下载掌阅APP，畅读海量书库
立即打开
大多情况是很难区分信息安全和网络安全的区别的，可以让智能引擎ChatGPT来回答这个问题：
图 4
当然，每次问ChatGPT都会得到不太一样的回答，但不影响整体意思。
在国家法律层面有网络安全法，欧盟有网络安全空间战略《EU Cybersecurity Strategy》以及《Cybersecurity》《Cyber Resilience Act》等，这个Cybersecurity就是现在的网络安全，有时也叫网络空间安全。
物联网（IoT，Internet of things ）即“万物相连的互联网”，是互联网基础上的延伸和扩展的网络，将各种信息传感设备与网络结合起来而形成的一个巨大网络，实现任何时间、任何地点，人、机、物的互联互通。（来自百度百科）
本文所说的网络安全（Cyber Security）为网络空间安全，是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。
推测：最早的网络安全其实是Network Security，正确的意思应该是“网路安全”，就是确保网络线路中各个部件的安全性；
后来：可能业界认为网络的安全就是保护信息的安全，而且信息的安全包括本地信息的安全、云端信息的安全、物理信息的安全等，所以统称信息安全（information Security）；
包括有关部门，如全国信息安全标准技术委员TC260 的所有标准的大类叫信息安全；随着数据保密技术的发展，管理的发展，对于信息保护形成了一整套的管理与技术体系，信息安全得到了比较完善的解决；
现在，业界对于系统的稳定性更加关注，比如攻击让打印机着火，寻呼机远程遥控爆炸，让电视机显示某些不允许内容，DDOS让云端无法正常运行，甚至让国家的网络基础设施都无法运行，进而导致经济、民生甚至国防无法正常运行，这些已经不是信息安全所能涵盖的，需要有更大的新概念：网络空间安全，简称为网络安全（Cyber Security）。
网络安全的概念更加适合物联网，因为万物互联的网就形成一个网络空间，不仅要保护该空间的信息，更要维持这个空间的可靠运行，这也是所建该物联网空间的企业必须承担的责任。
在本书中，假如没有特别声明，物联网安全和网络安全的含义是相同的。
放到整个社会或国家，网络安全肯定需要赋予更加宏观的含义，就如ChatGPT所回答的。
而信息安全更加适合企业（或单位）内，用于保护某一个组织内的数字信息和实体信息的安全。
一个基于智能家电的典型网络拓扑结构如下图所示：
图 5
维基百科将物联网（IoT）定义为“具有传感器、处理能力、软件和其他技术的物理对象（或此类对象组），可通过互联网或其他通信网络与其他设备和系统连接并交换数据”。
所以物联网安全应该包括：
●“具有传感器、处理能力、软件和其他技术的物理对象”的安全；
●“（可通过）互联网或其他通信网络”的安全；
●“与其他设备和系统连接并交换数据”的安全。
图 6
物联网安全可由以下部分构成：
●物安全，也叫物端安全、产品安全、终端安全、设备安全，根据不同物端的系统不同分为简单系统（如TROS）、智能系统（如安卓、Windows）、分布式系统等；
●联安全，可包括协议安全、数据安全、系统应用安全、云端应用安全，也是常规意义的网络安全（网路安全，Network Security），但是将系统应用安全和WEB应用安全单列为管安全更加合理；
●网安全，也叫云端安全、云服务安全等；
所以物联网安全由云安全、管安全、物安全、联安全四个子领域构成。
偶然想起，整个物联网结构和人体网络结构其实是有着异体同工之妙。
（1）先分析人体结构
图 7
●思想在人的神经系统里面传导，包括：
■感官对外界信息的采集；
■信息传输到了脑里；
■脑对信息的存储和处理；
■信息再通过神经传递到身体各个部件；
■信息通过嘴巴等部件进行表达发布；
■最后随着时间的推移，神经系统里信息会逐渐被遗忘。
●神经系统在人体这个培养槽里运行，包括：
■血液提供能源；
■内脏提供对内功能；
■五肢提供对外服务。
（2）再看一下物联网
图 8
●数据在物联网的通信系统里面传导，包括：
■终端传感接口对外界数据的采集；
■数据传输到了数据中心的WEB服务；
■WEB服务对数据进行存储和处理；
■数据再通过通信协议传递到物联网的各个终端的各个应用；
■数据会通过WEB服务或App应用等进行发布共享；
■最后随着合规的要求，数据中心里数据需要被销毁。
●通信协议需要在终端和云端这个培养槽里运行，包括：
■终端之间的网络协议提供关联性；
■云端WEB服务提供对整个系统的服务；
■终端应用直接提供对客户的服务。
（3）可以做个类比
在物联网中：数据可以说是物联网的思想，是灵魂；云端WEB服务是物联网的大脑，是神经系统的中枢；终端就像身体与四肢，那么终端系统应用就是身体神经系统；云端和终端一起提供了整个培养槽，培养着整个物联网系统。
