YD_T 3947-2021 物联网基础安全 物联网卡安全分类 管理规范.pdf

YD 中 华 人 民 共 和 国 通 信 行 业 标 准 YD/T 物联网基础安全 物联网卡安全分类 管理规范 Basic security of IoT-Classification management specification for security of IoT card （报批稿）-发布-实施 发 布ICS 35.110 CCS M11 目目 次次 前前 言言.-4-1 范围范围.-5-2 规范性引用文件规范性引用文件.-5-3 术语、定义和缩略语术语、定义和缩略语.-5-3.1 术语和定义.-5-3.2 缩略语.-5-4 物联网卡开通功能定义物联网卡开通功能定义.-6-4.1 语音功能.-6-4.1.1 定向语音.-6-4.1.2 非定向语音.-6-4.2 短信功能.-6-4.2.1 定向短信.-6-4.2.2 非定向短信.-6-4.3 流量功能.-6-4.3.1 定向流量.-6-4.3.2 非定向小流量.-6-4.3.3 非定向大流量.-6-5 物联网卡安全管理措施物联网卡安全管理措施.-7-5.1 前置规范管理.-7-5.1.1 专用号段.-7-5.1.2 卡片限定.-7-5.1.3 机卡绑定.-7-5.1.3.1 网络侧机卡绑定.-7-5.1.3.2 终端侧机卡互锁方式.-7-5.2 业务功能限定.-7-5.2.1 区域限制.-7-5.2.2 限额管控.-7-5.2.3 定向访问.-8-5.2.3.1 定向语音.-8-5.2.3.2 定向短信.-8-5.2.3.3 定向流量.-8-5.2.4 黑名单限制.-9-5.3 后向使用监测.-9-5.3.1 业务合规监测.-9-5.3.2 异常使用监测.-9-5.3.3 重点场景监测.-10-6 物联网卡安全管理基本要求物联网卡安全管理基本要求.-10-6.1 基本原则.-10-6.1.1 责任对等原则.-10-6.1.2 最小必要原则.-10-6.1.3 分类登记原则.-10-6.2 总体要求.-10-6.3 物联网卡安全分类管理要求.-10-6.3.1 开通全业务功能物联网卡.-11-6.3.2 开通短信和流量功能物联网卡.-11-6.3.3 仅开通流量功能物联网卡.-12-7 物联网卡入网管理规范物联网卡入网管理规范.-14-7.1 办理渠道要求.-14-7.2 出示证件要求.-14-7.2.1 单位证件.-14-7.2.2 个人证件.-14-7.3 单位资质审核要求.-14-7.4 合同管理要求.-14-7.5 证件真实性查验要求.-15-7.6 人证一致性查验要求.-15-7.7 现场拍照留存要求.-15-7.8 日志留存要求.-15-7.9 用户登记要求.-15-7.10 用户信息保护要求.-16-前前 言言 本文件按照 GB/T 1.1-2020 的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国通信标准化协会提出并归口。本文件起草单位：中国信息通信研究院、中国电信集团有限公司、中国移动通信集团有限公司、中国联合网络通信集团有限公司。本文件主要起草人：林美玉、崔颖、白盼盼、杜诗雨、叶青、毛江俊、马超、闫晓睿、徐华珺。物联网基础安全物联网基础安全 物联网卡安全分类管理物联网卡安全分类管理规范规范 1 范围 本文件规定了物联网卡安全分类管理的基本要求，主要包括：物联网卡功能定义、安全管理技术措施、安全管理要求和入网管理要求等。本文件适用于指导电信企业开展物联网卡安全管理工作。其中，电信企业包括基础电信企业和移动通信转售企业。2 规范性引用文件 本文件没有规范性引用文件。3 术语、定义和缩略语 3.1 术语和定义 下列术语和定义适用于本文件。3.1.1 物联网卡 IoT card 基于蜂窝移动通信网络，采用物联网专用号码作为终端业务号码，承载于物联网移动核心网专用网元上，用于物与物、物与人通信的用户识别卡。