2026年开年，物联网安全领域“事件连发+法案落地”双向夹击：儿童手表被曝“万能钥匙”漏洞、机器人成蠕虫式攻击载体、路由器漏洞致设备失控……而数据法案92-98点的针对性条款，恰恰为这些乱象划定了合规红线。这不是巧合，而是全球对物联网安全“从被动修补到主动规制”的必然转变。
一、近期安全事件：法案条款的“现实镜像”
刚过去的一个月，多起高关注度物联网安全事件，精准暴露了法案要破解的核心问题：
1. 硬编码密钥漏洞：触碰法案92条“设计安全”红线
挪威Xplora儿童手表被曝所有同型号设备共用通用加密密钥，黑客获取后可无差别监听通话、篡改定位、窃取隐私。更令人担忧的是，厂商在漏洞通报后仅简单修改PIN码，未修复核心隐患。这正是法案92条禁止的“通用默认密钥”行为——忽视设计阶段安全，将用户安全置于险境。
2. 蠕虫式漏洞扩散：违背94条“漏洞响应”要求
宇树多款人形机器人存在蓝牙安全漏洞，攻击者仅凭公开密钥即可获取root权限，且受感染设备会自动扫描感染周边设备，形成僵尸网络攻击。研究者早在5月通报漏洞，但厂商未及时有效修复，直至漏洞利用工具公开才仓促回应，完全违背了法案94条“48小时响应、72小时处置”的硬性要求。
3. 淘汰设备无防护：违反93条“全周期安全”义务
D-Link多款已停售路由器被曝严重远程代码执行漏洞（CVE-2026-0625），CVSS评分高达9.3分，攻击者可直接控制DNS设置劫持流量。由于这些设备已终止生命周期不再提供更新，用户陷入“无法修补”的绝境。法案93条明确要求，设备安全支持期限需覆盖产品停售后至少3年，这类“一停售就弃保”的行为已构成合规缺失。
二、法案核心要求：直击物联网安全要害
数据法案第92-98点围绕物联网设备全生命周期安全构建规则体系，核心聚焦七大关键要求，覆盖从设计到淘汰的全链条：
1.设备安全设计义务：禁止硬编码通用密钥、默认弱密码等低级漏洞，要求出厂即开启强身份认证与最小权限配置。
2.数据安全保障：设备产生的产品数据、服务数据需在传输和存储环节全程加密，明确原始数据与预处理数据的保护边界。
3.漏洞响应机制：制造商需建立7×24小时漏洞接收渠道，紧急漏洞48小时内启动响应，72小时内给出处置方案。
4.第三方责任界定：明确设备供应商、网络运营方、安全服务商的连带责任，第三方服务需独立合规且承担保密义务。
5.用户数据权利：用户有权访问、使用自身设备产生的所有非衍生数据，并可自由向第三方共享，打破厂商数据垄断。
6.违规处罚标准：对未履行安全义务的主体，可处产品销售额4%或千万级罚款，情节严重者限制市场准入。
7.跨境合规要求：出口物联网设备需符合目标地区安全标准，数据跨境流动需满足加密传输与合规评估要求。
三、企业与用户的双重行动指南
综上，新《网络安全法》与《个人信息出境认证办法》的同步施行，构建了“上位法统领+专项规制”的网络安全与数据跨境治理体系，核心要义在于实现安全与发展的统筹兼顾。一方面，通过明确合规路径，为企业跨境业务开展提供稳定的制度预期；另一方面，通过严格监管与严厉处罚，筑牢网络安全与数据保护底线。对于企业而言，合规并非额外负担，而是规避法律风险、保障业务持续发展的必要前提，更是提升企业核心竞争力的重要支撑。
对企业：合规不是选择题，而是生存题
1.产品设计阶段嵌入安全基因，摒弃硬编码密钥、默认密码等高危操作，采用硬件级加密与唯一设备标识。
2.建立常态化漏洞管理体系，对接全球漏洞数据库，确保响应时限符合法案要求，避免“拖延式修复”。
3.明确供应链各环节责任，第三方服务商需提供合规证明，构建可追溯的安全责任链。
4.针对跨境业务提前布局，对标欧盟CRA、澳大利亚智能设备安全标准等国际规则，避免市场准入受阻。
对用户：安全意识是最后一道防线
1.购买设备时查看合规标识，优先选择明确标注安全更新周期的产品，拒绝“三无”物联网设备。
2.首次使用立即修改默认密码，关闭非必要端口，定期检查固件更新并及时安装。
3.避免在物联网设备中存储敏感信息，对儿童手表、家庭摄像头等隐私敏感设备加强权限管理。
4.发现安全漏洞及时向厂商或监管机构举报，行使自身数据访问与安全保障权利。
未来，不满足这些要求的设备将逐步被市场淘汰，而主动合规的企业不仅能规避处罚风险，更能赢得用户信任。物联网安全的攻防战，早已从技术层面延伸到合规层面，现在正是布局的关键期。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前