39、物联网信息系统确定
Categories:
2 分钟阅读
定位：判定被测信息系统是否属于物联网系统的三条判据与常见系统清单——这是决定是否适用 GB/T 22239-2019 物联网安全扩展要求的前置步骤。 配套：38、物联网之安全物理环境、区域边界（判定为物联网后的核查要点）； 通用要求见 17、加固方案总纲。 适用：等保 2.0 各等级；定级与测评方案编制阶段使用。
使用说明：
- 本文所有命令均为只读取证命令，不修改配置、不重启服务、不执行清除类操作；确需变更由被测单位运维方在授权下实施。
- 命令回显本身即证据，须连同命令行一起截图；示例中的地址、账户、路径均为演示值，现场须替换为真实取证结果，并对个人信息与内网管理地址脱敏后再入报告。
- 命令不存在或输出与示例差异较大时，先确认产品版本与部署形态（物理机/虚拟机/容器/集群），再换用等效命令或转入配置文件、管理控制台取证，不得据命令缺失直接判不符合。
- 文中「默认」「一般」等表述均为初判倾向，须经上机核查 + 访谈 + 配置/制度核对三方印证后定论，并在报告中写明取证来源。
不适用标识说明：
- 使用
【不适用】明确标记现场可判定为不适用的控制点，并写明判定依据与承载该能力的上位组件。- 依据 GB/T 28448-2019「按测评对象实际承载功能与数据处理范围判定」原则：控制能力由上层应用、统一认证平台、前置代理、堡垒机、日志审计系统、虚拟化平台或云托管平台承载时，应注明测评单元边界后判定不适用或转由上位组件核查，不得机械按缺失判不符合。
- 产品版本确实不提供该能力（如设备无可信根、社区版无审计模块）时，须核查替代措施并按替代措施的实际效果定档，不得直接判不适用。
一、物联网信息系统确定
对应控制点：GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》与 GB/T 22239-2019 8.4 物联网安全扩展要求的适用性判定
判定要点：本节为适用性判定，不单独出符合性结论。须同时满足「具有感知设备」「网络构成具有两种及以上不同类型网络的融合」「应用系统能对感知设备采集的信息进行处理并实现智能化识别、定位、管理与监控」三条，方可认定为物联网系统并适用 8.4 物联网安全扩展要求；仅满足其一或其二 → 按通用要求测评并在报告中写明判定过程与依据。
取证要求：系统定级备案材料、网络拓扑图（体现网络融合类型）、感知设备清单与部署位置、应用系统功能说明与截图（体现智能化处理能力）、判定过程纪要与三方印证记录。
未做物联网系统适用性判定即直接按通用要求出具测评结论，导致 8.4 物联网安全扩展要求整章漏测，属测评质量重大问题；现场应留存判定过程与三方印证记录，避免漏判或误判。
判定口径详见 22、高风险判定指引与加固对照表。
满足以下三条特征的信息系统，应认定为物联网系统并适用物联网安全扩展要求：
| # | 判据 | 现场核查要点 |
|---|---|---|
| 1 | 应具有感知设备 | 二氧化碳浓度传感器、二维码标签、湿度传感器、摄像头、RFID 标签与读写器、GPS 等感知终端 |
| 2 | 网络构成应具有至少两种及以上不同类型网络的融合 | 互联网、移动网（4G/5G/NB-IoT）、私有网络、无线网络（Wi-Fi/蓝牙/ZigBee/LoRa）、有线通信网与云计算平台等，至少两类并存 |
| 3 | 应用系统应能对感知设备采集的信息进行处理，实现智能化识别、定位、管理与监控 | 是否具备汇聚、分析、告警、远程控制等智能化能力，而非仅做数据展示 |
仅有感知设备但网络单一（如纯局域网视频监控），或虽有传感器但未做智能化处理， 不构成物联网系统，应按通用要求测评，不适用感知节点物理防护、接入控制等扩展条款。
实践中争议最大的是第 2 条（网络融合）：多数"智慧 XX"系统同时具备互联网出口与移动/专网回传， 可认定为满足；而纯有线局域网内的传感器系统则不满足。现场应访谈网络拓扑并留存拓扑图。
二、常见物联网系统
下表为现场高频遇到的物联网系统类型，等级一列仅为常见定级水平参考，具体以定级备案结论为准。
| 序号 | 系统名称 | 常见定级 | 主要感知设备 |
|---|---|---|---|
| 1 | 智慧安防系统 | 二级/三级 | 摄像头、门禁读卡器、红外探测器 |
| 2 | 智慧燃气系统 | 三级 | 燃气表、压力/泄漏传感器 |
| 3 | 电子价签物联网系统 | 二级 | 电子价签、基站/AP |
| 4 | 电梯物联网监控系统 | 二级/三级 | 电梯运行传感器、摄像头 |
| 5 | 建筑消防设施物联网监控系统 | 二级/三级 | 烟感、温感、水压传感器 |
| 6 | 智慧水务系统 | 三级 | 水表、水质/流量传感器 |
| 7 | 智慧景区旅游服务物联网系统 | 二级/三级 | 摄像头、定位终端、客流计数器 |
| 8 | 大型医用影像设备运维管理物联网系统 | 二级/三级 | 设备运行传感器、定位终端 |