3.1.2 用户入网 user access to the network 用户办理物联网卡开户、过户等业务。3.1.3 专用号段 dedicated number section 行业主管部门颁发给电信企业的用于物联网、机器通信等专用码号资源。3.1.4 卡片限定 card limitation 通过嵌入、焊接、非标等方式，实现物联网卡与终端物理绑定的技术手段，从而有效防止物联网卡被挪用。3.1.5 机卡绑定 machine card binding 针对可插拔的普通 SIM 卡，通过在相应的系统平台配置机卡绑定参数实现物联网卡与终端的软绑定。3.2 缩略语 下列缩略语适用于本文件。APN 接入点名称 Access Point Name eSIM 嵌入式 SIM 卡 Embedded-SIM IP 网际互连协议 Internet Protocol SIM 用户身份识别模块 Subscriber Identification Module URL 统一资源定位符 Uniform Resource Locator VPDN 虚拟专有拨号网络 Virtual Private Dial Network 4 物联网卡开通功能定义 4.1 语音功能 4.1.1 定向语音 定向语音是指使用物联网卡只能与特定号码进行语音通话，包括呼入和呼出方向。各电信企业应按最小必要原则，严格限制语音通话的白名单号码数量，原则上语音呼入和呼出的白名单号码数量合计不超过5个。电信企业应严格限制定向语音白名单的变更次数，对于确需变更的，电信企业应加强审核，明确电信企业审核责任人，并留存签字审核表。4.1.2 非定向语音 非定向语音是指使用物联网卡可进行语音通话的对象不受限制，包括呼入和呼出。4.2 短信功能 4.2.1 定向短信 定向短信是指使用物联网卡仅能与短信管理平台号码进行收发短信，不允许物联网卡与物联网卡之间、物联网卡与公众移动网电话号码之间收发短信。各物联网卡对应的短信管理平台号码由电信企业自行分配，原则上每张物联网卡绑定的平台号码数量（含发送和接收）合计不超过 5 个。电信企业应严格限制定向短信白名单的变更次数，对于确需变更的，电信企业应加强审核，明确电信企业审核责任人，并留存签字审核表。4.2.2 非定向短信 非定向短信是指使用物联网卡发送或接收短信的对象不受限制。4.3 流量功能 根据物联网卡流量功能是否受限，可分为定向流量和非定向流量。按照物联网卡使用流量额度，可以分为大流量和小流量。结合安全风险，物联网卡流量功能可分为定向流量、非定向小流量和非定向大流量。4.3.1 定向流量 定向流量是指可通过技术措施限定物联网卡仅能访问特定的 IP 或 URL 地址，原则上定向流量访问的 IP 和 URL 地址白名单数量合计不超过 10 个。电信企业应严格限制定向流量白名单变更次数，对于确需变更的，电信企业应加强审核，明确电信企业审核责任人，并留存签字审核表。4.3.2 非定向小流量 非定向小流量是指使用物联网卡可访问公网 IP 或 URL 地址不受限制，且月均使用流量不超过 100MB。4.3.3 非定向大流量 非定向大流量是指使用物联网卡可访问公网 IP 或 URL 地址不受限制，且月均使用流量大于100MB。5 物联网卡安全管理措施 5.1 前置规范管理 5.1.1 专用号段 电信企业在发展物联网用户时，应严格使用物联网卡专用号段，并定期对专用号段使用合规性进行抽查。5.1.2 卡片限定 卡片限定主要表现为贴片卡、eSIM卡和异形卡等，其中异形卡是通过改变SIM卡的形状和大小，仅在特定物联网终端中可以使用。5.1.3 机卡绑定 机卡绑定的具体实现方式可分为两类：一类是电信企业在网络侧签约服务器上或连接管理平台上配置终端设备唯一标识号与物联网号码、终端设备唯一标识库与物联网号码库的绑定关系；另一类是在终端侧采用机卡互锁方式。物联网机卡绑定仅能由电信企业进行操作，不得由购卡用户自行操作。5.1.3.1 网络侧机卡绑定 一是通过签约服务器签约功能实现绑定。