物联网设备安全管理规程.docxVIP

物联网设备安全管理规程

一、总则

本规程旨在建立覆盖物联网设备全生命周期的安全管控基线，解决终端算力受限、固件更新滞后导致的内网穿透、数据窃取及僵尸网络感染等系统性风险，适用于公司内所有具备网络连接能力的传感器、智能网关、监控终端及工业控制边缘节点。

1.1适用范围

本规程适用于公司各业务系统涉及的物联网设备规划、采购、部署、运维及报废全过程。包含但不限于：智能安防摄像头、温湿度传感器、智能门禁、智能水电表、车间边缘计算网关及自带联网功能的PLC组件。

1.2职责划分

?信息安全部：负责制定设备安全基线，实施入网前安全检测，每月对在线设备进行一次漏洞扫描与配置审计，拥有违规设备的断网处置权。

?IT运维部：负责设备网络准入配置、IP地址分配、固件统一升级及设备资产台账的动态维护。

?业务使用部门：负责设备的物理安全保管，在设备出现异常指示（如指示灯异常闪烁、设备发烫）时，于15分钟内通过工单系统上报IT运维部。

二、设备选型与采购安全

物联网设备的安全基线在采购选型阶段即已决定，后期修补成本是选型阶段筛选成本的10倍以上，必须在采购需求中前置安全硬性指标。

2.1安全基线要求

采购需求文档中必须包含以下安全条款，作为供应商投标的否决性指标：

?身份认证：设备必须支持基于设备的唯一数字证书（X.509）或预共享密钥（PSK）进行双向认证；严禁采购仅支持MAC地址白名单作