3. 供应链身份治理框架与标准
IoT 设备从芯片、模组、固件、云平台到运维服务，往往跨越数十家供应商。身份治理要落地，不能只靠企业内部约定，必须把设备身份、凭证生命周期、供应链角色与责任映射到业界公认的标准条款上。本节围绕四类最常被引用的标准展开：NIST 的 IoT 与供应链安全指南、ISO/IEC 27001 与 27036 系列、IEC 62443 工业自动化与控制系统安全系列，以及 ETSI EN 303 645 消费级 IoT 基线。理解它们的关注点差异，才能把“身份治理要求”翻译成可执行的采购条款、出厂配置和验收证据。
四类标准的定位差异
NIST 体系偏“框架与方法”。NISTIR 8259 定义了设备制造商应具备的六项能力基线，其中“设备身份标识”“设备配置”“数据保护”直接涉及身份；NIST SP 800-161 则从供应链风险管理角度，要求对供应商、组件、服务建立可追溯的身份与信任关系。ISO/IEC 27001 是信息安全管理体系要求，身份治理体现在访问控制、资产管理和供应商关系条款；ISO/IEC 27036 专门针对供应商关系安全，强调在合同阶段明确身份与访问责任。IEC 62443 面向工业场景，用区域与管道（Zone & Conduit）、安全等级（SL1–SL4）刻画身份认证强度，对设备、系统、组件分别提出要求。ETSI EN 303 645 是消费级 IoT 的基线规范，条款 5.1 禁止通用默认密码，5.2 要求实施漏洞披露，5.5 要求安全存储敏感参数，直接约束出厂身份凭证。
关键条款的身份治理映射
把标准条款落到设备身份上，需要建立“条款—能力—证据”的映射关系。以 ETSI EN 303 645 条款 5.1 为例，它要求设备不得使用通用默认密码。对应的身份能力是“每台设备唯一凭证”，落地方式是产线为每台设备注入唯一密钥或证书，证据是产线注入日志与抽样验证报告。IEC 62443-4-2 对组件提出“标识与鉴别”要求，SL2 级别通常要求设备具备唯一标识并支持基于证书的双向认证，对应能力是“设备证书 + 平台侧身份注册”，证据是证书链与握手抓包。NISTIR 8259 的“设备身份标识”能力，则要求设备具备可被外部读取或查询的唯一标识，便于资产盘点与供应链追溯。
ISO/IEC 27036 的关注点更偏管理：它要求在供应商合同中明确身份与访问责任，例如谁负责签发设备证书、谁负责吊销、数据归属如何界定。这意味着身份治理不只是技术配置，还要写进采购合同与供应商安全协议。一个常见的做法是建立供应商身份责任矩阵，把“设备身份签发”“凭证轮换”“漏洞响应”等事项逐项标注为供应商责任、企业责任或共同责任。
实操示例：把标准要求转成出厂检查项
假设某智能网关产品需要同时满足 ETSI EN 303 645 与 IEC 62443-4-2 SL2。产线出厂前可执行以下检查，每项都对应标准条款与可留存证据：
| 检查项 | 对应标准条款 | 判定依据 | 留存证据 |
|---|---|---|---|
| 设备唯一证书已注入 | ETSI 5.1 / IEC 62443-4-2 | 证书序列号唯一且可查询 | 注入日志、证书台账 |
| 无通用默认口令 | ETSI 5.1 | 首次登录强制设置或使用唯一初始凭证 | 配置截图、测试记录 |
| 敏感参数加密存储 | ETSI 5.5 | 私钥不可明文导出 | 安全存储测试报告 |
| 固件签名可验证 | NISTIR 8259 / IEC 62443 | 签名校验失败则拒绝启动 | 启动日志、签名验证记录 |
| 身份信息可追溯 | NIST SP 800-161 / ISO 27036 | 可关联芯片批次与固件版本 | 物料批次表、追溯查询结果 |
这张表的价值在于：它把分散在四类标准中的身份要求，收敛为产线可执行、可判定的检查动作。实际执行时，建议为每台设备生成一条身份记录，字段至少包含设备序列号、证书指纹、固件版本、生产批次、注入时间。该记录既服务于出厂验收，也服务于后续运维阶段的证书轮换与吊销。
标准之间的差异与取舍
四类标准的强制力和适用场景不同。ETSI EN 303 645 是消费级基线，条款具体、可测试性强，适合作为出厂最低门槛；IEC 62443 分级明确，适合工业与关键基础设施场景，SL 等级越高，对身份认证和角色分离的要求越严；NIST 体系偏框架，适合用来搭建整体治理结构；ISO/IEC 27001 与 27036 偏管理体系与供应商关系，适合把身份治理纳入企业安全治理和采购流程。实际项目中，常见组合是“ETSI 做基线 + IEC 62443 做分级 + ISO 27036 做供应商合同约束 + NIST 做追溯框架”。
需要特别注意的是，标准本身不会自动产生安全的身份体系。真正的难点在于：设备身份由谁签发、凭证如何安全注入、供应链各环节如何验证身份未被篡改、设备退役后凭证如何吊销。这些问题需要在采购、生产、入网、运维四个阶段分别设计控制点，并保留可审计的证据链。只有把标准条款转化为具体的身份能力、检查项和证据留存机制，供应链身份治理才具备可执行性和可验证性。