CSO说安全 | 王书魁：⼩⽶AIoT 安全体系建设实践

原创王书魁安在 2022-10-30

收录于合集 #2022 CSO说安全 16个

由安在新媒体联合中国网络安全审查技术与认证中心（CCRC）共同举办的第二届“超级CSO研修班”，于2022年2月27日圆满结营。20位学员历时5个月，完成17节专业课程，经历名企参访、课堂作业、私董会和赛歌会，更交付了20篇毕业论文，最终，都以优异的成绩冲刺达标，获得由CCRC和安在新媒体联合颁发的结业证书。

第二届“超级CSO研修班的学员们分布更加广泛，不仅有银行、证券、保险、运营商、互联网，更涵盖了汽车、快递、快消、咨询、智能制造等多个领域。在导师引领和课程启发下，其所完成的毕业论文，也都极具代表性，是各自相关领域网络安全建设、实践与思考的精华之作。

本着分享交流之精神，我们特别精选几篇，以连载的方式呈现公众。希望借“CSO说安全”，让更多CSO们关注、支持并参与到CSO文化的沉淀积累和广泛传播中来。

CSO说安全：⼩⽶ AIoT 安全体系建设实践

王书魁⼩⽶信息安全与隐私部总监

01
背景

随着近年来科技的不断创新发展与进步，AIoT 市场也进⼊了⾼速发展和增⻓期。放眼全球 AIoT 市场，根据 IoT Analytics 的调研报告，2021 年新增联⽹设备数量达 239 亿，其中 AIoT 联⽹设备数量⾼达 139 亿，预计 2025 年 AIoT 联⽹设备数量将超过 270 亿。科技发展所带来的成果普及极⼤地⽅便的⼈们的⽣活，但是不断增⻓的 AIoT 设备打破了⼈与设备、设备与设备之间的信息边界，这也意味着信息安全的攻击⾯在不断扩⼤，对⼈们⽣活带来极⼤的安全威胁。

近⼏年 AIoT 设备或⼚商相关的安全事件频发，能够印证上述观点。举⼀个典型的案例，2020 年央视⽹报告的《细思极恐！⽤⼾⼤量私密视频被买卖竟因家⽤摄像头被⾮法控制》，就是由于⽤⼾使⽤的摄像头公⽹可访问并且存在弱⼝令，导致可以被不法分⼦⾮法控制从⽽造成⽤⼾的隐私被侵犯，其根本原因在于设备本⾝安全设计和机制不合理。当 AIoT 设备覆盖⼈们⽣活的更多场景时，设备本⾝存在的安全漏洞就不只是对⽤⼾隐私的侵犯，⽽是会对⽤⼾的财产甚⾄⼈⾝安全造成威胁。AIoT 安全事件的频发在不断提升⼈们的安全意识，同时各国的监管机构在法律法规上对企业和产品有了更⾼的要求，这也推动了企业在安全上需要做得更好。

02
体系概览

AIoT ⼀直是⼩⽶战略的重要组成部分，也使得⼩⽶的 AIoT 平台发展成全球最⼤的消费级 AIoT 平台之⼀。截⽌到 2021 年 Q3，全平台联⽹设备品类数百种、设备数量超过 4 亿台，超过 800 万⽶粉拥有 5 件以上的联⽹设备。在如此的规模和体量下，保障整个平台和设备的安全是⼀件⾮常有挑战的事情，因为这些联网设备中，除了⼩⽶⾃⾝研发⽣产以外还有⼤量⽣态链公司研发⽣产的产品。

⼩⽶从成⽴之初就⾮常重视信息安全与隐私⼯作，在“战略牵引组织、组织建设体系”的思路下，⼩⽶逐步建设成符合⼩⽶业务发展的组织和体系，来开展整个⼩⽶集团的信息安全与隐私⼯作。AIoT 业务作为⼩⽶重要的业务之⼀，⾃然也被覆盖其中，通过这种模式不断地提升⼩⽶ AIoT 业务的安全能⼒。

在组织建设⽅⾯，⼩⽶ 2012 年正式成⽴独⽴的信息安全团队，2014 年成⽴了集团级别的信息安全与隐私委员会，由集团⾼管担任主席来统筹，各业务团队派驻安全与隐私代表进⾏整个集团的安全与隐私⼯作。在 2018 年成⽴了 AIoT 安全实验室，全⾯负责⼩⽶ AIoT 产品和⽶家物联⽹平台的安全与隐私体系建设⼯作。

在体系建设⽅⾯，则包括如下⼏个⽅⾯：

1. 管理：通过建⽴信息安全与隐私管理体系来让⼩⽶的产品和业务满⾜了与国际接轨的企业信息安全管理要求；

2. 技术：

a. 安全基线和基础能⼒：制定消费级物联⽹安全基线和提供基础安全能⼒，让⼩⽶的 AIoT 产品能够真正秉承 Privacy by Design 和 Security by Default 原则，真正做到默认安全；

b. 安全流程和⾃动化平台：建⽴完整的安全开发流程，并把各种⾃动能⼒组合成的平台嵌⼊到安全开发流程中，来实现 AIoT 产品全⽣命周期的覆盖，确保从源头开始后的各个环节的安全；