物联网号码在签约服务器签约机卡绑定功能；用户提前告知电信企业物联网终端的设备唯一标识号信息，由电信企业在网络侧进行配置，将设备唯一标识号与相应的物联网号码进行绑定；或终端首次发生通信行为时，通过省内无线网络接入后，上报实际设备的唯一标识号到核心网元设备，核心网元设备将用户硬件信息上报到签约服务器，签约服务器将设备唯一标识号与物联网号码进行绑定；之后，终端再次发生通信行为时，签约服务器核对用户的硬件信息和绑定的物联网号码是否一致，如不一致，则直接拒绝用户接入。二是通过连接管理平台实现绑定。终端首次发生通信行为时，通过网络侧抓取终端设备的唯一标识号，并在电信企业物联网连接管理平台上存储该设备唯一标识号与物联网号码的对应关系，后续物联网卡请求连接到网络时，物联网连接管理平台自动检查设备的唯一标识号与物联网号码的对应关系，如不一致，则拒绝物联网卡接入。或者用户提前告知电信企业物联网终端的设备唯一标识库信息，由电信企业在物联网连接管理平台上进行配置，对应到相应的账户。当终端发生通信行为时，通过网络侧抓取终端设备的唯一标识号，并将抓取到的设备唯一标识号抄送给连接管理平台，由平台将该设备唯一标识号与设备唯一标识库进行比较。如果不在设备唯一标识库内，则拒绝为用户提供服务。5.1.3.2 终端侧机卡互锁方式 在物联网卡内单独设置一个区域，用于存储要绑定的终端设备唯一标识号；用户提前告知电信企业物联网终端的设备唯一标识号信息，由电信企业写入物联网卡内；终端开机后读取出物联网卡内存储的设备唯一标识号，并与终端自身设备唯一标识号进行比较，判断是否一致。如不一致，则停止通信功能服务。采用此种方式的物联网终端需要具备判断设备唯一标识号的功能。5.2 业务功能限定 5.2.1 区域限制 对于终端设备位置固定的物联网场景，如水表、电表、市政监控设备、环境监测设备等，应严格限定物联网卡使用位置地点，如绑定基站标识或限制接入基站数量等。对于终端设备限定在一定地理范围内使用的物联网场景，电信企业应通过技术手段严格限定其使用区域，限定区域不得超过省级范围。5.2.2 限额管控 限额管控是指结合使用场景和使用需求，限制物联网卡的业务使用量。电信企业应结合物联网卡的网络制式、使用需求，对物联网卡业务使用量进行分档限额管理。对于达到限定使用量的物联网卡，电信企业应及时暂停服务。5.2.3 定向访问 5.2.3.1 定向语音 定向语音的实现方式主要包括：网络侧通过智能网进行语音控制，以及其他可以实现与固定的号码进行语音通话的技术手段。通过智能网进行语音控制主要是通过智能网的业务控制设备来限制语音呼入和呼出的白名单，从而实现物联网卡的定向语音功能。具体流程为，当主叫发起呼叫后，经过信令交换设备，交换设备检测到智能语音业务后向业务控制设备报告，业务控制设备根据交换设备上报来的呼叫事件启动不同的业务逻辑，并向交换设备发出呼叫控制指令，指示交换设备进行下一步动作，例如收号、接续、放音等等，从而实现各种智能业务。5.2.3.2 定向短信 定向短信的实现方式可通过专用短信中心和专用网关控制短信收发号码，实现物联网卡仅可以与特定平台号码收发短信。点对平台定向短信的实现流程为：当用户申请开通短信功能时，电信企业为其分配一个短信接入号码，即短信管理平台号码。电信企业在相关平台上配置短信接入号码后，配置后的短信接入码自动同步至业务网关。完成配置后，告知用户短信接入信息并配合用户进行接入联调。当物联网终端发送短信时，会经过省移动交换设备转发至专用短信中心，经过物联网业务网关后发送至业务平台。5.2.3.3 定向流量 定向流量的实现方式包括：专线 VPDN、专用 APN、网络侧设置访问白名单、接入侧控制，以及其他可以实现仅访问固定的 IP 或 URL 地址的方式。具体实现方式描述如下：a）专线 VPDN 专线 VPDN 是通过 IP 承载网及传输专线的方式实现的。