2. 合规评估框架
说实话，很多团队一上来就问我：「合规评估到底从哪下手？」
我的回答很简单——没有框架，别谈评估。你想想看，IoT 设备千奇百怪，从智能灯泡到工业网关，从温湿度传感器到医疗植入体，要是没有一套通用的评估模型，你根本没法横向对比，也没法系统性地找漏洞。
我个人习惯把 IoT 合规拆成四个维度：数据安全、隐私保护、通信安全、固件安全。这四块基本覆盖了 90% 以上的合规风险点。今天我就把这套模型掰开揉碎了讲给你听。
核心观点：合规评估不是一次性检查，而是一个持续迭代的过程。模型的价值在于「可重复、可量化、可追溯」。
2.1 四维评估模型总览
先给你看一张图，这是我做项目时一直用的框架结构。每次启动新项目，我都会先拿这张图跟客户对齐认知。
这张图看着简单，但背后我踩过不少坑。有一次客户只做了数据安全评估，结果固件被逆向工程，私钥全泄露了。所以记住：四个维度缺一不可。
2.2 数据安全维度
数据安全是合规的「地基」。我见过太多团队把精力花在花哨的功能上，结果数据存储连基本加密都没有。
评估数据安全，我一般看这五个关键点：
- 数据分类分级：你得先搞清楚设备采集了哪些数据。是普通日志？还是生物特征？还是金融信息？不同等级的数据，保护要求完全不同。
- 存储加密：数据在设备本地怎么存？在云端怎么存？我建议至少用 AES-256。
- 传输加密：数据从设备到网关、从网关到云端，全程必须加密。TLS 1.2 起步，别再用 SSL 了。
- 密钥管理：密钥存在哪？怎么轮换？怎么销毁？这是最容易出问题的地方。
- 数据生命周期：采集、存储、使用、共享、归档、销毁，每个阶段都要有策略。
我的经验：有一次评估智能门锁，发现设备把用户的开锁密码明文存在 Flash 里。攻击者只要拆开外壳，用 SPI 读取器就能拿到所有密码。这种问题在合规评估里属于「一票否决」项。
2.3 隐私保护维度
隐私保护跟数据安全不一样。数据安全关注的是「怎么保护」，隐私保护关注的是「能不能收集」和「用户知不知道」。
我把它拆成四个评估项：
| 评估项 | 检查要点 | 常见违规 |
|---|---|---|
| 知情同意 | 隐私政策是否清晰？用户是否主动授权？ | 默认勾选、一揽子授权 |
| 数据最小化 | 是否只采集必要数据？ | 智能音箱采集环境音频却上传完整录音 |
| 用户控制权 | 用户能否删除数据？能否撤回授权？ | 没有注销账号入口 |
| 跨境传输 | 数据是否出境？是否有合规依据？ | 未做安全评估就传到境外服务器 |
这里我要特别强调一下「数据最小化」。我曾经评估过一个儿童手表项目，厂商非要采集孩子的精确位置、心率、步数、甚至录音。我问产品经理：「你们真的需要录音吗？」他说「万一孩子遇到危险呢？」——这就是典型的过度采集。合规评估里，必要性论证是硬门槛。
2.4 通信安全维度
IoT 设备的通信链路是最容易被攻击的环节。你想想看，设备跟云端之间隔着 Wi-Fi、4G、蓝牙、Zigbee……每一层都可能被中间人攻击。
通信安全评估我重点关注：
- 身份认证：设备接入平台时，有没有双向认证？还是只验证了设备证书？
- 协议安全：MQTT 有没有启用 TLS？CoAP 有没有用 DTLS？HTTP 有没有强制 HTTPS？
- 会话管理：会话 Token 怎么生成？有效期多长？有没有刷新机制？
- 重放攻击防护：消息里有没有时间戳或序列号？
- 固件更新通道：OTA 升级包有没有签名验证？
避坑指南：我曾经遇到一个智能插座项目，设备跟云端通信用的是自定义二进制协议，但没做任何加密。攻击者只要在同一个 Wi-Fi 下抓包，就能伪造开关指令。这种问题在合规评估里属于「高危」项，必须整改。
2.5 固件安全维度
固件安全是 IoT 特有的评估维度。传统 IT 设备很少需要担心固件被逆向，但 IoT 设备不一样——攻击者可以物理接触设备，拆开外壳，直接读 Flash。
固件安全评估清单：
- 安全启动：设备启动时是否校验签名？防止被刷入恶意固件。
- 固件加密：固件镜像是否加密？防止被 dump 后逆向分析。
- 调试接口：JTAG/SWD 接口在生产后是否已禁用？
- 敏感信息硬编码：固件里有没有硬编码的密钥、证书、API Key？
- 漏洞管理：第三方组件有没有已知漏洞？有没有定期扫描？
嗯，这里我要多说一句。很多团队觉得固件加密「没必要」，因为「没人会拆设备」。但我在做渗透测试时，拆过至少 20 款不同品牌的 IoT 设备，90% 都能在 30 分钟内读出固件。所以别抱侥幸心理。
2.6 评估模型落地：评分卡
光有维度还不够，你得有办法量化。我习惯用一张评分卡来给每个维度打分：
| 维度 | 权重 | 评分项数 | 满分 | 及格线 |
|---|---|---|---|---|
| 数据安全 | 30% | 5 | 100 | 70 |
| 隐私保护 | 25% | 4 | 100 | 75 |
| 通信安全 | 25% | 5 | 100 | 70 |
| 固件安全 | 20% | 5 | 100 | 65 |
每个评分项按 0-20 分打分，0 分代表「完全未实现」，20 分代表「完全合规」。最后加权算出总分。低于 70 分的项目，我会直接建议「暂停上市，先整改」。
实战建议：评分卡不是用来「卡人」的，而是用来「对齐认知」的。每次评估完，我会把评分卡发给产品、研发、法务三方，让他们自己看看差距在哪。很多时候，研发团队自己都不知道固件里有硬编码密钥——评分卡一拉，问题就暴露了。
2.7 评估流程：从启动到报告
最后，我分享一下完整的评估流程。这个流程我迭代了三年，现在基本稳定：
- 启动会：对齐评估范围、时间线、接口人。我会要求客户提供设备实物、固件镜像、架构文档。
- 文档审查：看隐私政策、安全设计文档、第三方组件清单。
- 技术检测：抓包分析通信协议、拆机检查硬件接口、逆向固件分析。
- 评分与报告：按四维模型打分，输出合规差距分析报告。
- 整改建议：给出优先级排序的整改方案，标注「必须改」和「建议改」。
整个周期一般 2-4 周，具体看设备复杂度。我做过最快的是一周（一个简单的温湿度传感器），最慢的三个月（工业网关，涉及多种通信协议）。
小技巧：评估过程中，我会让客户把设备放在一个「隔离网络」里测试，避免影响生产环境。另外，记得提前签好 NDA——你可能会看到客户的私钥和证书，这属于高度敏感信息。