3. 服务运营：不断地通过培训、评估、测试等服务，并且进⾏深度运营来持续完善和提升整个安全体系中各个环节的能⼒；

4. 攻防实战：通过红蓝对抗以及有奖励的外部漏洞报告平台持续对安全进⾏验证；

5. 透明可信：通过认证、⽩⽪书等能⼒做到产品的透明可信，让⽤⼾放⼼；受限于篇幅，本⽂会就管理、技术、安全可信⼏个⽅⾯的部分能⼒进⾏详细阐述，来说明⼩⽶ AIoT 安全体系的建设背后的思考以及成果。

03
管理

⼩⽶的信息安全与隐私管理体系主要依托于ISO 27001、ISO 27701和等级保护进⾏建设的，⼩⽶的AIoT 业务也先后通过了等保三级以及获得了ISO 27001信息安全管理体系、ISO27701隐私管理体系两个认证，系统性、标准化地建⽴和优化了安全开发流程、隐私默认设计、漏洞管理和披露、数据安全、供应商安全、资产安全、⼈⼒资源安全、访问控制和系统运维、物理安全、⻛险管理和信息安全事件管理以及隐私相关的体系制度流程。

04
技术

4.1. 安全开发流程

SDL 和 DevSecOps 是安全开发中常⽤到的模型和⽅法，⼩⽶也在安全发展的不同阶段分别进⾏了引⼊，旨在通过建⽴完善的标准、规范、流程、评估⽅法、⼯具平台等并贯穿到开发的不同阶段尽早地解决安全⻛险。经过这⼏年的发展，⼩⽶也摸索并形成了⼀套⾃有的安全开发流程。

针对 AIoT 硬件产品更偏向于使⽤ SDL 模型，在产品上线前的需求分析和开发阶段，通过制定的《消费级物联⽹产品安全基线》指南，为产研团队从硬件选型、开发规范、业务逻辑、软件实现等⽅⾯提供安全实践需求、建议、要求等。

在产品测试阶段，安全团队通过⾃研的安全检测⼯具，对产品进⾏⿊⽩盒扫描，同步也通过安全⼯程师进⾏标准的安全测试和渗透测试，确保每个上线的产品都是通过安全检测并满⾜安全要求。

产品上线后，⼩⽶定期对产品进⾏安全监测，并且会不定期进⾏红蓝演练，同步也建⽴外部漏洞响应平台。通过多个维度的组合，全⽅⾯保护线上产品的安全。

与此同时，⼩⽶制定了产品⽀持政策，⼩⽶尽最⼤努⼒为硬件产品提供持续的安全性更新，包括最新的安全补丁、安全问题修复和其他安全性改进。同时，定期在⼩⽶信任中⼼⽹站发布和更新终⽌⽀持产品列表，以帮助⽤⼾随时了解所使⽤产品的安全⽀持状态。

与 AIoT 硬件产品不同，APP 和服务端的开发周期及迭代速度很快，开发模式从瀑布模式转变为敏捷模型。安全团队将安全规范及安全测试⼯具赋能到业务之中，通过整合流程、构建情报库等⽅法将安全嵌⼊到 DevOps 环节之中。

4.2. 安全基线

在 AIoT 安全发展的初期阶段，通过简单的安全要求，加上⼀定的流程、⼯具和⼈⼯测试，使安全需求基本能够得到满⾜。但是随着业务的不断发展，AIoT 产品的种类变得越来越多，这些产品有着不同的硬件平台、软件功能和⽤⼾场景。这个时候简单的安全要求则⽆法适⽤，针对不同的产品提出不同的安全要求则会变得复杂化，同时也增加了落地执⾏的成本。

好在安全⻛险和漏洞的成因⼤致相同，基于经验积累，对安全⻛险和漏洞进⾏抽象归类，同时结合国内外法律法规和标准规范，编写了⼀份安全要求实施指南。并在落地执⾏的过程中不断进⾏优化和打磨，最终形成⼀份涵盖硬件安全、通信协议安全、系统安全、应⽤安全、编码安全、业务逻辑安全及数据安全等 13 个安全控制域，细化为共 77 项安全技术层⾯要求点的安全基线，覆盖了主流 AIoT 设备从设计、开发、⽣产各阶段需要注意的安全问题。

