随着全球消费级物联网（IoT）设备渗透率持续提升，网络安全与数据隐私风险已成为各国数字治理的核心议题。作为东南亚数字经济枢纽，新加坡于 2020 年推出网络安全标签计划（Cybersecurity Labelling Scheme，CLS），成为亚太地区首个针对消费级 IoT 设备的政府背书分级安全认证体系。历经 6 年迭代，CLS 已从自愿性市场引导工具，逐步形成 “自愿分级 + 重点品类强制准入” 的监管框架，成为 IoT 设备进入新加坡及亚太市场的核心合规门槛，同时通过国际互认机制，成为企业全球化布局的重要合规抓手。
CLS计划的适用边界
CLS 计划的适用范围以消费级联网 IoT 设备为核心边界，产品分类严格遵循三大核心依据，同时锚定 ETSI EN 303 645 国际标准的适用范畴： 第一，核心属性界定：需同时满足 “消费场景应用” 与 “联网交互能力” 两大核心要件。即面向个人 / 家庭终端用户，具备 Wi-Fi、蓝牙、Zigbee 等有线 / 无线联网功能，可接入互联网实现远程交互的设备，均纳入 CLS 覆盖范围。 第二，风险导向的优先级划分：以设备安全漏洞的影响范围与危害程度为核心分类逻辑，优先纳入网络入口级、隐私敏感型、安全高风险品类。计划初始阶段（2020 年）仅覆盖家用 Wi-Fi 路由器、智能家居中枢两类核心网络入口设备；2021 年 1 月起扩展至全品类消费级 IoT 设备，包括智能摄像头、智能门锁、智能家电、儿童联网玩具、可穿戴设备、智能打印机等。 第三，明确的排除边界：工业物联网（IIoT）设备、专业医疗设备、企业级专用设备、未联网的传统终端、纯本地蓝牙无互联网接入能力的设备，均不纳入 CLS 计划适用范围。此外，CLS 监管对象为硬件设备本体，配套移动应用与云服务不单独纳入认证范畴，但需满足设备与端侧、云端通信的安全合规要求。
CLS 分级认证体系与核心合规标准
CLS 计划采用累加式递进分级框架，共设置 4 个基础星级等级与 1 个增强等级（Level 4+），每一级别需完全满足前序等级的全部合规要求，安全防护能力逐级提升，评估方式从厂商自我声明逐步过渡至第三方权威机构测试认证。其技术基准全面锚定 ETSI EN 303 645《消费级物联网网络安全基线要求》国际标准，确保合规要求与全球主流监管框架对齐。
2.1 Level 1（★）：基础安全基线
Level 1 为 CLS 体系的最低准入门槛，核心目标是封堵消费级 IoT 设备最常见、最易被利用的通用安全漏洞，也是当前新加坡家用路由器的强制合规底线。 核心合规要求包括：
身份认证管控：禁止使用通用出厂默认密码，每台设备需配置唯一、随机、不可逆向推导的初始凭证，且强制用户首次开机时修改密码，无跳过选项；
漏洞管理机制：设立公开、可访问的漏洞披露渠道，明确安全补丁支持周期不低于 3 年，建立高危漏洞响应与修复流程；
安全更新管控：提供加密、可校验的 OTA 安全更新机制，禁止设备降级至存在已知高危漏洞的固件版本；
基础安全防护：禁用 Telnet、HTTP、FTP 等不安全通信协议，设备通信与敏感数据存储采用基础加密算法，默认关闭非必要的端口与服务。 评估方式：2025 年 4 月 1 日起，Level 1 认证申请需先经 CSA 认可的测试实验室完成合规审核，再提交至 CLS 系统受理，不再接受纯厂商自我声明。
2.2 Level 2（★★）：安全开发生命周期合规
Level 2 在 Level 1 基础上，核心要求制造商将安全管控前置至产品研发全流程，落实 “安全 - by-Design” 理念，也是 2027 年底新加坡家用路由器需满足的强制合规标准。 核心合规要求包括：
全生命周期安全管控：建立完整的安全开发生命周期（SDL）体系，覆盖产品需求阶段的威胁建模与风险评估、设计阶段的安全架构评审、研发阶段的安全编码规范、发布阶段的安全测试验证；
强化安全防护：建立敏感数据安全存储机制，设备通信采用强加密算法与完整的证书校验机制，敏感功能操作需配置强身份认证与权限管控；
安全文档交付：向终端用户提供完整的产品安全配置指南，明确设备安全使用规范与风险防控要点。 评估方式：同 Level 1，需经 CSA 认可的测试实验室完成文档与合规性审核，认证有效期 3 年。
2.3 Level 3（★★★）：第三方二进制漏洞分析验证
Level 3 在 Level 2 基础上，引入第三方独立测试验证，核心目标是确保设备不存在已知的高危安全漏洞，也是新加坡与芬兰、德国等国家实现国际互认的核心门槛。 核心合规要求包括：
满足 Level 1 与 Level 2 的全部合规要求；
由 CSA 认可的第三方实验室完成固件二进制静态扫描与动态分析，全面检测设备是否存在 CVE 已知漏洞、硬编码凭证、后门程序、恶意代码等安全风险；
测试结果需证明设备不存在 Critical/High 级别的可利用高危漏洞，方可通过认证。 评估方式：强制第三方独立实验室测试，提交完整的测试报告、漏洞清单与修复验证证明至 CSA 审核。
2.4 Level 4（★★★★）：深度渗透测试与抗攻击验证
Level 4 为 CLS 体系的最高基础等级，核心目标是验证设备对真实网络攻击的防御能力，模拟黑产与黑客的完整攻击链，对设备进行全维度安全验证。 核心合规要求包括：
满足 Level 1 至 Level 3 的全部合规要求；
由 CSA 认可的第三方实验室完成黑盒 + 白盒结合的深度渗透测试，覆盖设备固件提取与破解、通信劫持、越权访问、DDoS 攻击、端侧与云侧联动攻击等全场景；
测试结果需证明设备无可利用的高危安全漏洞，同时具备完整的安全审计日志、异常行为检测与安全事件响应能力。 评估方式：强制第三方独立实验室全维度渗透测试，提交完整的渗透测试报告与风险处置方案。
2.5 Level 4+（★★★★+）：国际认证增强等级
Level 4 + 为 CLS 体系的增强等级，是产品安全能力的全球顶级背书。申请要求为产品已取得 Level 4 认证，且在 3 年内取得 CSA 认可的国际权威安全认证，包括 ISO/IEC 15408（Common Criteria）CC EAL 2 + 及以上等级认证、ISO 27001 信息安全管理体系认证等。
更多文章：
实力认证！领世达实验室顺利通过 EN 18031-1 能力验证，软件安全测试技术获国家级认可！
高效开案！PSTI测试开案全流程指南
高效开案！EN 18031测试开案全流程指南
【JC-STAR】STAR-1及STAR-2合规标签申请流程概述
公司简介
深圳市领世达检测技术有限公司专注第三方检测认证与技术咨询，主营各国的产品网络安全、国际市场准入及产品可靠性测试服务。核心覆盖 EN 18031、PSTI、CRA、CE、FCC、UKCA 、JC-Star、CSA 2024、SB-327、NIST 8259A等认证，提供网络安全测试、无线产品RF测试、以及环境可靠性检测等一站式解决方案。公司依托集团技术实力，遵循 ISO/IEC 17025 体系，为消费电子、物联网、通讯电子等企业提供专业高效的合规入市服务，助力客户突破全球贸易技术壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前