一、背景为什么需要IoT安全认证全球物联网设备数量持续增长预计2030年将突破500亿台。与此同时设备安全事件频发2016年Mirai僵尸网络通过家用路由器和IP摄像头发起DDoS攻击导致美国东海岸大量网络服务瘫痪。这类事件的共性在于许多IoT产品在设计阶段偏重功能与成本安全能力投入不足。为应对这一风险多国政府与标准化组织近年来密集推出物联网网络安全要求。这些要求大致可分为两类技术标准如ETSI EN 303 645、NISTIR 8425提供通用安全基线认证/标签制度如英国PSTI、新加坡CLS、日本JC-STAR将技术要求转化为市场准入或消费引导工具。二、通用技术标准基线在各国认证制度背后存在一组共通的技术参考标准。理解这些标准有助于把握不同制度之间的差异与联系。标准/文件发布机构核心定位ETSI EN 303 645欧洲电信标准协会消费级IoT安全基线要求ETSI TS 103 701欧洲电信标准协会ETSI EN 303 645符合性评估方法NISTIR 8425美国NIST消费级IoT设备网络安全能力指南IEC 62443 系列国际电工委员会工业自动化控制系统安全标准ISO/IEC 27001国际标准化组织信息安全管理体系认证ETSI EN 303 645是目前被引用最广泛的基线标准其安全要求覆盖默认密码、漏洞披露、软件更新、数据保护等关键领域。英国PSTI、新加坡CLS Level 2等制度均与其保持协调。三、主流认证制度对比制度国家/地区性质适用产品评估方式生效/推出时间PSTI英国强制性法规消费级可联网产品厂商自我声明 合规声明2024年4月CLS(IoT)新加坡自愿性标签消费级智能设备自评L1-L2/ 第三方评估L3-L42020年起JC-STAR日本自愿性标签全品类IoT产品自评STAR-1/2/ 第三方评估STAR-3/42025年3月三类制度定位差异物联网安全治理框架法规强制型标签引导型分级评估型英国 PSTI不符合即违规面向消费级产品新加坡 CLS星级标签引导消费选择亚太首个IoT标签制度日本 JC-STAR四级分层评估覆盖全品类IoT四、主要制度解析4.1 英国PSTI强制性合规框架英国《产品安全与电信基础设施法案2022》PSTI Act 2022及配套法规于2024年4月29日正式生效。该制度覆盖在英国市场销售的消费级可联网产品核心安全要求包括三项禁止使用通用默认密码和易被猜测的密码公开安全漏洞报告渠道与流程公开最低安全更新支持周期。此外制造商、进口商和分销商均承担相应义务包括保存合规记录、调查潜在违规并采取纠正措施。OPSS产品安全与标准办公室负责执法。PSTI基于ETSI EN 303 645的关键条款制定但属于强制性法规违反要求可能面临执法措施。4.2 新加坡CLS四级星级标签新加坡网络安全局CSA推出的Cybersecurity Labelling SchemeCLS是亚太地区首个面向消费级IoT设备的网络安全标签制度共分为四个等级等级核心要求评估方式Level 1满足基本安全要求唯一默认密码、软件更新等厂商自评Level 2满足国际标准的全部强制性要求厂商自评Level 3采用安全设计理念软件二进制须经认可第三方实验室评估第三方评估Level 4通过认可第三方实验室的结构化渗透测试第三方评估CLS已与芬兰、德国、韩国、英国等建立互认机制。例如英国PSTI合规产品可申请简化程序获取CLS Level 1标签。4.3 日本JC-STAR全品类分层制度JC-STAR由日本经济产业省METI与信息处理推进机构IPA于2025年3月推出覆盖可通过IP协议直接或间接联网的全品类IoT产品。该制度设STAR-1至STAR-4四个等级其中STAR-1/STAR-2采用厂商自我声明模式STAR-3/STAR-4须由独立第三方评估机构出具技术报告。STAR-1标签有效期为2年标签内含二维码扫码可查看产品安全信息、漏洞公告及联系方式。