ICS 33.040 YD CCS M21 中华人民共和国通信行业标准 YD/T 4684—2024 物联网信息安全管理系统技术要求 The technical requirements of IoT security management system 2024-03-29 发布 2024-07-01实施 中华人民共和国工业和信息化部 发布 YD/T 4684—2024 目 次 前言 III 范围 2规范性引用文件 3术语和定义， 4 缩略语. 5 概述 5.1系统架构. 5.2系统功能. 6 系统功能要求.. 6.1 基础数据管理功能要求. 6.2访问日志管理功能要求. 6.3 安全风险监测功能要求.. 6 6.4安全风险预警功能要求. 6.5安全态势管理功能要求. 7 系统性能要求 8 系统接口要求. 9系统管理要求. 附录A（规范性）基础数据.. 附录B（规范性）安全事件类型 YD/T 4684—2024 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位：中国信息通信研究院、北京东方通网信科技有限公司、恒安嘉新（北京）科技股 份公司、阿里云计算有限公司、阿里巴巴（中国）有限公司、中国移动通信集团有限公司。 本文件主要起草人：张昊星、魏薇、杨剑锋、柳青、王丽耀、杨振雄、金宇、杜伟、钱康、陈乔、 崔婷婷、庞韶敏、刘为华、郭岳、郑景鑫、刘虹、李莉、孙敏。 II YD/T 4684—2024 物联网信息安全管理系统技术要求 1范围 本文件规定了物联网信息安全管理系统的系统架构、系统功能要求、性能要求、系统接口要求及管 理要求。 本文件适用于物联网平台运营者对物联网信息安全管理系统的规划、设计和实施。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T33745 物联网术语 YD/T4685—2024 物联网信息安全管理系统接口规范 YD/T4686—2024 物联网卡日志留存技术要求 3术语和定义 GB/T33745界定的以及下列术语和定义适用于本文件。 3.1 物联网信息安全管理系统IoTsecuritymanagementsystem 物联网业务相关企业建设的具有基础资源管理、安全风险监测、安全态势管理、访问日志管理等功 能的安全管理系统，以满足相关企业对物联网信息安全的管理需求。 3.2 物联网信息安全监管系统 loT security supervision system 物联网行业主管部门建设的用于与物联网信息安全监管、系统协同联动的行业监管系统。 3.3 物联网平台IoTplatform 通常以云计算平台方式为物联网应用服务提供数据接入、数据处理、数据存储、设备管理、安全管 理、用户管理、应用管理等功能的平台。 1 YD/T4684—2024 对于基础电信企业运营的物联网平台，往往还包括为物联网卡提供网络接入服务、认证与管理 等功能。 3.4 物联网平台企业IoTplatformenterprise 运营物联网平台的经营主体， 3.5 物联网应用服务IoTapplicationservice 按照物联网服务提供商配置或用户定制规则，通过自动采集、传输和处理数据，向用户提供物联网 服务的集合，包括智慧医疗、智慧交通、智慧安防、智慧旅游、智慧政府、智慧社区、智慧家庭等 3.6 物联网应用服务提供商 IoTapplicationserviceprovider 是指向物联网终端用户提供物联网应用服务的经营实体。 3.7 物联网终端/设备IoTterminal/device 物联网系统中能对物进行信息采集和/或执行操作，并能联网进行通信的装置。 3.8 访问日志 access log 物联网终端/设备日志、物联网卡联网日志。 3.9 终端/设备日志terminal/devicenetworkinglog 物联网终端/设备访问物联网应用服务所产生日志及终端/设备自身产生的日志。 3.10 物联网卡联网日志mobileIoTcardnetworkinglog 物联网卡接入基础电信企业网络所产生的日志， 3.11 物联网卡IoTcard 面向物联网用户提供的移动通信接入业务。采用三网专用（11位或13位）号段，通过专用网元设 备支持短信、无线数据和语音等基础通信服务，提供通信链接管理和终端管理等智能通道服务 2 YD/T 4684—2024 4 缩略语 下列术语和定义适用于本文件。 