《家庭物联网信息系统安全运维规范（征求意见稿）》

1T/CSACXXX—XXXX家庭物联网信息系统安全运维规范本标准规定了家庭物联网信息系统安全运维的术语和定义、基本要求、安全运维要求（包括运维组织与人员、资产与配置、物理与环境、访问控制、网络、系统与软件、数据、监测与审计、漏洞与风险、变更、备份与恢复、事件管理）、应急预案与演练以及持续改进等内容。本标准适用于家庭环境中部署的物联网信息系统的安全运维活动，包括但不限于智能家居网关、智能家电（电视、冰箱、空调、洗衣机等）、智能安防设备（摄像头、门锁、门禁、报警器）、环境监测设备（传感器、控制器）、智能照明、家庭娱乐设备等。家庭物联网信息系统的所有者、使用者、自行或委托的运维服务提供者以及设备制造商可参照执行。本标准不适用于工业生产环境、公共基础设施等非家庭环境中的物联网系统。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T25069—2022信息安全技术术语GB/T22239—2019信息安全技术网络安全等级保护基本要求GB/T35273—202X信息安全技术个人信息安全规范(注：请使用最新有效版本)GB/T38645—2020信息安全技术网络安全事件应急演练指南GB/T20984—2022信息安全技术信息安全风险评估规范GB/T20261—2020信息安全技术信息系统安全工程管理要求3术语和定义GB/T25069—2022界定的以及下列术语和定义适用于本文件。3.1家庭物联网信息系统HomeIoTInformationSystem部署在家庭环境中，由物联网设备（感知层）、家庭网络（网络层）、智能家居平台/应用（应用层）及相关数据处理设施组成的，用于实现家庭设备互联、环境智能感知、自动化T/CSACXXX—XXXX2控制和信息服务的综合性信息系统。3.2家庭物联网设备HomeIoTDevice构成家庭物联网信息系统的基本单元，具备感知、识别、计算、执行和网络通信能力，部署在家庭环境中的物理设备。如智能网关、智能音箱、智能摄像头、智能门锁、智能家电3.3安全运维SecurityOperationandMaintenance为确保家庭物联网信息系统的机密性、完整性和可用性，对系统进行的日常监控、维护、管理及响应安全事件的活动总和。3.4运维主体OperationandMaintenanceEntity负责执行家庭物联网信息系统安全运维活动的责任方，可以是家庭用户自身、家庭成员、委托的专业运维服务人员或服务商。3.5安全基线SecurityBaseline为保证家庭物联网信息系统基本安全状态而需满足的最低安全配置要求集合。4符号和缩略语IoT：物联网(InternetofThings)IoTD：物联网设备(IoTDevice)OTA：空中下载技术(Over-The-Air)MAC：媒体访问控制地址(MediaAccessControlAddress)/物理地址(PhysicalAddress)SSID：服务集标识符(ServiceSetIdentifier)/无线网络名称WPA2/WPA3：Wi-Fi保护访问协议第2版/第3版(Wi-FiProtectedAccess2/3)CIA：信息安全三要素(Confidentiality,Integrity,Availability)-保密性、完整性、可用性5基本要求5.1责任落实应明确家庭物联网信息系统安全运维的责任主体（如主要家庭成员、指定负责人或委托3的服务商并确保其具备必要的安全意识和基本技能。5.2安全意识所有使用和接触家庭物联网信息系统的家庭成员应接受基本的安全意识教育，了解常见风险（如恶意软件、网络钓鱼、密码泄露）和基本防范措施。5.3最小化原则在满足功能需求的前提下，应尽量减少不必要的设备连接、网络端口开放、服务启用和权限授予。5.4纵深防御应采用多层次的安全防护措施（如网络分段、设备自身安全配置、平台安全控制、用户认证授权）以构建纵深防御体系。5.5持续运维安全运维应是贯穿设备入网到退役全生命周期的持续性活动，包括日常监控、定期维护、及时响应等。5.6合规性安全运维活动应遵守国家相关的法律法规和标准要求，特别是个人信息保护相关要求。