物联网的概念及主要特点

物联网的概念是在1999年提出的。物联网就是“物物相连的互联网”其英文名Internet of Things。这有两层意思：第一，物联网的核心和基础仍然是互联网，是在互联网基础上的延伸和扩展的网络；第二，其用户端延伸和扩展到了任何物品与物品之间，进行信息交换和通讯。因此，物联网的定义是通过射频识别（RFID）、红外感应器、全球定位系统、激光扫描器等信息传感设备，按约定的协议，把任何物品与互联网相连接，进行信息交换和通信，以实现对物品的智能化识别、定位、跟踪、监控和管理的一种网络。物联网被称为继计算机、互联网之后世界信息产业发展的第三次浪潮，它是互联网的应用拓展，与其说物联网是网络，不如说物联网是互联网基础上的业务和应用。

物联网的体系结构可以分为感知层，网络层和应用层三个层次。

感知层。是物联网发展和应用的基础，包括传感器或读卡器等数据采集设备、数据接入到网关之前的传感器网络。感知层以RFID、传感与控制、短距离无线通信等为主要技术，其任务是识别物体和采集系统中的相关信息，从而实现对“物”的认识与感知。

网络层。是建立在现有通信网络和互联网基础之上的融合网络，网络层通过各种接入设备与移动通信网和互联网相连，其主要任务是通过现有的互联网、广电网络、通信网络等实现信息的传输、初步处理、分类、聚合等，用于沟通感知层和应用层。目前国内通信设备和运营商实力较强，是我国互联网技术领域最成熟的部分。

应用层。是将物联网技术与专业技术相互融合，利用分析处理的感知数据为用户提供丰富的特定服务。应用层是物联网发展的目的。物联网的应用可分为控制型、查询型、管理型和扫描型等，可通过现有的手机、电脑等终端实现广泛的智能化应用解决方案。

资料拓展：

物联网的整个结构可分为射频识别系统和信息网络系统两部分。射频识别系统主要由标签和读写器组成，两者通过RFID空中接口通信。读写器获取产品标识后，通过internet或其他通讯方式将产品标识上传至信息网络系统的中间件，然后通过ONS解析获取产品的对象名称，继而通过EPC信息服务的各种接口获得产品信息的各种相关服务。整个信息系统的运行都会借助internet的网络系统，利用在internet基础上的发展出的通信协议和描述语言。

因此我们可以说物联网是架构在internet基础上的关于各种物理产品信息服务的总和。从应用角度来看，物联网中三个层次值得关注，也即是说，物联网由三部分组成：一是传感网络，即以二维码、RFID、传感器为主，实现对“物”的识别。二是传输网络，即通过现有的互联网、广电网络、通信网络等实现数据的传输与计算。三是应用网络，即输入输出控制终端。

参考资料：

百度百科互联网

物联网（Internet of Things，IoT）是指通过各种物联设备（包括传感器、智能设备、嵌入式设备等）与互联网进行连接和通信，形成互联互通的网络，实现设备之间的信息交换、数据共享和智能化控制，以实现更高效、更智能、更便捷的生产、生活、管理等应用。

物联网的基本概念包括以下几个方面：

物联设备：指通过各种传感器、智能设备、嵌入式设备等实现连接和通信的物品。这些设备可以获取、处理和传输各种数据，实现物与物、人与物的交互。

互联网：指用于连接各种物联设备的底层网络基础设施，包括传输介质、网络协议、路由器、交换机等。

云计算：指利用云端的计算和存储资源，为物联网提供数据分析、处理、存储和应用服务的技术。

数据分析：指对从物联设备中收集到的大量数据进行处理、分析和挖掘，从中获取有用信息，为决策提供支持。

应用服务：指基于物联网提供的各种数据和功能，实现各种智能化应用服务，包括智能交通、智能家居、智能制造、智能医疗等。

安全和隐私保护：指对物联网中的数据和信息进行安全和隐私保护，防止黑客攻击和数据泄露等安全问题。

2019年12月1日网络安全等级保护20国家标准的正式实施，标志着我国网络安全等级保护制度进入了全新时代。作为国家等级保护标准体系的核心标准之一的 GB/T   22240-2020《信息安全技术    网络安全等级保护定级指南》 （以下简称“定级指南”）于2020年4月28日发布，2020年11月1日正式实施。

定级指南规定了非涉及国家秘密的等级保护对象的定级方法和流程，通过指导网络运营者合理划分定级对象和准确的 确定安全保护等级 ，为后续的安全建设整改、等级测评等工作奠定了良好的基础。

新版定级指南在等级保护10定级指南的基础上，对等级保护对象做了新的定义，增加了对云大物移工等场景的说明，修改了定级流程，以适应新形势下等级保护工作的需要，有力推动了等级保护工作的开展。那么20的定级指南正式实施后，我们需要注意哪些点呢？

