千億產值，誰為物聯網設備安全買單？

近年來，物聯網產業發展勢頭迅猛。工信部副部長羅文在9月召開的2017世界物聯網無錫峰會上透露，中國的物聯網產業規模已從2009年的1700億元躍升至2016年的超過9300億元，

年複合增長率超過25%。有預測稱，到2018年，全球物聯網市場規模將超過千億美元，年均複合增長率保持在31%以上。

與此同時，物聯網設備的數量也在成倍增長。市場研究機構Gartner預測， 2017年全球物聯網設備數量將達到84億台， 2020年這一數字將增至208億台，複合增速高達34%。

隨之而來的，是越來越棘手的安全問題。 2015年12月23日，烏克蘭電力系統遭到攻擊，造成伊萬諾-弗蘭科夫斯克地區大面積停電，約140萬人受到影響。 2016年10月21日，駭客利用全球十多萬台智慧設備，對美國進行了史上最大規模的DDoS》，呼籲物聯網生態體系在設計、生產及使用物聯網設備與系統時，皆應負起保障物聯網安全的責任。

今年5月，美國總統特朗普簽署13800號總統行政令——《加強聯邦網路和關鍵基礎設施的網路安全》，

其中內容之一就是要增強美國應對僵屍網路及其他自動化和分散式威脅的能力。

6月13日，美國商務部下屬的國家電信和資訊管理局發佈徵求評議檔《促進利益相關者對僵屍網路和其他自動威脅的行動》，要求各私營企業、研究機構、社會團體圍繞減少僵屍網路威脅和維護物聯網終端設備安全問題，提出法律、政策、標準、技術等方面的建議。

8月1日，美國4名國會議員聯名提交了一項關於物聯網安全的法案《2017物聯網網路安全改進法》，希望通過設定聯邦政府採購物聯網設備安全標準，來改善美政府所面臨的物聯網安全問題。儘管該法案只著眼於聯邦政府的設備採購方面，

且有待審定通過，但美國軟體公司Sonatype依然認為，其將有助於推動整個物聯網安全標準的發展。

對於中國的這種缺失，一位業內受訪專家認為主要有兩點原因。一方面，與美國相比，我國的物聯網應用落地較晚，目前還處於起步和發展階段，且尚未出現過大規模的被攻擊事件，社會和國家對物聯網安全的重視程度還不夠。另一方面，我國的物聯網產業監管部門較多，工信部、網信辦等都有業務交叉，眾口難調，很難在短時間內形成一個統一的合規性要求。

“政府的合規性要求是不能缺位的。 ”在徐震看來，驅動物聯網設備安全發展有兩大動力，一個是用戶安全訴求，另一個就是政府的合規性要求。前者是自下而上的市場約束，

後者則是自上而下的強制立法，二者缺一不可。 “政府提出要求了，市場的基本面才能形成，設備廠商、服務提供者與安全企業才會有動力去推進。 ”

安全企業與廠商“話題”少

作為安全重要的輸出方，安全企業在物聯網時代的盈利模式還尚不清晰，

尋找與廠商的交集點，是它們突破瓶頸的關鍵。 “就像兩個人相親，一個是搞IT的，一個是做會計的，兩個人沒有共同語言，突然有一天要求會計用電腦錄入資料，這時搞IT的不僅可以給予指導，甚至還能解決電腦中病毒的問題，話題一下子就有了。 ”王曉鵬告訴記者，安全企業和廠商缺少的就是這種“話題”。

“我們也跟一些廠商討論過，他們在工作中會出現一些通過傳統工控專業技術手段很難找出問題的情況，這時候他們就會有意識地聯繫安全企業，來一起進行研究和探討，這對於業務的完整度和平穩度有很大的幫助。”但王曉鵬表示，目前這種合作還是比較少的。在他看來，物聯網設備安全問題不是某個單一參與方能夠解決的，其需要的是一個生態鏈。“設備安全事件發生後，使用者安全需求增加，設備廠商和服務提供者開始尋求解決方案，此時的安全企業要轉變思路，改變之前‘賣盒子’的單一運營模式，向應用安全方向轉變。”他認為，未來，安全企業與設備廠商的關聯度會越來越高，尤其是在車聯網等對安全要求較高的領域，安全企業的參與會愈發深入。

同時，安全的縱深發展也對安全從業人員提出了新的要求。“安全是一個交叉性特別強的行業，其雖然在方案上有統一的標準，但在實際應用中也會根據應用場景、使用者需求點和痛點的不同而發生變化。對於安全人員來說，做某一個行業、領域的安全，就必須要瞭解這個行業的知識和背景，這樣才能更專業更系統地解決好該行業的安全問題。”王曉鵬說。