6安全运维要求6.1运维组织与人员管理6.1.1应指定家庭物联网安全运维负责人（可以是家庭成员或委托方代表）6.1.2如委托外部服务商，应与服务商签订包含安全责任、保密条款、服务范围和安全要求的协议6.1.3运维人员（家庭成员或服务人员）应了解所管理设备的基本操作和安全风险6.1.4应定期对关键家庭成员进行安全提醒和简单培训6.2资产与配置管理6.2.1应建立并维护家庭物联网资产清单6.2.2应为所有设备设置强密码（符合复杂性要求并定期更换6.2.3应参照设备制造商提供的安全建议和安全基线进行安全配置6.2.4应保留重要设备的配置备份6.3设备物理与环境安全管理T/CSACXXX—XXXX46.3.1设备应放置在避免物理接触风险的位置6.3.2关键设备应确保供电稳定6.3.3设备应放置在通风良好、温湿度适宜的环境中6.3.4废弃或转售设备前，应执行出厂重置操作，清除所有用户数据和配置信息6.4访问控制管理6.4.1应为家庭Wi-Fi网络设置强密码（WPA2/WPA3）6.4.2应对家庭成员和访客使用不同的网络6.4.3应为不同家庭成员分配最小必要权限的账号6.4.4启用多因素认证（MFA）功能（如支持）6.4.5定期审查并删除不再使用的用户账号和访问权限6.5网络安全管理6.5.1应在家庭网关/路由器上启用防火墙功能6.5.2宜将物联网设备划分到独立的网络子网/VLAN中6.5.3禁用家庭网关/路由器的UPnP功能6.5.4应监控家庭网络的异常流量和连接行为6.5.5使用安全的DNS服务6.6系统与软件安全管理6.6.1应及时关注设备制造商发布的固件/软件更新和安全公告6.6.2应及时为物联网设备、家庭网关/路由器、智能家居App/平台安装安全更新6.6.3仅从官方应用商店或设备制造商官方网站下载智能家居App和固件6.6.4禁用设备上未使用或存在已知高风险的服务6.7数据安全管理6.7.1应了解设备收集、传输和存储的个人信息类型6.7.2仅授予应用所需的最小必要权限6.7.3对存储在本地设备或家庭存储设备上的敏感数据进行加密保护6.7.4定期清理不再需要的个人数据和历史记录6.7.5设备重置或报废时，必须彻底清除所有用户数据6.8监测与审计6.8.1应定期检查家庭网络连接设备列表6.8.2关注设备运行状态指示灯、App/平台告警信息56.8.3定期查看网关/路由器的日志记录6.8.4对重要的安全配置变更操作进行记录6.9漏洞与风险管理6.9.1应关注国家漏洞库发布的家庭物联网相关漏洞信息6.9.2一旦确认高风险漏洞，应立即采取缓解措施6.9.3定期进行简单的安全风险评估6.10变更管理6.10.1新增、移除物联网设备或改变其网络配置前应评估安全影响6.10.2对智能家居平台/App进行重大版本更新前应了解更新内容6.10.3重要变更应在影响最小的时间段进行6.10.4变更后应验证系统运行状态和安全功能6.11备份与恢复管理6.11.1应定期备份关键设备的配置信息6.11.2对存储在本地的重要数据进行定期备份6.11.3制定简单的恢复流程并测试备份的有效性6.12事件管理6.12.1应了解常见的家庭物联网安全事件类型6.12.2发现异常事件时应立即采取初步动作6.12.3记录事件发生的时间、现象、受影响的设备/系统6.12.4根据事件严重程度决定上报方式6.12.5事件处理后应进行分析并采取措施防止再次发生7应急预案与演练7.1制定预案应制定简单的家庭物联网安全应急预案，内容至少包括：主要联系人（运维负责人、委托服务商、设备厂商客服）常见紧急情况处理步骤关键恢复操作指引7.2预案告知应将预案核心内容告知所有关键家庭成员。67.3预案演练宜每年模拟一种常见安全事件，按照预案进行响应操作演练，评估流程有效性并进行改进。T/CSACXXX—XXXX7附录A(资料性)家庭物联网信息系统安全运维记录表示例家庭物联网资产清单必要字段如表A.1所示。A.1家庭物联网资产清单表元素名字段名字段描述字段类型序号设备名称类型序列号/MAC部署位置负责人IP地址接入方式关联账号备注登记日期更新日期安全配置变更记录必要字段如表A.2所示。A.2安全配置变更记录表元素名字段名字段描述字段类型序号变更日期变更设备/系统变更内容简述变更原因变更人验证结果8安全事件记录必要字段如表A.3所示。A.3安全事件记录表元素名字段名字段描述字段类型序号事件发现时间事件描述涉及设备/系统初步处理措施上报情况根本原因分析后续改进措施处理完成时间记录人9附录B(资料性)家庭物联网设备安全基线检查清单示例B.1通用检查项元素名字段名字段描述字段类型默认管理员密码是否已修改为强密码？设备是否运行最新官方固件/软件版本？是否关闭了不必要的网络服务？是否关闭了不必要的远程访问/管理功能？设备上的物理接口是否安全？设备的隐私设置是否按需调整？B.2特定设备检查项示例（摄像头）元素名字段名字段描述字段类型视频流传输是否加密？是否设置了访问视频流的强密码或PIN码？是否启用运动检测加密推送？云存储功能是否必需？如非必需是否已关闭？本地存储（SD卡）是否加密？视频流传输是否加密？B.3路由器/网关检查项元素名字段名字段描述字段类型Wi-Fi密码是否为强密码（WPA2/WPA3）？管理员Web界面登录密码是否为强密码且非默认？防火墙功能是否启用？UPnP功能是否已禁用？访客网络是否启用并与主网络隔离？是否运行最新官方固件版本？T/CSACXXX—XXXX[1]GB/T25069—2022信息安全技术术语[2]GB/T22239—2019信息安全技术网络安全等级保护基本要求[3]GB/T35273—202X信息安全技术个人信息安全规范[4]GB/T38645—2020信息安全技