| 9 | 大型医用设备使用监督管理物联网平台 | 二级/三级 | 同上 |
| 10 | 智慧物流系统 | 二级/三级 | GPS/北斗定位终端、扫码终端 |
| 11 | 智慧仓储系统 | 二级 | RFID 标签与读写器、温湿度传感器 |
| 12 | 交通运输物联网系统 | 三级 | 车载终端、GPS/北斗、摄像头 |
| 13 | 农业物联网监控平台 | 二级 | 土壤/气象传感器、摄像头 |
| 14 | 智慧净水管理系统 | 二级 | 水质传感器、流量计 |
| 15 | 海水工厂化循环水物联网系统 | 二级 | 水温/盐度/溶氧传感器 |
| 16 | 城市供水物联网计量系统 | 二级/三级 | 智能水表、压力传感器 |
| 17 | 智慧煤矿 | 三级 | 瓦斯/一氧化碳传感器、人员定位卡 |
| 18 | 智慧交通系统 | 三级 | 卡口相机、地磁/雷达检测器、信号灯控制器 |
| 19 | 加油站税控云平台 | 二级/三级 | 加油机数据采集终端、液位仪 |
| 20 | 公安智慧监管平台系统 | 三级 | 摄像头、定位手环、门禁 |
| 21 | 通用物联网平台（设备接入与管理类） | 二级 | 视接入设备而定 |
| 22 | 校园/园区物联网管控系统 | 二级 | 摄像头、门禁、能耗表计 |
说明：原表中附带的具体项目名称与承建信息属客户业务信息，已从本表中移除， 仅保留系统类型、常见定级与主要感知设备，便于现场按类型比对。
三、判定流程与留痕
- 资料收集——系统建设方案、网络拓扑图、设备清单（含感知设备型号与数量）、应用功能说明；
- 现场走查——抽查点位确认感知设备真实存在并在线；
- 网络确认——访谈并核对至少两类网络的实际使用情况（如 4G/5G 回传 + 专线 + 互联网出口）；
- 功能确认——演示智能化识别/定位/监控/告警能力；
- 形成结论——在测评方案中写明"是否适用物联网安全扩展要求"及理由；
- 留痕——拓扑图、设备清单、功能演示截图、判定结论页。
若判定不适用物联网扩展要求，必须在测评方案中写明理由（缺哪一条），不能留空。 评审与备案环节常会追问该结论。
测评项对照表
| 步骤 | 判定要点 |
|---|---|
| 判据 1 | 存在真实在线的感知设备（传感器/RFID/摄像头/GPS 等） |
| 判据 2 | 网络构成含两类及以上不同类型网络的融合 |
| 判据 3 | 应用系统具备智能化识别、定位、管理与监控能力 |
| 结论 | 三条全满足 → 适用物联网扩展要求（转 38 号）；否则按通用要求测评并写明理由 |
参考依据
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（GB/T 22240-2020 定级指南与 GB/T 22239-2019 8.4 物联网安全扩展要求的适用性判定）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=BAFB47E8874764186BDB7865E8344DAF
- GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》（测评对象边界认定、单元测评实施与结果判定：符合/部分符合/不符合/不适用）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=7E736CDF4502B6FF1258DD250AA3EC8C
- GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》、GB/T 25070-2019《安全设计技术要求》、GB/T 28449-2018《测评过程指南》，可在全国标准信息公共服务平台检索：http://openstd.samr.gov.cn/bzgk/gb/
- 《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准）——高风险情形判定口径，站内对照表：22、高风险判定指引与加固对照表
- 命令核验说明：本文三条判据与条款表述以 GB/T 22239-2019 第 8.4 章物联网安全扩展要求及 GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》的口径核验（核验日期 2026-09-02）。三处须留意：① 三条判据须同时满足，实践中争议最大的是第二条「网络融合」——多数「智慧 XX」系统同时具备互联网出口与移动/专网回传可认定满足，纯有线局域网内的传感器系统则不满足；② 文中「常见定级」列仅为现场常见水平参考，具体等级以定级备案结论为准，不得作为定级依据；③ 判定过程须访谈网络拓扑、留存拓扑图与感知设备清单，并在测评报告中写明判定依据，避免漏判（该测 8.4 未测）或误判（不该测 8.4 却出结论）。