（4）安全可以逆推
要保护思想与灵魂，先要保护身体，如穿盔戴甲，接着保护神经，最后直接保护思想。建设物联网安全也可以是这个逻辑。
首先，需做云端安全和终端安全，直接保护头与身体，穿盔戴甲，安全效果直观、显著。
其次，需做云端WEB应用安全、终端应用安全，其措施零散间接，但却是核心。
最后，重点做数据安全与协议安全，已经形成成熟且完善的安全目标：完整性、保密性、真实性，同时也有相应成熟的数据治理方式，如DSMM，这是灵魂。
本书的第 2 章为物端安全；第 3 章为云端安全；第 4 章为管侧安全，包括终端系统应用安全、云端WEB应用安全、数据安全治理；就是从保护身体、到保护神经、最终保护思想与灵魂的逻辑来撰写。
协议安全、分布式系统安全等方面接触甚少，经验就欠缺，故只能不写，也无法写。
虽说开始安全工作的时间比参与隐私合规要早一些，但假如物联网产品没有隐私与安全合规的要求，那么可能就不需要从零开始建设的完整安全体系工作了。
合规的意思就是符合法律法规。
产品肯定要合规，这是基础，要不产品就没法在市场上销售了。
产品的合规包括很多方面，本书主要讲隐私合规与安全合规；不是很清楚产品的其他合规情况，也不是本书的主题。
不管是隐私合规还是安全合规，不同企业都会有不同的做法，所以也需要理解一下。
个人信息包括基本信息、设备信息、账户信息、隐私信息、社会关系、网络行为等能够指向个人的信息。（来自网络和GB/T35273）
个人信息安全是指上面这些个人信息的安全状况。
个人信息保护是指保护个人信息权益，规范个人信息处理活动，以促进个人信息合理利用。
全球统计起来的个人信息权益包括：知情权、访问权、修正权、擦除权、限制处理权、数据携带权、反对权、用户画像权、数据泄露通知。
隐私合规就是让数据处理者收集、保存、处理个人信息保护符合法律法规的要求（或个人信息保护合规）。（本书定义）
可以通过全球隐私法规对比图比较各个国家对于隐私合规的不同理解：
图 9
从全球隐私法规的对比图可以看出，隐私合规主要是保护用户在使用产品或服务的过程中，数据使用主体应如何保障用户的各种权利；这里并没有体现出数据安全，但用户数据存放在产品或者云服务中，所以保障用户数据安全也应该是隐私合规的一部分。
而且从对比图上还可以看到不同国家具有不同的法规要求，特别是每个权利细节会更加的不同；这就给物联网的隐私合规的工作带来了难度。
参加过各种企业出海论坛，经常提到作为一个全球化企业，都会面临以下的各种隐私合规挑战：
图 10
从这些挑战并结合公司的实际情况来看，隐私合规肯定需要牵扯到整个企业的很多子单位很多部门，更有可能会面临一个问题：都会认为隐私合规不是他们的责任。
而一般企业的做法是：
图 11
简单说明一下。
●政策特指数据与隐私合规的政策：一般为公司集团职能部门制定。
●治理：就是如何去解决上面所提到的面临的各种挑战。
●第三方管理：这是容易出事情的地方，收到过很多有关部门的报告，都是第三方导致的。
●记录：执行各种合规过程的记录，被审核的时候需要拿出的资料。
●用户权利保障：合规的根本，客户投诉的重要依据。
●隐私设计：产品一开始就要做隐私设计，才能更好地合规，合理的设计还能把隐私变为竞争力。
●监控、审核：业务单位的隐私合规有没有做，做的程度如何，是需要监控与审计的，才能形成工作闭环。
●培训、沟通：不是每个工程师或管理者都能理解隐私合规的每个细节，理解的水平和方向也有所不同，这就需要培训和沟通。
隐私合规中虽包含了安全要求，但要求偏于宏观，如GDPR的安全三项：安全设计、安全测试、安全响应；已经有越来越多的法律法规对物联网产品提出更加具体的要求。
安全合规就是目标符合法律法规中对于安全的要求；本书目标为物联网系统及其产品。
不同地区对于联网产品的安全要求是不一样的，所以安全合规会更加复杂，比如下面几部法规对于联网产品的安全要求：
图 12
虽说不同法规对于联网产品的安全要求不一样，但有两点是一致的：
●一是必须保护个人的数据；
●二是出现泄露事件必须尽快报告给有关部门。
每个法律法规的安全要求侧重点也都有不同。
●NIS2（欧盟网络与信息系统安全指令 2.0）作为欧盟的 3 部网络安全战略法律法规之一，强调的是管理层的责任、企业的政策、产品的流程、供应链等比较宏观的安全要求。
●RED（欧盟无线电设备指令）就非常明确了，作为一部市场准入守则，是从网络安全威胁的方面入手的。它看到了作为万物互联后各个智能终端面临的威胁，所以必须防止当肉鸡，个人数据安全涉及数字资产后的防止欺诈，至于涉及的安全技术或措施，不同智能产品的安全技术和要求肯定也不同，后续会有一系列标准与RED配合，在第 6 章有详细说明。
