那个时候，阿肯估计已经退休了：）

本文结束，安全无止境，让我们一起努力！