等级保护对象新定义

等保保护定级对象主要包括： 信息系统 、 通信网络设施 和 数据资源等 。

信息系统 就是我们在10时候的定级对象，指的是各类信息系统；

通信网络设施 指的是为信息流通、网络运行等起基础支撑作用的网络设备设施，主要包括电信网、广播电视传输网和行业或单位的专用通信网等，所以大家得注意了自己单位的专网得定级，特别是承载了重要信息系统或者专网规模较大的网络；

数据资源 指的是具有或预期具有价值的数据集合，数据资源主要是拥有大量各类有价值的数据，那么这些单位需要保护好这些数据资源，自然需要对该数据资源进行定级，我们可以想象的这类数据有：人社数据、医保数据、公积金数据、个人财产数据（银行、房产、保险等）等信息。

定级要素与安全保护等级新关系

依据安全保护等级的定义，定级应综合考虑“等级保护对象在国家安全、经济建设、社会生活中的重要程度，以及一旦遭受到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度等因素”。因此本标准中明确等级保护对象的定级要素为两个，分别为“ 受侵害的客体 ”和“ 对客体的侵害程度 ”。

定级要素与安全保护等级的关系如下。

受侵害的客体表现形式有哪些

定级对象受到破坏时所侵害的客体包括国家安全、社会秩序、公众利益以及公民、法人和其他组织

侵害国家安全的事项包括以下方面 :

1影响国家政权稳固和领土主权、海洋权益完整;

2影响国家统一、民族团结和社会稳定;

3影响国家社会主义市场经济秩序和文化实力;

4其他影响国家安全的事项。

侵害社会秩序的事项包括以下方面 :

1影响国家机关、企事业单位、社会团体的生产秩序、经营秩序、教学科研秩序、医疗卫生秩序;影响公共场所的活动秩序公共交通秩序;

2影响人民群众的生活秩序;

3其他影响社会秩序的事项。

侵害公共利益的事项包括以下方面 :

1影响社会成员使用公共设施; 

2影响社会成员获取公开数据资源;

3影响社会成员接受公共服务等方面;

4其他影响公共利益的事项。

业务信息安全和系统服务安全受到破坏后,可能产生以下侵害后果 :

1影响行使工作职能;

2导致业务能力下降;

3引起法律纠纷;

4导致财产损失;

5造成社会不良影响;

6对其他组织和个人造成损失;

7其他影响。

侵害公民法人和其他组织的合法权益是指受法律保护的公民法人和其他组织所享有的社会权利和利益等受到损害。

确定受侵害的客体时首先判断是否侵害国家安全,然后判断是否侵害社会秩序或公众利益最后判断是否侵害公民,法人和其他组织的合法权益。

等级保护对象新特征

作为等级保护对象的网络应具有如下基本特征：

具有确定的主要安全责任主体 ；

承载相对独立的业务应用 ；

包含相互关联的多个资源 。

在确定定级对象时，云计算平台/系统、物联网、工业控制系统、采用移动互联技术的系统在满足以上基本特征的基础上，需要满足以下要求。

定级新流程

对于新建网络、运营者应当依照等级保护相关法律法规要求和本标准，在规划设计阶段确定其安全保护等级；对于跨省或者全国统一联网运行的网络可以由行业主管（监管）部门统一组织定级工作。安全保护等级初步确定为第二级及以上的等级保护对象，其运营者应当依据标准要求分别进行专家评审、主管部门核准和公安机关备案审核，最终确定其安全保护等级。

专家评审 ：定级对象的运营、使用单位应组织信息安全专家和业务专家等，对初步定级结果的合理性进行评审，并出具专家评审意见 。

主管部门审批 ：定级对象的运营、使用单位应将初步定级结果报请行业主管（监管）部门核准，并出具核准意见。

公安机关审核 ：定级对象的运营、使用单位应按照相关管理规定，将初步定级结果提交公安机关进行备案审查，审查不通过，其运营使用单位应组织重新定级；审查通过后最终确定定级对象的安全保护等级。

物联网就是通过信息传感设备，按照约定的协议，把任何物品与互联网连接起来，进行信息交换和通信，以实现智能化识别、定位、跟踪、监控和管理的一种网络。
通俗地讲，物联网就是“物物相连的互联网”，它包含两层含义：
第一，物联网是互联网的延伸和扩展，其核心和基础仍然是互联网；
第二，物联网的用户端不仅包括人，还包括物品，物联网实现了人与物品及物品之间信息的交换和通信。
物联网作为新一代信息技术的高度集成和综合运用，具有渗透性强、带动作用大、综合效益好的特点，是继计算机、互联网、移动通信网之后信息产业发展的又一推动者。

