ISO/IEC 27400:2022 — 物聯網安全與隱私指南

一、ISO/IEC 27400:2022 的範圍與目的

ISO/IEC 27400:2022 為物聯網（IoT）生態系統中的網絡安全、隱私保護和數據安全提供了全面的指導方針。該標準由 ISO/IEC JTC 1 SC 27 發布，針對全球數以百億計的互聯智能設備所構成的龐大攻擊面帶來的獨特挑戰，建立了整個 27400 系列的核心原則和基於風險的框架。作為該系列的基石文檔，它為後續標準（27402、27403 和 27404）奠定了理論與實踐基礎，後續標準在此基礎上提供了越來越具體的要求。

該標準適用於所有類型的 IoT 系統，包括消費級設備、工業物聯網（IIoT）、醫療保健 IoT、智慧城市基礎設施和汽車遠程信息處理。它認識到 IoT 環境與傳統 IT 環境有著根本不同：設備通常資源受限（有限的 CPU、內存和電池），部署在可物理訪問的地點，需要無人值守運行多年，並通過具有不同安全屬性的異構網絡進行連接。這些特性要求針對 IoT 量身定制的安全和隱私方法，而非直接套用企業 IT 的做法。

二、核心安全與隱私原則

該標準定義了八項物聯網安全與隱私的核心原則，指導 IoT 系統開發、部署和運行的每個階段。原則一，安全和隱私的設計內嵌，要求安全控制和隱私保護從最初的概念階段就集成到系統架構中，而非在實現之後添加。原則二，基於風險的方法，要求安全決策應由系統性的風險評估驅動，而非由合規檢查清單或供應商聲明驅動。原則三，數據最小化，將 PII 和遙測數據的收集限制在僅為預期功能所嚴格必需的範圍內。原則四，透明度，要求向用戶清晰溝通收集了哪些數據、如何使用以及與誰共享。原則五，問責制，要求系統運營者對安全和隱私結果負責，無論組件是否來自第三方。原則六，生命週期保護，將安全覆蓋範圍從設備製造擴展到活躍運營直至安全退役。原則七，互操作性，確保安全機制在多供應商生態系統中正確工作。原則八，用戶自主權，賦予用戶對其設備和數據的實際控制權。

三、物聯網風險管理框架

ISO/IEC 27400 採用與 ISO/IEC 27005 和 ISO 31000 一致的基於風險的方法。物聯網風險評估過程包括五個階段。第一階段，資產識別，對所有 IoT 組件進行編目，包括設備、網關、雲端後端、移動應用程序、通信協議和數據存儲。第二階段，威脅場景分析，識別 IoT 攻擊面中的相關威脅，包括物理篡改、網絡竊聽、固件逆向工程、側信道攻擊、雲端 API 利用以及針對設備管理員的社交工程。第三階段，影響評估，評估每種威脅場景實現時的業務、隱私、安全和監管後果。第四階段，風險確定，結合可能性和影響來確定風險處理的優先級。第五階段，風險處理，從標準的控制目錄中選擇適當的控制措施，將已識別的風險降至可接受水平。

該標準的一個顯著特點是將隱私風險與安全風險分開處理。雖然兩者相互依賴，但標準要求組織除了進行安全風險評估外，還必須進行專門的隱私影響評估（PIA）。這種雙軌方法確保個人可識別信息即使在安全風險被認為較低時也能獲得適當保護。27400 中的 PIA 流程專門針對 IoT 環境處理數據分類、同意管理、跨境數據傳輸、數據主體權利和第三方數據共享問題。

四、工程設計見解與實施指南

從工程角度來看，該標準為每個 IoT 架構層推薦了具體的技術控制措施。在設備層面：基於硬件信任根的安全啟動、具有防回滾保護的加密簽名固件更新、物理篡改檢測與響應、通過禁用未使用的端口和服務來最小化攻擊面、以及使用硬件安全模塊或可信執行環境的安全憑證存儲。在通信層面：所有網絡流量使用 TLS 1.3 或 DTLS 1.3、設備與雲端之間基於證書的雙向認證、通過 VLAN 或軟件定義網絡進行網絡分段、以及在網關層面進行基於異常的入侵檢測。在平台和雲端層面：使用具有客戶管理密鑰的 AES-256 加密靜態數據、基於角色的最小權限訪問控制、具有不可變存儲的全面審計日誌記錄、自動化安全事件響應手冊、以及定期的第三方滲透測試。

該標準還提供了關於供應鏈安全的指導——這是 IoT 安全中經常被忽視的一個方面。它建議組織對組件供應商進行安全評估、在採購合同中確立安全要求、驗證第三方組件具有已知漏洞披露流程、以及為所有 IoT 產品維護軟件物料清單（SBOM），以便在新 CVE 發佈時能夠快速響應漏洞。