2021 年初，⼩⽶⾸次把这份内部沉淀下来的《消费级物联⽹安全基线》对外进⾏发布，意在帮助国内物联⽹企业在设计和开发消费物联⽹终端产品时有⼀个开放、便捷、可落地的安全基线指南，以规避⼀些基本的安全与隐私保护⻛险，快速提升 AIoT 设备的安全与隐私保护能⼒。在过去的⼀年中，⼩⽶不断结合《消费级物联⽹安全基线》“要求”与“实践”之间的差异，以及识别基线落地过程中出现的问题，对基线内容进⼀步地打磨和优化。2021 年 12 ⽉正式对外发布《消费级物联⽹安全基线》2.0版本，让《消费级物联⽹安全基线》始终保持前瞻性和可落地性，能够应对最新的物联⽹安全挑战。

4.3. ⾃动化平台

⾃动化平台除了⿊盒漏洞扫描和⽩盒代码审计外等传统的⾃动化能⼒外，我们还需要针对 AIoT 硬件设备本⾝进⾏⾃动化的安全和隐私评估。在基线章节我们讲过 AIoT 业务的复杂性，所以针对 AIoT 硬件设备的⾃动化平台建设并不顺利。

经过⼤量的探索和尝试，从最初的基于脚本纯⼿⼯式的到基于流量半⾃动化式的，最终实现能够深⼊到协议层的全⾃动化式的安全与隐私测试平台，内部代号为“⿊灯平台”。平台具有如下的属性和特点：

1. 模式创新：平台深度结合 AIoT 协议和安全测试场景以及业务测试流程，能否深⼊到 AIoT 产品的业务流程进⾏全⽅位的安全与隐私评估；

2. 灵活扩展：平台通过 SDK ⽅式，将安全测试能⼒点扁平化，安全研究⼈员基于 SDK 编写测试插件，快速实现各种安全测试需求，能动态更新插件和剧本以满⾜不断更新的产品安全要求；

3. ⽆⼈值守：平台借鉴 SOAR 思想，⾃研⾃动化调度引擎和剧本引擎，从⽽实现了⽆⼈值守下的产品安全测试；

4. All In One 引擎：平台采⽤定制化的硬件平台，并且整合了多款通讯板卡，以及⾃研硬件扩展板，并集成 AIoT 通讯模块，实现 AIoT 安全测试引擎的⼀体化；

通过上述平台在保证安全测试质量的前提下，能极⼤提升安全测试的效率。

05
安全可信

针对⼩⽶的 AIoT 产品，除了经过⼩⽶内部整个安全体系的层层历练外，我们也与国际知名的第三⽅安全认证机构合作，由独⽴的第三⽅安全实验室对我们的 AIoT 产品进⾏安全测试及体系审核。⽬前⼩⽶已有多款产品已经通过了国际安全认证，如⼩⽶摄像头、⼩⽶路由器通过了英国 BSI Kitemark 认证，作为与这些设备连接的⼩⽶⽶家物联⽹平台也通过了英国 BSI Kitemark 认证。这证明了⼩⽶智能产品从产品⽣命周期、软硬件安全、隐私保护等⽅⾯，已经达到了欧盟消费级物联⽹信息安全标准 ETSI/EN 303645 等相关安全要求，为消费者提供持续的设备、平台、云端安全闭环防护，带来更加安全和智能的科技⽣活体验。

另外我们也编写了 IoT 隐私⽩⽪书并于 2021 年 5 ⽉对外发布，IoT 隐私⽩⽪书介绍了六类主要的物联⽹产品和三款的移动应⽤程序，包括⼿环、体脂称、扫地机器⼈、滑板⻋、路由器、摄像机、⽶家APP、⼩⽶路由器 APP，⼩⽶穿戴 APP，⽤⼾可以通过 IoT 隐私⽩⽪书了解这⼏款产品数据收集和使⽤的所有细节，以及每个设备的具体隐私功能属性、数据存储、⽤⼾权利⾏使的相关细节。我们希望通过⽩⽪书，更进⼀步提升⼩⽶物理⽹产品数据收集、使⽤的透明度，对外阐述⼩⽶在物联⽹产品隐私保护上所做的努⼒。

通过产品认证、IoT 隐私⽩⽪书也进⼀步做到 IoT 产品的安全可信。

06
结语

虽然本⽂并没有就体系全⾯展开进⾏详细阐述，但是通过以上内容也能够体现⼩⽶⼀直⾮常重视信息安全与隐私保护，针对⼩⽶的 AIoT 业务也能够进⾏全⾯的安全防护，同时来保护⽤⼾的安全和隐私，确保⽤⼾可以安⼼、放⼼。

07
附录

1.https://iot-analytics.com/number-connected-iot-devices/

2.http://news.cctv.com/2020/01/09/ARTIyqNjtLdxCRcDIEmUwAoo200109.shtml

3.https://github.com/MiSecurity/Cyber-Security-Baseline-for-Consumer-Internet-of-Things

4.https://trust.mi.com/pdf/Xiaomi__IoT_Privacy_White_Paper_EN_June_2021.pdf

第二届超级CSO研修班全貌

过程回顾

开营导师团结营

导师授课