3. 数据安全评估
数据安全评估，说白了就是给数据从生到死做一次“合规体检”。我做了这么多年IoT安全，见过太多企业只盯着传输加密，结果数据在采集端就裸奔了。你想想看，一个漏洞往往出在最不起眼的环节。
这一章，我按数据生命周期的四个阶段——采集、存储、传输、销毁——来拆解合规检查清单。每个阶段我都会列出关键检查项，并附上我在项目中踩过的坑。
核心原则：数据安全不是单点防护，而是全链路闭环。任何一个环节的缺失，都可能让整个合规体系崩塌。
3.1 数据采集阶段的合规检查
采集是数据进入系统的第一道门。我见过太多设备一开机就疯狂采集，根本不管用户同不同意。嗯，这里要注意，合规的起点是“知情同意”。
3.1.1 最小化采集原则
- 检查项：设备是否只采集业务必需的数据？
- 检查方法：逐条审查数据字典，确认每个字段都有业务理由。
- 我曾经踩过的坑：有个智能门锁项目，SDK默认采集了Wi-Fi扫描列表，结果被监管认定为过度采集。后来我们花了三周才把固件全部OTA升级修复。
3.1.2 用户知情同意
- 检查项：采集前是否明确告知用户？是否有明确的同意机制？
- 检查方法：查看隐私政策弹窗、设备首次配网流程。
- 合规要求：GDPR要求“明确肯定性动作”，不能默认勾选。
3.1.3 采集频率与数据量控制
- 检查项：采集频率是否合理？是否有节流机制？
- 检查方法：抓包分析实际采集间隔，对比产品文档声明。
- 个人经验：我习惯在设备端加一个“采集频率上限”的硬编码限制，防止固件被篡改后疯狂上报数据。
小技巧：在设备端实现边缘过滤——只上报变化超过阈值的数据。既能减少带宽消耗，又能降低隐私风险。
3.2 数据存储阶段的合规检查
存储阶段是数据泄露的高发区。说白了，黑客最喜欢偷的就是数据库。我评估过的项目中，超过60%的存储环节存在合规隐患。
3.2.1 加密存储
| 检查项 | 合规要求 | 检查方法 |
|---|---|---|
| 静态数据加密 | AES-256或等效算法 | 查看数据库加密配置 |
| 密钥管理 | HSM或KMS管理，密钥与数据分离 | 审查密钥生命周期文档 |
| 备份加密 | 备份文件同样需要加密 | 尝试读取备份文件内容 |
3.2.2 访问控制与权限管理
- 检查项：谁可以访问数据？权限是否最小化？
- 检查方法：审查IAM策略、数据库用户权限表。
- 避坑指南：我曾经发现一个项目，所有IoT设备都用同一个数据库账号，权限还是root。一旦泄露，整个集群就完了。
3.2.3 数据分级分类
- 检查项：是否对数据进行了分级？不同级别是否有不同保护策略？
- 检查方法：查看数据分类标准文档，验证实际存储是否匹配。
- 合规要求：个人敏感信息（如生物特征、位置）需要更严格的保护。
注意：很多企业只对生产数据库加密，却忽略了日志、缓存、临时文件中的数据。这些“数据影子”往往是合规盲区。
3.3 数据传输阶段的合规检查
传输阶段，我最常看到的问题是“只加密了应用层，忽略了控制信道”。你想想看，如果设备固件升级通道是明文的，黑客可以直接注入恶意固件。
3.3.1 传输加密协议
- 检查项：是否使用TLS 1.2及以上？是否禁用弱加密套件？
- 检查方法：用Wireshark抓包分析握手过程。
- 个人习惯：我一般会检查服务端是否支持TLS 1.3，以及是否禁用了TLS 1.0/1.1和SSL。
3.3.2 证书与身份验证
- 检查项：客户端是否验证服务器证书？是否使用双向认证？
- 检查方法：查看设备端证书校验代码。
- 我曾经踩过的坑：有个项目为了省成本，设备端直接跳过了证书验证。结果被中间人攻击，所有传感器数据都被篡改了。
3.3.3 协议安全配置
# MQTT安全配置示例（合规检查清单）
# 必须项
use_tls: true
tls_version: 1.2
certificate_validation: true
username_password_auth: true
# 建议项
client_id_whitelist: true
topic_access_control: true
rate_limiting: true
关键检查点：除了数据通道，别忘了检查管理通道（SSH、Web管理后台）和固件升级通道。这三个通道必须全部加密。
3.4 数据销毁阶段的合规检查
销毁阶段最容易被忽视。我见过不少企业，设备报废后直接扔进垃圾桶，里面的数据还是明文。嗯，这等于把数据送给别人。
3.4.1 安全擦除标准
- 检查项：是否使用符合标准的安全擦除方法？
- 检查方法：查看擦除工具和流程文档。
- 合规要求：NIST SP 800-88标准要求对SSD进行安全擦除或物理销毁。
3.4.2 物理销毁验证
- 检查项：物理销毁后是否验证数据不可恢复？
- 检查方法：随机抽样，尝试用专业工具恢复数据。
- 个人经验：我建议在销毁流程中加入“双人见证”和“视频记录”环节，便于合规审计。
3.4.3 残留数据清除
- 检查项：设备返厂维修或二手转卖时，是否清除了所有用户数据？
- 检查方法：模拟返厂流程，检查数据残留。
- 避坑指南：我曾经发现一批返厂设备，恢复出厂设置后，日志文件还保留着用户的位置轨迹。后来我们加了一个“深度擦除”步骤。
注意：云端的数据库删除不等于数据销毁。需要确认是否执行了“物理删除”操作，以及备份数据是否同步清除。
3.5 全生命周期合规检查清单汇总
下面这张清单，是我在多个项目中总结出来的。每次做合规评估，我都会逐条过一遍。
| 阶段 | 检查项 | 优先级 | 常见违规 |
|---|---|---|---|
| 采集 | 最小化采集原则 | 高 | 采集非必要数据 |
| 用户知情同意 | 高 | 默认勾选、未弹窗 | |
| 采集频率控制 | 中 | 高频采集导致隐私泄露 | |
| 存储 | 加密存储 | 高 | 明文存储敏感数据 |
| 访问控制 | 高 | 权限过大、共享账号 | |
| 数据分级分类 | 中 | 未区分敏感数据 | |
| 传输 | TLS加密 | 高 | 使用SSL/TLS 1.0 |
| 证书验证 | 高 | 跳过证书校验 | |
| 协议安全配置 | 中 | 弱密码套件、无认证 | |
| 销毁 | 安全擦除 | 高 | 仅删除文件索引 |
| 物理销毁验证 | 中 | 未验证销毁效果 | |
| 残留数据清除 | 中 | 返厂设备数据残留 |
实用建议：把这12项检查项做成一个Excel模板，每次评估直接打勾。我团队现在就用这个模板，效率提升了不少。
数据安全评估不是一次性的工作。设备固件会升级、业务逻辑会调整、法规会更新。我建议每半年至少做一次全生命周期复检，尤其是采集和销毁这两个容易被忽略的端点。