陈东-TCL智能终端产品数据安全与隐私保护实践.pdf

1、TCL智能终端产品数据安全与隐私保护实践TCL实业/软件工程中心陈 东目录背景2全球物联网设备的网络安全和数据保护立法趋严 物联网网络安全改进法案:H.R.1668 加州法案:CA SB 327 and AB 1906 俄勒冈州法案:HB2395 科罗拉多州法案:SB21-190 维吉尼亚州法案:CDPA 犹他州:UCPA 康涅狄格州:CTDPA NISTIR 8259系列标准 NISTIR 8425 CIOT label 个人信息保护:PIPEDA 通用数据保护法案:GDPR 欧盟RED指令网络安全新DA:EU 2022/30 家电类产品安全标准:IEC 60335-1 ED6 Annex

2、U 欧洲网络安全弹性法案:CRA 欧洲网络安全法案:EU Cybersecurity Act 消费类IoT产品安全技术标准:ETSI EN 303 645 消费类物联网设备安全行为准则:Code of Practice 产品网络安全:PSTI 数据保护:UK-GDPR 网络安全标签 网络安全要求法案:Act 77-2021 CPE设备网络安全要求：Act 2436/2023 数据保护：LGPD 数据保护:PDPL/Convention 108网络安全法数据安全法个人信息保护法网络产品安全漏洞管理规定消费类IOT产品网络安全要求:736/Q-BTTTT APPI Tel.Business Act

3、 Amendment 34.10 家用路由器网络安全要求:IMDA TS RG-SEC 蜂窝设备网络安全要求:IMDA TS CD-SEC 网络安全等级标签数据保护:Resolution No.151 of 2020数据保护:POPIA消费类物联网设备安全行为准则:Code of Practice数据保护:Privacy Act AmendmentPrivacy Act Amendments:GDPR-like 产品安全法规和标准强制性化趋势全球数据隐私保护立法越来越多数据隐私保护和政治风险混同消费者和合作客户越发关注隐私保护根据Akamai调查，有39%的消费者会不再使要求他们提供度个数据才

4、能与他们开展业务的公司过分收集数据消费者会拒绝使根据Tableau调查，有48%的消费者因隐私顾虑停使了各种产品消费者因顾虑隐私停使产品40%的被访者表“对数据隐私和信息保密性的投入”是企业最为重要的责任消费者认为企业应保护好其个数据 如Facebook、Amazon均向合作公司提出相关需求，例如要求填写隐私合规情况、进渗透测试等Google和iOS商店上架隐私要求提合作伙伴要求提供隐私合规证明例如Vodafone向合作公司要求提供GDPR合规证明沃尔玛要求物联家提供SB237认证Orange要求提供数据存储期策略客户要求提供隐私合规说明遵循全球认可的隐私最佳实践将成为国家和公司进入其他市场的

5、重要因素隐私成为进入市场的重要因素合理最小化公开透明权威认可随着智能硬件产业的兴起，大量智能家居设备进入了人们的生活。由于数量众多且安全防护措施薄弱，IoT设备已经成为不法黑客们热衷使用的“新武器”。有数据显示，路由器、摄像头和智能电视是被攻击频率最高的三款IoT设备。智能终端产品网络安全威胁严峻僵尸网络 隐私窃取挖矿主力国家攻击 2018年物联网产品攻击数量同比增长217.5%2019 年物联网产品攻击数量同比增长 6 倍 2020年数据泄露记录比过去15年的总和还多 2021年IoT设备恶意软件增长700%2022年全球网络攻击增加38%来源：腾讯IoT安全威胁分析报告&SonicWall

6、 统计&2019物联网安全年报&市场调研公司Canalys安全威胁态势攻击来源分析应用终端云服务数据存储用户管理设备管理数据传输运维监控 远程控制逆向破解风险漏洞利用风险通信劫持风险病毒和木马 1设备及系统自身脆弱性核心数据泄露风险 恶意软件感染和恶意控制风险指纹复制、篡改信号、逆向固件 2传输内容被窃取，设备信号重放身份认证安全，风险无线信号拦截明文传输密码，OTA固件更新拦截 34服务端传统风险 终端身份伪造和欺骗风险 API接口开放，应用逻辑多样性引入风险 SQL注入攻击，入侵管理后台 设备风险面分析5研发安全管理流程失控源代码是高科技研发企业的核心数据，面对工业数字化、IPD变革、AI