采用此种方式，需要客户平台通过传输专线连接至省公司的 AR 设备，通过 IP 专网 MPLS VPN+GRE（L2TP、IPsec）隧道的方式与物联网核心网专网设备互通。b）专用 APN 专用 APN 是通过各类 VPN 技术在公网疏通的逻辑隧道进行接入的。通过 GRE 方式实现企业VPN 方案，终端通过 IP 方式的 PDP/承载激活接入到移动数据网络，移动数据网络提供到客户数据中心企业的接入。电信企业通过 APN 标识用户业务种类，同时对用户的业务访问权限进行控制。c）网络侧设置访问白名单 网络侧设置访问白名单的具体实现流程如下：在物联网专用网元上设置物联网用户开户及策略控制；用户访问网络时，物联网核心网网关将首先到策略控制网元上查询用户签约时的业务策略，并且使对应的业务策略规则生效；如果用户访问的 IP 或 URL 地址在白名单内，则继续访问特定的业务平台或应用系统；如果不在白名单内，则停止访问。d）接入侧控制 接入侧控制主要是通过在接入侧终端或网关中配备相应的安全能力，使得终端或网关具备接收、执行安全策略以及上报访问行为数据等能力。其中，安全策略包括设置黑白名单列表、限制访问能力等。接入侧控制的技术思路如下：对于加载安全能力的终端，安全管理平台将安全策略直接下发至终端。终端访问应用平台时，自身安全能力将执行安全策略，判断目的 IP 地址、URL 等是否在黑白名单中。如在白名单中，则正常访问；如在黑名单中或不在白名单中，则拒绝访问。对于已部署安全管控功能的网关，可实现流量定向访问。具体实现为：根据不同业务配置的安全策略，当终端向网关发起流量访问请求时，网关通过自身安全能力执行安全策略，判断目的 IP 地址、URL 等是否在黑白名单中。如在白名单中，则正常接续访问；如在黑名单中或不在白名单中，则拒绝接续访问。5.2.4 黑名单限制 黑名单限制是指通过在网络侧设置业务访问黑名单，或者在接入侧进行安全策略控制，技术原理及实现方式同5.2.3节。为有效防范物联网卡被违规挪用于手机上网业务，黑名单至少应包括社交类网站、视频类网站、购物类网站、游戏类网站4种类型的互联网应用。电信企业可在此基础上，针对不同的物联网业务场景，在黑名单中增加互联网应用限制。5.3 后向使用监测 5.3.1 业务合规监测 业务合规监测包括下列监测模型：a）机卡分离监测 机卡分离是指物联网卡被从一个物联网终端中拔出，在另一个终端设备中使用的行为。电信企业应按照前置规范管理要求对物联网卡与物联网终端进行机卡绑定，当物联网卡与终端的绑定关系发生变化或用在非设备唯一标识库中的终端上时，电信企业应能及时发现，并输出相关的机卡分离记录。b）跨区域使用监测 跨区域使用是指某些可以固定在某个位置或区域使用、通常不会发生位置移动的物联网设备发生通信位置变化的行为。电信企业应针对此类物联网卡进行跨区域使用监测，通过分析物联网话单数据中使用所在地的小区标识，对物联网卡使用区域进行精细化监测。如超出物联网卡使用区域，电信企业应输出相关的跨区域使用记录。可固定在某个位置使用的物联网卡使用场景包括但不限于以下场景：公共服务：电梯报警、视频监控、市政设施、智能抄表、环境监测、智慧停车等；零售服务：智能广告等；智慧农业：环境监测等；智慧工业：采集类设备、视频监控等；智慧物流：智能快递柜、仓储视频监控等。c）超阈值使用监测 超阈值使用是指物联网卡每个月的短信、流量实际使用量超过开户时选择的使用量阈值的行为。电信企业应对物联网卡超阈值使用的行为进行监测，且在发现物联网卡超阈值使用后，输出相关的超阈值使用记录。d）超白名单使用监测 超白名单使用是指物联网卡的语音主被叫号码超出开户时设定的语音白名单号码、短信收发号码超出开户时设定的短信白名单号码、访问的IP或URL地址超出定向访问白名单号码的通信行为。电信企业应对物联网卡超白名单使用的情况进行监测，且在发现物联网卡超白名单使用后，输出相关的超白名单使用记录。5.3.2 异常使用监测 异常使用监测包括下列监测模型：a）手机终端使用监测 手机终端使用是指物联网卡被放置在手机终端上使用的行为。