五、认证流程通用框架尽管各国制度在强制性和评估深度上存在差异但其基本流程可抽象为以下通用模型否是确定产品范围与目标市场识别适用法规/标准如PSTI/CLS/JC-STAR差距分析对照安全基线产品安全设计整改准备合规证据测试报告/自评清单制度要求第三方评估?提交自评声明获取标签/合规声明送交第三方评估机构获得评估报告向主管机构提交申请审核通过 → 获得标签持续维护更新与安全监控六、制度设计的共性与趋势6.1 共同关注的安全基线安全维度典型要求身份与访问唯一默认密码、禁用通用密码、支持用户修改漏洞管理建立安全漏洞报告机制、公开漏洞披露渠道软件更新提供安全更新机制、声明最低支持周期数据保护加密传输、最小化数据采集安全设计安全开发生命周期、威胁建模6.2 发展趋势物联网安全认证发展趋势从自愿走向强制从单一国家走向互认从功能安全走向安全设计从合规声明走向第三方评估英国PSTI已强制实施CLS与PSTI/JC-STAR互认安全开发生命周期成为高等级要求CLS Level 3/JC-STAR STAR-3要求第三方七、国际互认机制为降低企业重复评估成本各国认证制度之间正逐步建立互认安排。当前主要互认关系如下制度A制度B互认内容英国PSTI日本JC-STARPSTI合规产品申请JC-STAR Level 1可简化JC-STAR Level 1视为满足PSTI要求英国PSTI新加坡CLSPSTI合规产品可申请简化程序获取CLS Level 1新加坡CLS芬兰网络安全标签CLS Level 3 与芬兰标签互认新加坡CLS德国IT安全标签CLS Level 2 与德国IT安全标签互认新加坡CLS韩国CICCLS Level 3 与韩国CIC Basic Level互认互认机制的价值在于产品通过一个制度的认证后可在互认制度下减少重复测试与文档准备工作。八、常见问题FAQQ1网络安全认证与质量管理体系认证有何区别网络安全认证如PSTI、CLS、JC-STAR针对产品本身的安全功能与合规性而ISO/IEC 27001等管理体系认证针对组织的信息安全管理流程。两者评估对象不同不能互相替代。Q2英国PSTI是否适用于所有IoT产品PSTI主要适用于面向英国消费者的可联网产品。以下产品不在范围内电动汽车充电桩、医疗设备、智能电表产品、不具备蜂窝网络连接能力的台式机/笔记本/平板除非专为14岁以下儿童设计。Q3CLS Level 1和Level 4的主要差异是什么Level 1只需厂商自评并满足基本安全要求Level 4则要求产品通过认可第三方实验室的结构化渗透测试安全验证深度显著更高。Level 1面向基础合规Level 4面向高安全敏感场景。Q4企业是否需要同时满足多个国家的认证要求若产品面向多个市场通常需要分别满足目标市场的强制性要求如英国PSTI。但对于自愿性标签制度企业可根据市场策略选择性申请。由于互认机制的存在部分认证结果可在多个制度间转换。Q5产品已符合ETSI EN 303 645是否自动满足PSTIETSI EN 303 645是PSTI的重要技术参考但两者并非完全等同。PSTI作为英国法规有其特定的适用范围、合规声明要求和执法机制。建议逐条对照PSTI法规要求确认覆盖情况。九、结语物联网产品网络安全认证正从行业自律逐步演变为监管合规的重要组成部分。英国PSTI的强制实施、新加坡CLS的星级引导、日本JC-STAR的全品类覆盖代表了三种不同的治理路径。与此同时国际互认机制的推进正在为全球IoT产品构建一个更具互操作性的合规生态。对于面向国际市场的产品厂商而言在产品设计早期就将ETSI EN 303 645等基线标准纳入安全开发流程是应对多国认证要求的有效方式。数据来源声明本文依据英国GOV.UK公开法规指南、新加坡CSA官方CLS说明、日本METI/IPA公开制度文档以及ETSI/NIST公开标准资料整理。相关法规与标准如有更新以官方发布的最新版本为准。