ISO/IEC 27404:2024 — 物聯網安全與隱私標籤框架

一、ISO/IEC 27404:2024 的目的

ISO/IEC 27404:2024 定義了物聯網產品的網絡安全標籤框架，使消費者和採購專業人員能夠做出明智的安全決策。隨著 IoT 設備在家庭、辦公室和關鍵基礎設施中的普及，無法輕鬆比較不同產品之間安全狀態的問題已成為重大的市場失靈。消費者不可能被期望閱讀冗長的安全規格說明，即使專業買家也在評估日益複雜的 IoT 產品安全方面遇到困難。該標準提供了一個標準化的標籤方案，通過類似於 1990 年代改變消費電器購買決策的能源效率標籤那樣清晰的多層級評級系統來傳達安全能力。

該標籤框架滿足三個市場需求：使消費者能夠選擇更安全的產品、為製造商投資安全創造市場激勵、以及為監管機構提供最低安全要求的標準化機制。該標準設計為與歐盟《網絡彈性法案》（CRA）、新加坡網絡安全標籤計劃（CLS）和美國 IoT 網絡安全改進法案等監管框架協同工作。

二、標籤結構與評級方法

該標準定義了包含四個關鍵元素的標籤：(a) 1 至 5 星的安全評級級別，指示整體安全狀態；(b) 映射到 ISO/IEC 27402 等級系統（1、2 或 3）的安全能力等級指示器；(c) 隱私保護級別指示器（A、B 或 C 級）；以及 (d) 合格評定標記，指示評級是自我聲明還是第三方驗證。全面的評級方法評估八個安全領域：設備身份和認證、安全啟動和固件完整性、密碼學和密鑰管理、網絡安全和通信保護、更新和補丁管理、物理安全和防篡改、漏洞管理和披露、以及隱私控制和數據保護。

三、合格評定方法

ISO/IEC 27404 定義了三種具有遞增保證水平的合格評定模型。第一方評定允許製造商自我聲明安全評級，附有記錄所有安全功能和測試結果的技術檔案。這是最可及的方法，但提供最低的保證水平。第二方評定涉及買方或其代表根據框架評估設備，適用於買方具有技術能力的企業和政府採購。第三方評定要求認可的獨立實驗室測試和認證安全評級，提供最高的保證和最強的市場可信度。該標準強烈建議對部署在關鍵基礎設施、醫療保健、高安全性商業環境以及任何設備受損可能導致人身安全風險的應用中進行第三方評定。

合格評定過程包括五個階段：申請和範圍定義、證據收集（技術文檔、設計規範、測試結果）、實驗室測試（滲透測試、密碼學驗證、固件分析）、評級確定和審查、以及持續監督下的認證頒發。標準為每個星級評定級別指定了最低測試要求，確保不同實驗室和司法管轄區之間的一致性。

四、工程與市場影響

對於工程團隊而言，標籤框架創造了從設計階段就投資於安全架構的明確激勵。針對 5 星評級的產品必須展示：具有固件完整性驗證的硬件支持的安全啟動、檢測到物理入侵時禁用設備的防篡改機制、認證的加密模塊（至少 FIPS 140-3 Level 2 或同等標準）、具有記錄響應時間線的全面漏洞披露和補丁管理計劃、以及具有本地處理偏好和默認數據最小化的隱私設計數據處理。該框架還要求製造商在產品的整個支持生命週期內維持安全評級，重大固件更新或 24 個月後需觸發重新評估，以先到者為準。

市場影響是顯著的。1-2 星評級的產品可能被排除在政府和企業採購短名單之外，面向消費者的零售商可能開始要求最低星級評定才能上架。保險公司可能為具有較高安全評級的產品提供降低的保費，創造超越消費者購買決策的財務激勵。