电信企业应基于各企业内部的手机终端设备唯一标识库，对物联网卡所使用的终端设备唯一标识号进行监测。当发现物联网卡被使用在手机终端上时，应输出相关的手机终端使用记录。b）异常使用行为监测 异常使用行为是指对于特定物联网场景使用的物联网卡发生典型人联网应用访问的行为。电信企业应通过分析物联网卡实际访问的URL地址，查看其是否访问了典型人联网应用。当发现 物联网卡发生不合理访问行为时，应输出相关的不合理使用记录，并将人联网应用的URL同步至黑名单限制列表中。电信企业可在此基础上，进一步增加其他人联网应用监测。典型人联网应用场景包括但不限于社交类网站、视频类网站、购物类网站、游戏类网站。电信企业可在此基础上，进一步增加其他人联网应用监测。c）异常流量使用监测 异常流量使用是指物联网卡当月流量使用量大于前三个月月均流量使用量2倍以上的行为。电信企业应对物联网卡异常流量使用的行为进行监测，且在发现物联网卡流量使用异常后，应输出相关的异常流量使用记录。d）异常短信使用监测 异常短信使用是指物联网卡当月短信使用量大于前三个月月均短信发送量2倍以上的行为。电信企业应对物联网卡短信异常使用的行为进行监测，且在发现物联网卡短信使用异常后，应输出相关的异常短信使用记录。5.3.3 重点场景监测 重点场景监测包括下列监测模型：a）漫游至诈骗高发区使用监测 漫游至诈骗高发区使用是指物联网卡漫游至诈骗高发区使用的行为。电信企业应针对物联网卡的使用地点进行监测，当发现物联网卡漫游至诈骗高发区使用时，应输出相关的漫游至诈骗高发区使用记录。b）其他监测模型 对于超出以上监测模型的，企业可自行定义。6 物联网卡安全管理基本要求 6.1 基本原则 6.1.1 责任对等原则 按照“谁销售、谁负责”的原则，电信企业为物联网卡安全管理的第一责任人，应采取有效技术和管理措施加强物联网卡安全管理，防止物联网卡被挪用或违规使用。6.1.2 最小必要原则 物联网卡所开通功能、业务范围（包括可访问的IP地址、端口、通话及短信号码等）须与合同所约定的业务场景保持严格一致。6.1.3 分类登记原则 结合物联网卡开通功能、业务属性等因素，通过综合评定物联网卡安全风险，分类实施登记管理。6.2 总体要求 物联网卡安全管理总体要求，应至少包括以下：a）物联网卡默认应关闭语音、短信功能。对于确需开通的，须严格实施定向限制。b）对于开通流量功能的物联网卡，应设置最小必要数据流量限额。c）对于开通定向大流量的物联网卡，须采用机卡绑定和黑名单限制手段。d）对于开通非定向大流量的物联网卡，须严格采用卡片限定技术措施。e）对于位置范围固定的物联网卡，须实施区域限制。6.3 物联网卡安全分类管理要求 按照物联网卡开通流量功能的业务属性，可以分为6类场景。其中，场景1为定向大流量，场景2为定向小流量，场景3为使用位置固定的非定向大流量，场景4为使用位置不固定的非定向大流量，场景5为使用位置固定的非定向小流量，场景6为使用位置不固定的非定向小流量。6.3.1 开通全业务功能物联网卡 对于开通全业务功能的物联网卡，电信企业应对应采取管控措施，并做好用户登记。具体要求如表1所示。针对不同的业务场景，具体管控措施如下：a）针对场景1和2，在可实现流量定向访问限制的情况下，电信企业应实施定向语音、定向短信和定向流量管控限制，并采取机卡绑定、限额管控、黑名单限制、使用监测等措施降低安全风险。在此基础上，电信企业可登记责任单位和责任人信息。b）针对场景3和4，在流量无法实施定向限制，且开通大流量的情况下，针对位置固定的物联网卡，电信企业应实施定向语音、定向短信限制，采取卡片限定、区域限制、黑名单限制、使用监测等措施，防止作为流量卡使用。在此基础上，可登记到责任单位和责任人。针对位置不固定的物联网卡，电信企业应实施定向语音、定向短信限制，采取卡片限定、使用监测等措施，并登记到实际使用人。c）针对场景5和6，在流量无法实施定向限制，且开通小流量的情况下，针对位置固定的物联网卡，电信企业应实施定向语音、定向短信限制，采取区域限制、限额管控、黑名单限制，机卡绑定、使用监测等措施，降低挪用风险。