1、第一步：定级

定级依据是《信息系统安全等级保护定级指南》。定级流程为：确定定级对象→初步确定等级→专家评审→主管部门审核→公安机关备案审查→最终确定的等级。

根据等级保护相关管理文件，等级保护对象的安全保护等级一共分五个级别，从一到五级别逐渐升高。

第一级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；

第二级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；

第三级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；

第四级，等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；

第五级，等级保护对象受到破坏后，会对国家安全造成特别严重损害。

同时，等级保护对象的级别由两个定级要素决定：

①受侵害的客体，分三个方面，即：公民、法人和其他组织的合法权益；社会秩序、公共利益；国家安全。

②对客体的侵害程度，分三种程度，即：造成一般损害；造成严重损害；造成特别严重损害。

2、第二步：准备备案材料

备案所需材料主要是《信息安全等级保护备案表》，不同级别的信息系统需要的备案材料有所差异。第三级及以上的信息系统需要提供以下材料：（一）系统拓扑结构及说明；（二）系统安全组织机构和管理制度；（三）系统安全保护设施设计实施方案或者改建实施方案；（四）系统使用的信息安全产品清单及其认证、销售许可证明；（五）测评后符合系统安全保护等级的技术检测评估报告；（六）信息系统安全保护等级专家评审意见；（七）主管部门审核批准信息系统安全保护等级的意见。

3、第三步：提交备案材料

定级备案单位将《信息系统安全等级保护备案表》、《信息系统安全等级保护定级报告》及上述配套材料提交属地公安机关网安部门审核。对符合等级保护要求的，在收到备案材料之日起的10个工作日内颁发信息系统安全等级保护备案证明；发现不符合本办法及有关标准的，在收到备案材料之日起的10个工作日内通知备案单位予以纠正。