APN 接入点名称 Access Point Name CoAP 受限的应用协议 Constrained Application Protocol DDoS 分布式拒绝服务攻击 Distributed Denial of Service DTLS 数据包传输层安全性协议 DatagramTransportLayerSecurity HTTP 超文本传输协议 HyperText Transfer Protocol ID 身份标识码 Identification IMEI 国际移动设备标识 International Mobile Equipment Identity IMSI 国际移动用户识别码 International Mobile Subscriber Identity IoT 物联网 Internet of Things IP 网络之间互连的协议 Internet Protocol MQTT 消息队列遥测传输 MessageQueuingTelemetryTransport MSISDN 移动台国际ISDN号码 MobileStationInternationalISDNNumber TLS 传输层安全性协议 Transport Layer Security 5概述 5.1 系统架构 物联网信息安全管理系统应具备物联网基础资源管理能力、安全风险监测能力、安全态势管理能力、 安全风险预警能力、访问日志管理能力，并支持与行业监管系统对接联动。物联网信息安全管理系统功 能架构如图1所示。 基础资源管理 访间日志管理 安全态势管理 应用服务提 物联网终端/设备 行业安全态势 平台安全 平台信息管理 供商信息管理 访间日志(留存、查询) 分析 态势分析 应用服务 设备/终端 移动物联网卡 终端安全 物联网信息安全监管系统 脆弱性安全 信息管理 信息管理 访问日志(留存、查询） 态势分析 态势分析 安全风险监测 安全风险预警 终端安全监测 平台安全监测 应用安全监测 病毒爆发预警 网络攻击预警 数据安全监测 移动物联网卡 终端/设备预警 移动物联网卡行为预警 安全监测 物联网信息安全管理系统 图1 物联网信息安全管理系统功能架构 3 YD/T4684—2024 5.2系统功能 系统功能主要包括基础资源管理功能、访问日志管理功能、安全风险监测功能、安全风险预警功能 及安全态势管理功能，具体包括以下内容。 a）基础数据管理功能。 物联网信息安全管理系统应对物联网平台企业主体信息、物联网应用服务提供商信息、物联网应用 服务提供者个人信息、物联网应用服务信息、物联网终端/设备信息、物联网卡信息等基础数据（见附 录A）进行管理。原则上，基础数据来源于物联网平台。 对物联网平台企业，其建设的物联网信息安全管理系统管理的基础数据主要包括物联网平台企业主 体信息、物联网应用服务提供商信息、物联网应用服务提供者个人信息、物联网应用服务信息、物联网 终端/设备信息等。 对于提供物联网卡连接管理功能的物联网平台，其物联网信息安全管理系统除具备对上述基础数据 进行管理的功能外，还应具备对物联网卡基础数据的管理功能。 b）访问日志管理功能。 物联网信息安全管理系统支持对物联网终端/设备日志、物联网卡联网日志进行留存、查询。其中： 物联网终端/设备日志留存内容主要包括平台名称、应用服务提供商（者）名称、产品/服务名称、 终端ID、IP地址、域名、端口号、通信协议、网络制式（3G/4G/5G）、网络运营服务商、设备类型、 时间戳、省份、城市、地理位置等。 物联网卡联网日志留存内容主要包括IMEI号码、MSISDN号码、IMSI号码、网络类型、APN、 源IP地址、目的IP地址、源端口、目的端口、经纬度、域名、时间、省份、城市等。 c）安全风险监测功能。 物联网信息安全管理系统通过网络流量分析、安全设备日志分析、系统设备日志分析，采集、生成、 分析、存储监测到的安全事件，如终端安全、平台安全、数据安全、应用安全、漏洞、物联网卡安全等 类型的安全事件；根据安全事件的类型、发生次数及出现安全事件的终端/设备在同类设备的占比，确 定安全风险的级别，并将安全事件实时向物联网信息安全监管系统上报，为物联网信息安全监管系统安 全风险预警、安全态势分析提供数据支撑。 d）安全风险预警功能。 物联网信息安全管理系统接收物联网监管系统下发的安全风险预警通知，系统可根据安全预警事件 的紧急程度、发展态势和可能造成的危害程度采取相应的处置措施。 安全预警事件，包括漏洞预警、病毒暴发预警、网络攻击预警、设备或物联网卡异常预警等 e）安全态势管理功能。 物联网信息安全管理系统应支持从行业、平台、终端等维度的安全态势管理功能，并实时呈现资产 分布、漏洞分布、行业分布、设备类型分布以及安全事