●英国和澳大利亚的COPCS（消费者物联网代码），COPCS应该来源于 303645 这个标准，而 303645 应该是最早提出物联网设备安全要求的标准，参阅第 6 章。
●美国和国内做联网产品合规，依赖的法律法规标准会更加复杂。在美国的联网产品安全可以泛化为国家安全，并没有明确的官方法规或标准，这让企业执行起来更加困难，故销往美国的联网产品，一般会按照NIST网络安全框架执行，最好配合UL2900 认证。UL公司是美国企业，在美国认可度会比较高，就算这样，在美国销售也不保险，什么时候看你不顺眼就来个什么调查。本书快写完的时候，听说出了个美国物联网安全标签Cyber trust mark；以前没有具体研究过和实践过，要了解它只能通过网络了。
国内情况会更加复杂，这源于管理部门非常多，标准非常多，如工信部管工业制造、网信部管物联网内容、广电局管广播媒体，还有通信的很多部门。
举个例子，制定信息安全或网络安全的单位一般是全国信息安全标准技术委员，也叫TC260，但智能门锁的信息安全国家标准就没法在这里制定，需要公安部牵头制定，智能家电网络安全的国家标准也不是在这里制定，而是由家电协会制定。
比如：
●开发家用电器的个人信息保护功能是用《智能家用电器个人信息保护要求和测评方法》来指导，家电院牵头；也可以用《GB/T 35273-2020 信息安全技术 个人信息安全规范》指导，TC260 牵头；
●而智能门锁的信息安全包含在最新的《锁具安全技术要求》里，公安部牵头；
●应用程序的网络安全需要用《互联网服务安全评估基本程序及要求》，公安部牵头
●对于云服务安全有《网络安全等级保护制度》，TC260 与公安部牵头
●而在国内，大多都采用国际标准ISO27001 和ISO27701 进行组织的信息安全建设。
所以消费物联网安全就需要涉及家电院、公安部、TC260 等组织的安全标准。
隐私合规是保护用户个人信息的合法使用，一般都比较明确，就算不同国家有所不一样，但基本框架都差不多。
而安全合规，不同国家地区、不同产品，甚至不同级别的法律法规对于产品网络安全要求都会不一样，但还是有共同的地方就是：必须保护个人信息安全和出现问题及时响应。
在写三次的战略规划制定过程之前，需要先学习如何写展开规划，需要理解掌握市场洞察与战略规划的技能。
为什么要做市场洞察呢？
这应该是标准答案：只有看清楚市场需要什么，客户需要什么，才能开发出客户需要的产品，研发出市场需要的技术。
市场洞察先要摆事实，再统计数据或资料，结合资料进行推理与分析，最后就能发现其中的关键点，推导出下一步措施。
图 13
市场洞察是一个逻辑性非常强的一个过程，可以从五个维度进行分析，也就是“五看”：看环境、看行业、看客户、看对手、看自身。
图 14
对应基于产品物联网安全的市场洞察来说，“五看”的具体含义如下：
●看环境主要就是看法规或标准的要求；
●看行业主要就是看行业的技术趋势对于安全的要求；
●看客户主要就是看各大商家对于安全的要求；
●看竞争主要就是看对手做了什么，不怕跑得慢，只要比对手跑得快就行。
在还没有五看之前，使用的是痛点、背景作为规划工作的依据，也是立项的依据；
在不同场合，“五看”可以做适量的增删。
“五看”过后就是“三定”：定控制点、定目标、定策略。
图 15
关键点和控制点还是略有不同，控制点通常是众多关键点中符合自身发展的那个点。
网络安全除了可以在智能门锁上作为控制点，其他品类的智能家电，网络安全很难作为控制点。其他物联网会面临同样的问题，物联网安全控制点的选择是困难的，因为控制点可能在通用安全技术上，要不就在一些特殊品类上，比如智能门锁、摄像头、路由器。
对于战略来说，定目标是一个长期的目标，起步应该是 3 年以上，这时候会遇到一个问题：这几年，谁来支撑这个预算的持续投入？因为一个公司的顶层结构时不时可能会变更，换一个领导，很多事情就会重新审视，今年产业认可，明年产业可能就不认可，也会产生变数，比如规划的战略项目可能只撑了 2 年没法走下去了，这是常有的事。
定策略：我的理解就是分解每年需要达到的路标。
更加系统的战略解码过程可以搜索并参考“BEM战略解码体系”：
图 16
简单理解：战略解码的目标就是制定年度计划，形成部门KPI，分解为个人CTS。
年度计划：今年要达到这个路标，应该做哪些事情，需要哪些资源，能够落地到哪些业务上，是否能够产生价值。
年度计划、部门KPI、个人CTS还与部门职责有关，可参阅第 9 章。
战略执行遇到最大的问题是预算。
在物联网安全领域，如何获取支撑战略规划出来的安全措施或技术的实施资源，在实际中就遇到很大困难。利润中心往往是短视的，他们只为今年的利润负责，让他们为安全买单很难。
通常来说，赞同该战略规划的领导同时应该具有规划预算权，但实际往往没有。
拿到预算后，对规划进行执行、监控、评估等工作，其实就是项目完成落地的过程。