物联网设备符合资安标准已成定局，不只设备本身安全验证，开发流程认证也成近年焦点

近一两年，物联网安全议题越来越受关注，例如既有视讯监控主机（DVR）等连网设备遭骇问题不断，还有更多新兴物联网设备应用发展扩张，因此，导入资安标准来落实产品资安，成为近年备受关注的焦点。例如，台湾在经济部与NCC合作下，推行的物联网资安标章制度，盼国内业者能提升产品资安水准，而在最近一场AIoT产业资安标准的演讲，我们看到国内提供物联网资安合规解决方案的业者讨论此议题，他们是从国际间物联网设备资安导入与认验的角度，说明现况观察。

对于通过物联网认证与标准，就现阶段而言，国内仍有许多厂商其实还没做好准备。安华联网总经理洪光钧指出，在他们的经验中，有一半的客户是在很临时的状况下，来询问认验证该如何做，也就是在产品已经设计规划好，到了后期的阶段，才知道有认验证需要通过。

对于物联网认验证的现况，导入前有那些注意事项？洪光钧说，首先，第一件事，就是要能了解物联网资安标准的分类，他归纳为三大面向，分别是法规规范，品牌要求，以及产业需求。

在法规规范方面，属于强制性的要求，如美国FIPS-140-3、英国CPA等，在品牌要求方面，是业者会要求各自的供应商，必须符合业者本身所制定的安全要求规范，如Amazon、Apple、Goolge，以及AT&T、Nokia与Siemins等；在产业需求方面，包括国际标准化组织（ISO）、国际电工委员会（IEC）的标准，洪光钧指出，随着产业物联网发展跟成熟，现在这类标准越来越多，包括资通讯产品的ISO/IEC 15408，物联网设备的CTIA，以及工控产业的IEC 62443等。同时，还要注意产品销售的国家、区域、产业，以及销售对象是-、品牌与标案等。

引发我们关注的是，在谈到产业需求方面，他强调，已有越来越多的第三方非营利组织是出标准或认证／标章计划，显然物联网设备符合资安标准已是市场看重的潮流。

他并举例，以设备本身的认证而言，若是一个物联网产品的业者，想要将设备卖到美国市场，像是带有无线网络功能的智慧家庭监控设备，要注意的是，美国无线电联盟（CTIA）近年推动一项IoT Cybersecurity Certification Program，就是可以遵循的第三方标准，认证时间大概是两三个月。

将有更多安全标准聚焦开发流程，如工控标准已有相关认验证

另一个我们关注的焦点，是在品牌要求方面，洪光钧还强调了一点，是厂商在产品安全的要求上，不只针对产品本身，也可能包含开发上流程安全的要求，而他已经观察到，有越来越多安全相关标准聚焦于此，因此，对于认证范围的确认，必须要特别注意。

他进一步说明，以产品本身安全性而言，认验证较单纯，要求项目比较偏技术性项目，而开发流程安全的范围牵扯较大，往往需要外部顾问公司协助，因为这可能牵扯到开发流程管理流程。

他以业者自行开发的工控系统的情境来说明，该业者本身有开发团队、PM、RD、QA与售后支援等，而在工控标准IEC 62443中，可取得认证的部分，包含IEC-62443-2-4，以及3-3、4-1与4-2等。简单而言，2-4与3-3属于管理流程面，4-1是开发流程面，4-2则是针对产品本身安全的认证。而此管理制度分成四个成熟度等级，他建议至少要达层级2以上，同时，由于这方面牵扯到内部管理措施，因此认证时间较长，约在半年到一年。

整体来看，他表示，对于台湾IoT设备的业者或OEM、ODM厂商而言，了解产品销售对象、地区是否有强制性要求，或是业者客户是否指定与要求，就是最简单的方式，不过，洪光钧指出，根据目前他们遇到的状况是，很多时候设备业者也没办法告诉制造商要取得什么认证，所以也无法及早与开发单位沟通。他也感叹，当认验证时发现缺失要修正改善，会是取证业者面对的一大挑战，容易造成时程无法掌握。而这样的问题，就是业者最好要能先注意到的状况。

对于物联网产品在资安的要求，洪光钧强调，现在物联网安全已经要变成基本要项，因为欧美国际大厂都已经在做这件事，由于台湾很多都是供应商，因此必须跟上脚步，而且，如果现在还是不想做，但要知道的是，之后这会变成一个基本门槛，不论进入那个市场都必须通过相关认验证，这也意谓著，通过认验证才有与国际产品竞争的资格。

对于物联网资安的认验证，洪光钧整理出五个导入与取证上所需要的注意事项，包括了解物联网资安标准的分类、挑选适合的标准、投入前的准备、导入或验证时的配合事项，以及标章、证书的帮助。

还有一个要注意的问题是，洪光钧说，在他们过去经验中，当客户进行认验证时，虽然沟通、预算及时程都准备好了，但在产品送到认验证机构时，发现产品缺失要修正，容易发生问题，因为修正与改善的时程没法掌握，他们遇过修正耗时半年或一年的状况。他建议，最好要与开发单位有良好的沟通，加强安全开发，并预留修补时间。