2018年6月27日，公安部正式发布《网络安全等级保护条例(征求意见稿)》(以下称“《等保条例》”)，标志着《网络安全法》(以下称“《网安法》”)第二十一条所确立的网络安全等级保护制度有了具体的实施依据与有力抓手。《等保条例》共八章七十三条，包括总则、支持与保障、网络的安全保护、涉密网络的安全保护、密码管理、监督管理、法律责任和附则。相较于2007年实施的《信息安全等级保护管理办法》(以下称“《管理办法》”)所确立的等级保护10体系，《等保条例》在国家支持、定级备案、密码管理等多个方面进行了更新与完善，适应了现阶段网络安全的新形势、新变化以及新技术、新应用发展的要求，标志着等级保护正式迈入20时代。
《等保条例》的具体规定
《管理办法》由公安部、国家保密局、国家密码管理局、国务院信息工作办公室共同发布，作为等保10体系的核心规定，其法律效力为部门规范性文件。另根据《管理办法》第一条规定，其制定依据为国务院行政法规《计算机信息系统安全保护条例》。
《等保条例》虽尚在征求意见稿阶段，根据《行政法规制定程序条例》第五条，行政法规的名称一般称“条例”，国务院各部门和地方人民政府制定的规章不得称“条例”，因此，《等保条例》应当属于行政法规范畴。此外，《等保条例》第一条规定了其制定依据为《网安法》与《保守国家秘密法》。
综上可知，《管理办法》为依据行政法规制定的部门规范性文件，而《等保条例》则属于依据国家法律制定的行政法规，显然，无论是自身法律效力亦或法律依据的效力位阶，等保20均优于等保10。
等级保护的适用范围
对于适用范围，《等保条例》概括性地规定为适用于网络运营者在我国境内建设、运营、维护、使用网络，开展网络安全等级保护以及监督管理工作，而个人及家庭自建自用的网络除外，内容较为简略。2018年1月19日，全国信息安全标准化技术委员会发布了《信息安全技术网络安全等级保护定级指南20(征求意见稿)》(以下称“《定级指南20》”)，为等保的具体适用提供了指引。
等保10体系中，《管理办法》在第十条明确提到信息系统运营、使用单位应当依据本办法和《信息系统安全等级保护定级指南》(以下称“《定级指南10》”)确定信息系统的安全保护等级。因此，《定级指南20》的出台很大程度上得益于《定级指南10》的已有规定。
相比《定级指南10》将等级保护的对象笼统地定义为信息安全等级保护工作直接作用的具体的信息和信息系统，《定级指南20》细化了网络安全等级保护制度定级对象的具体范围，主要包括基础信息网络、工业控制系统、云计算平台、物联网、使用移动互联技术的网络、其他网络以及大数据等多个系统平台。另外，作为定级对象的网络还应当满足三个基本特征：第一，具有确定的主要安全责任主体;第二，承载相对独立的业务应用;第三，包含相互关联的多个资源
根据《定级指南20》，定级对象在满足上述基本特征后仍需遵循相关要求。对于电信网、广播电视传输网、互联网等基础信息网络，应分别依据服务类型、服务地域和安全责任主体等因素将其划分为不同的定级对象，而跨省业务专网既可以作为一个整体定级，也可根据区域划分为若干对象定级。对于工业控制系统，应将现场采集/执行、现场控制和过程控制等要素应作为一个整体对象定级，而生产管理要素可以单独定级。对于云计算平台，则应区分为服务提供方与租户方，各自分别作为定级对象。对于物联网，虽然其包括感知、网络传输和处理应用等多种特征因素，但仍应将以上要素作为一个整体的定级对象，各要素并不单独定级。采用移动互联技术的网络与物联网类似，应将移动终端、移动应用、无线网络等要素与相关有线网络业务系统作为整体对象定级。对于大数据，除安全责任主体相同的平台和应用可以整体定级外，应单独定级。
网络等级
《等保条例》继受了《管理办法》所确立的五级安全保护等级体系，但进一步强化了对公民、法人和其他组织合法权益的保护。《管理办法》并未在主文中规定当遭受破坏后会对公民、法人和其他组织合法权益产生特别严重损害的信息系统应当如何定级，《定级指南10》仅在之后定级要素与安保等级关系的表格中显示上述信息系统应列为第二级，而《等保条例》则进行了相应修改，当等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害时，相应系统应当定为第三级保护对象。具体等级划分请参照以下表格：
网络安全保护义务
《管理办法》第五条规定信息系统的运营、使用单位应当依照该办法及其相关标准规范履行信息安全等级保护的义务和责任，但并未明确对应的义务。作为《网安法》配套法规的《等保条例》则沿袭了《网安法》已有的规定，就网络运营者的一般和特殊安全保护义务、网络产品和服务采购、应急预案制定等进行了详细的规定。
对于安全保护义务，除《网安法》第二十一条已经明确的内容外，一般网络运营者还应：一、建立安全管理和技术保护制度，建立人员管理、教育培训、系统安全建设、系统安全运维等制度;二、落实机房安全管理、设备和介质安全管理、网络安全管理等制度，制定 *** 作规范和工作流程;三、在收集使用和处理个人信息时采取保护措施防止其泄露、损毁、篡改、窃取、丢失和滥用;四、落实违法信息发现、阻断、消除等措施，落实防范违法信息大量传播、违法犯罪证据灭失等措施;五、落实违法信息发现、阻断、消除等措施，防范违法信息大量传播和违法犯罪证据的灭失。第三级以上的网络运营者除上述义务外，还应当着重落实网络安全管理负责人、关键岗位技术人员的安全背景审查和持证上岗制度，同时定期开展等级测评工作。
对于网络产品和服务采购，网络运营者应当采购、使用符合国家法律法规和有关标准规范要求的网络产品和服务，第三级以上网络运营者应当采用与其安全保护等级相适应的网络产品和服务，对重要部位使用的网络产品，还应当委托专业测评机构进行专项测试。2017年6月1日生效的《网络关键设备和网络安全专用产品目录(第一批)》与国家认监委等四部门于2018年3月15日发布的《承担网络关键设备和网络安全专用产品安全认证和安全检测任务机构名录(第一批)》对网络运营者使用的网络产品的要求进行了详细的规定，因此建议网络运营者在采购网络产品和服务要求供应商提供专业机构出具的安全认证或检测证书，以减少运营法律风险。
对于应急预案的制定，第三级以上网络的运营者应当按照国家有关规定，制定网络安全应急预案，定期开展网络安全应急演练。除及时记录并留存事件数据信息，向公安机关和行业主管部门报告外，网络运营者还应当为重大网络安全事件处置和恢复提供支持和协助。根据工信部《公共互联网网络安全突发事件应急预案》，报告网络安全事件信息时，还应当说明事件发生时间、初步判定的影响范围和危害、已采取的应急处置措施和有关建议等。
网络安全保护要求
近年来，随着人工智能、大数据、物联网、云计算等的快速发展，安全趋势和形势的急速变化，2008年发布的《GB/T22239-2008 信息安全技术 信息系统安全等级保护基本要求》(简称等保10)已经不再适用于当前安全要求。从2015年开始，等级保护的安全要求逐步开始制定20标准，包括5个部分：安全通用要求、云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求、工业控制安全扩展要求。2017年8月，公安部评估中心根据网信办和安标委的意见将等级保护在编的5个基本要求分册标准进行了合并形成《网络安全等级保护基本要求》一个标准。等保10标准更偏重于对于防护的要求，而等保20标准更适应当前网络安全形势的发展，结合《网安法》中对于持续监测、威胁情报、快速响应类的要求提出了具体的落地措施。

---