韩国未来创造科学部发布《物联网安全指南》
正当进入物联网（Internet
of Things, 简称IoT）时代。当所有的事物通过互联网共享信息的话，安全变得比以往任何时候都很重要。如果有个人利用物联网信息来控制家中的空调或电冰箱，更可怕的事情也有可能会发生。为了防止这种情况的发生，韩国未来创造科学部在“2016年物联网安全联盟定期会议”中发布了《IoT共同安全指南》，旨在企业在设计或制造物联网产品或服务的时候遵守该指南的安全要求事项。
物联网安全联盟发布的《IoT共同安全指南》是基于去年建立的“IoT共同安全七大原则”，经过其具体化，最终完成为确保IoT产品和服务的安全性的指南。对一般人而言，可能是一个没有多大相关的指南，但是对IoT产品相关的供应商来说，确实一个很重要的安全指南。
制定该IoT安全指南的物联网安全联盟是一个包括国内外物联网制造业及服务业厂商和安全提供商的产业界、学界、公共机构等50多个机构共同参与的民间自主的IoT安全协商机制，目的是形成IoT领域的民间自主的安全基础并协同激活相关安全行业。
IoT安全指南是由物联网安全联盟和产•学•研专家们参加，并由民间主导开发。基于IoT设备的生命周期，详细记载了15项安全要求和技术、管理方面的建议事项。
15项安全要求如下：
<IoT共同安全指南15项要求>
[安全原则 1：考虑加强信息保护和隐私的IoT产品和服务的设计]
1. 鉴于IoT设备的特性，实现轻型的安全功能
考虑到IoT设备（传感器等）的简单功能和低配置，使用轻型设备（处理器）、轻型加密技术和轻型通信方式等实现安全功能的轻量化，如非法解密、防止窃听和防止毁坏等。
2. 提供适合于IoT服务操作环境的访问权限管理及身份验证、终端到终端的通信安全和数据加密等方案
如果是仅收集煤气、温度和湿度等简单信息的IoT设备，考虑到操作环境，包含了简单的访问权限管理和认证方法。
3. 软件和硬件安全技术的应用审查和安全性已被验证的安全技术的应用
包含了可应用在低配置的IoT设备的基于硬件的安全技术及软件和硬件的安全性验证相关的制度情况等。
4. 提供加密、非识别化和访问管理等方案，以保护IoT设备和服务收集的敏感信息（个人信息等）
介绍为保护通过IoT设备和服务自动收集的敏感信息（个人信息等），将筛选的个人信息加密或利用非识别化技术和访问管理等无法识别信息的方法。
5. IoT服务提供商对收集的敏感信息的利用目的和期间等的运营策略保障可视化和透明度
对收集的信息的利用目的、使用范围和利用期间等建立运营策略，并向用户公开，以最大保障利用敏感信息的透明度。
[安全原则 2：应用安全的软件及硬件开发技术及验证]
6. 应用安全编码，提前预防从源代码阶段可能内在的安全漏洞
IoT设备由小规模生产厂家开发的情况比较多，并且管理实体具有多样的特性。因此，产品上市以后很难采取事后措施，如对安全漏洞的补丁等。这就需要从开发阶段开始应用安全编码，以防止安全漏洞。
7. 对使用在开发IoT产品和服务的多样的软件，执行安全漏洞检查及实现安全补丁方案
在开发阶段不包含漏洞检查和安全补丁功能的话，建议以后根据安全管理的难易度实现该功能。还包含可利用在漏洞检查的开源软件和检查工具等。
8. 适用固件/代码的加密、可执行代码区域控制、反逆向工程技术等多样的硬件安全技术
介绍当适用基于硬件的技术来强化安全时可以参考的案例、安全技术和IoT设备的安全检查项目等。
[安全原则 3：提供安全的初期安全设置]
9. IoT设备及服务的安装（或重新安装）时，为了安全协议中设置的默认的参数值的安全，遵守“缺省安全”基本原则
如果用户很难直接进行IoT设备及服务的安全设置，制造商等必须可以代替进行安全设置。为此，介绍IoT标准通信方式等提供的多样的安全方式，让制造商可以作参考，并提示使用者可以确认的初期安全设置的方案。
[安全原则 4：遵守安全协议及设置安全参数]
10. 应用确保安全的安全协议及提供安全服务时设置安全参数
包含了在IoT设备运行的平台（安卓等）的安全要求，使制造商等可以在IoT设备的运行和服务中也可以更改安全设置。
[安全原则 5：持续履行IoT产品和服务的漏洞的安全补丁及更新]
11. 建立后期应对机制，当发现IoT设备和服务的安全漏洞时，可以对其进行分析、发布安全补丁等
多样的IoT设备和服务互动以提供综合服务的环境在联动过程中很有可能存在新的安全漏洞，需要监控安全漏洞并建立后期应对机制。因此，介绍有关软件、硬件、软件和硬件的融合而出现的安全漏洞的应对及后期应对机制。
12. 对于IoT设备和服务的安全漏洞及保护措施，通过主页和社交网站等向用户公开
建议公开IoT设备和服务中发现的安全漏洞信息以及应对方法，并通过介绍类似案件以防止损失扩散。
[安全原则 6： 建立信息保护和隐私管理体系，实现安全的运营和管理]
13. 建立隐私策略，尽可能收集和利用最低限度的个人信息
包含可以控制个人识别信息的生成和分配的技术和行政保护措施，建议采取保护措施（技术，行政）来保护敏感信息（个人信息等），并介绍OWASP提示的隐私问题最小化方案。
[安全原则 7：建立物联网入侵事故应对体系及确保追查责任的方案]
14. 应对在各种类型的IoT设备、有/无线网络和平台等各层中可发生的安全入侵事故，执行入侵检测和监控
IoT服务可在多种类型的IoT设备、有/无线网络和平台等连环发生，因此建议做好应对入侵事故的入侵检测和监控。
15. 在发生入侵事故后，为了确保原因分析和追查责任，定期保存日志记录并管理
为了分析入侵事故原因及追查攻击者，建议安全管理日志记录。为此，介绍IPA提示的日志样品数据和生成日志时的考虑事项。
