随着物联网(IoT)的发展，从手机和汽车到冰箱和灯开关，几乎所有的电子设备都可以连接到互联网。尽管物联网看起来很有创意而且很方便，但这种趋势也带来了安全风险，具有操作系统的联网设备有IP地址或者URL，并且它以任何方式接触业务网络或处理敏感信息的话，那么它就可能成为攻击目标。这些设备可能会成为攻击者入侵企业的后门。
从技术架构上来看，物联网可分为三层：感知层、网络传输层和处理应用层，它将感知设备通过互联网等网络连接起来构成的一个应用系统，融合信息系统和物理世界实体，是虚拟世界与现实世界的结合。
如下图所示：
面临的风险
不同架构下的物联网产品，面临的安全风险多种多样，主要有以下：
-
拒绝工作：感知设备被攻破后，攻击者可以采用破坏或修改配置的方式让感知设备不能正常工作。
-
拒绝服务：破坏网络的可用性，减少、降低执行某一期望功能能力的任何事件。包括中断、颠覆或毁坏感知层网络，还包括在网络中恶意干扰网络中协议的传送或者物理损害感知设备，消耗感知设备能量。
安全等级要求
等保规范将物联网系统分为第一级、第二级、第三级和第四级物联网系统。
安全要求分为：技术要求和管理要求，具体细分如下所示，每一个颜色代表一个安全级别要求（依据红色的程度），比如第四级则必须满足如下所示全部要求。
安全等级保护设计
明确风险和对应的安全等级要求后，就可以进行安全设计了！为便 于等级测试的定量定性测试，我们抽象出一般模块进行安全等级保护设计。
如下图便是抽象出来的设计框架：在安全管理中心支持下的安全计算环境、安全区域边界、安全通信网络三重防御体系。各级系统安全保护环境由安全计算环境、安全区域边界、安全通信网络和（或）安全管理中心组成。
物联网安全保护须采用模型化设计，不同级别的物联网系统都要满足此模型。具体细分如下所示，每一个颜色代表一个安全级别设计要求（依据红色的程度），比如第四级则必须满足如下所示全部要求。
等级测评要求
在将安全要求落地到测评实践中时，明确了上述事项后进行物联网系统等级测评就是水到渠成的事了。测评对象以感知节点设备、网关节点设备（包括读卡器）、传感网入网访问控制设备等为主。对“抗数据重放”测评，测试内容是针对感知节点设备历史数据防重放，而非传统应用系统在应用层的数据防重放。对物联网系统等级的测评要求，包括对第一级物联网系统、第二级物联网系统、第三级物联网系统和第四级物联网系统进行安全测试评估的要求。