16、《物联网、数据安全与网站安全全解析》

《物联网、数据安全与网站安全全解析》

1. 物联网安全风险

物联网设备常面临病毒威胁，如特洛伊木马、蠕虫等。由于物联网基于计算能力较低的设备，传输加密有时较弱甚至被完全忽略，导致通信容易被追踪和发现，例如密文攻击、中间人攻击等。

目前市场上没有标准的物联网风险框架，但美国国家标准与技术研究院（NIST）为物联网提供了相关考虑，现有的信息安全风险评估框架也可稍作修改以处理物联网风险。2020 年 12 月 4 日，时任美国总统唐纳德·特朗普签署了《2020 年物联网网络安全改进法案》，要求联邦机构具备网络安全要求，以保护受控和拥有的物联网设备。

一些流行的物联网风险评估框架如下：
|框架名称|特点|
| ---- | ---- |
|NIST IR 8228|记录了物联网设备的潜在挑战以及实现设备和数据安全（静态和传输中）的风险考虑，旨在帮助联邦机构和组织更好地理解和管理物联网设备生命周期内的网络安全和隐私风险|
|OCTAVE for IoT|定性风险评估框架，有八个步骤：设置风险衡量标准、开发资产概况、识别资产容器、确定关注领域、识别威胁方案、识别风险、检查风险和缓解风险。还可帮助发现基于物联网的智能家居的安全漏洞，识别人员面临的风险，并通过四个阶段的方法缓解风险|
|TARA for IoT|预测性框架，具有将未来攻击分解为可管理的潜在攻击列表、提高风险和控制评估质量并向组织传达风险和建议、增强结果、减少风险分析的总体工作量并促进更好决策等优势|
|ISO for IoT|ISO/IEC 30141 提供降低风险和最大化物联网应用效益所需的参考架构；ISO/IEC 27030 给出物联网系统安全和隐私的指南|