3 网络安全能力检测
3.1 消费类网联摄像头的网络安全标识对应的网络安全能力由低到高依次为基础级、增强级、领先级三个级别,相应的标识等级分别用一星、二星、三星表示。
3.2 消费类网联摄像头的网络安全能力应依据TC260-PG-20265A《网络安全标准实践指南—网络安全标识 消费类网联摄像头安全要求》进行检测,确定物理与硬件安全、系统与软件安全、网络与通信安全、数据安全与个人信息保护、安全保障等单项网络安全能力等级。满足同一等级的所有单项要求,方可获得该网络安全能力等级。
3.3 下列要素相同的,可以划分为同一个检测单元:
(1)芯片的产品生产者、品牌和代际编号;
(2)固件的版本,固件中一般包含操作系统、功能软件、第三方组件等;
(3)通信模组的类型和版本;
(4)设备接入管理模式,例如:通过管理页面管理、通过应用程序管理等;
(5)影响产品暴露面和网络安全能力的配置,包括:物理接口、通信协议、网络端口、应用接口、身份鉴别方式和强度、访问控制方式、加密方案等。
3.4 按照检测单元进行产品检测的,产品生产者应出具检测单元划分的声明,声明同一检测单元内不同型号产品,划分检测单元的要素相同。
检测机构选取同一检测单元内的一款产品检测,并随机抽取一定数量型号的产品,进行产品一致性检测和差异性验证,出具检测报告。检测机构随机抽取的产品型号数量,为该检测单元型号总数的10%向上取整。
通过产品一致性检测与差异性验证的,其检测单元划分及检测结果方为有效;未通过的,应重新开展检测单元划分与产品检测工作。
3.5 产品生产者依据以下方式,对产品进行检测,确定网络安全能力等级,并取得检测报告:
(1)需要标注一星级和二星级的消费类网联摄像头产品,产品生产者可以利用自有检测实验室或者委托依法取得资质认定的第三方检测机构开展检测;
(2)需要标注三星级的产品,产品生产者在满足有关检测要求基础上,还应当委托符合条件的第三方检测机构开展渗透性测试;
(3)需要标注二星级的产品,用于产品检测的自有检测实验室应具备CNAS认可资质,认证能力范围覆盖网络安全检测相关内容。
4 网络安全标识信息的确定
4.1 产品生产者名称是指对产品质量负有法律责任的产品品牌所有者或使用者的名称。
4.2 产品规格型号与产品铭牌规格型号一致。
4.3 产品网络安全能力等级与检测报告上展示的网络安全能力等级保持一致。
4.4 消费类网联摄像头网络安全标识有效期为3年,起始时间为产品备案信息公告时间。
4.5 检测实验室名称是对产品网络安全能力进行检测的自有检测实验室、第三方检测机构的名称,与检测报告上检测机构一致。
4.6 检测依据为《网络安全标准实践指南—网络安全标识 消费类网联摄像头安全要求》现行有效版本。
4.7 产品备案信息码由备案管理平台在备案完成后生成。
5 网络安全标识的备案
5.1 产品生产者向备案机构申请备案,在备案管理平台上填写备案信息,提交《办法》规定的相关备案材料,材料模板可从备案管理平台下载。产品生产者及代理人应当对上述材料的真实性、准确性、完整性负责。