在此基础上，可登记到责任单位和责任人。针对位置不固定的物联网卡，电信企业应实施定向语音、定向短信限制，采取限额管控、黑名单限制、机卡绑定、使用监测等措施，并登记到责任单位和责任人。表 1 开通全业务功能的物联网卡场景及管控要求 场景分类 售前评估 技术管控 登记要求 业务功能 业务属性 特定措施 通用措施 语音 短信 流量 流量定向 大流量 位置固定 定向限制 卡片限定 区域限制 限额管控 黑名单限制 机卡绑定 使用监测 实名个人 登记单位 定向语音 定向短信 定向流量 1 -2 -3 4 5 6 注：“”代表满足此条件；“”代表不满足此条件；“-”代表无需考虑此属性；6.3.2 开通短信和流量功能物联网卡 对于开通短信和流量功能的物联网卡，电信企业应对应采取管控措施，并做好用户登记。具体要求如表2所示。针对不同的业务场景，具体管控措施如下：a）针对场景1和2，在可实现流量定向访问限制的情况下，电信企业应实施定向短信和定向流量管控限制，并采取机卡绑定、黑名单限制、限额管控、使用监测等措施降低安全风险。在此基础上，电信企业可登记责任单位和责任人信息。b）针对场景3和4，在流量无法实施定向限制，且开通大流量的情况下，针对位置固定的物联网卡，电信企业应实施定向短信限制，采取卡片限定、区域限制、黑名单限制、使用监测等措施，防止作为流量卡使用。在此基础上，可登记到责任单位和责任人。针对位置不固定的物联网卡，电信企业应实施定向短信限制，采取卡片限定、使用监测等措施，并登记到实际使用人。c）针对场景5和6，在流量无法实施定向限制，且开通小流量的情况下，针对位置固定的物联网卡，电信企业应实施定向短信限制，采取区域限制、限额管控、黑名单限制，机卡绑定、使用监测等措施，降低挪用风险。在此基础上，可登记到责任单位和责任人。针对位置不固定的物联网卡，电信企业应实施定向短信限制，采取限额管控、黑名单限制、机卡绑定、使用监测等措施，并登记到责任单位和责任人。表 2 开通短信和流量功能的物联网卡场景及管控要求 场景分类 售前评估 技术管控 登记要求 业务功能 业务属性 特定措施 通用措施 语音 短信 流量 流量定向 大流量 位置固定 定向限制 卡片限定 区域限制 限额管控 黑名单限制 机卡绑定 使用监测 实名个人 登记单位 定向语音 定向短信 定向流量 1 -2 -3 4 5 6 注：“”代表满足此条件；“”代表不满足此条件；“-”代表无需考虑此属性；6.3.3 仅开通流量功能物联网卡 对于仅开通流量功能的物联网卡，电信企业应对应采取管控措施，并做好用户登记。具体要求如表3所示。针对不同的业务场景，具体管控措施如下：a）针对场景1和2，在可实现流量定向访问限制的情况下，电信企业应实施定向流量管控限制，并采取机卡绑定、黑名单限制、限额管控、使用监测等措施降低安全风险。在此基础上，电信企业可登记责任单位和责任人信息。b）针对场景3和4，在流量无法实施定向限制，且开通大流量的情况下，针对位置固定的物联网卡，电信企业应采取卡片限定、区域限制、黑名单限制、使用监测等措施，防止作为流量卡使用。在此基础上，可登记到责任单位和责任人。针对位置不固定的物联网卡，电信企业应采取卡片限定、使用监测等措施，并登记到实际使用人。c）针对场景5和6，在流量无法实施定向限制，且开通小流量的情况下，针对位置固定的物联网卡，电信企业应采取区域限制、限额管控、黑名单限制，机卡绑定、使用监测等措施，降低挪用风险。在此基础上，可登记到责任单位和责任人。针对位置不固定的物联网卡，电信企业应采取限额管控、黑名单限制、机卡绑定、使用监测等措施，并登记到责任单位和责任人。表 3 仅开通流量功能的物联网卡场景及管控要求 场景分类 售前评估 技术管控 登记要求 业务功能 业务属性 特定措施 通用措施 语音 短信 流量 流量定向 大流量 位置固定 定向限制 卡片限定 区域限制 限额管控 黑名单限制 机卡绑定 使用监测 实名个人 登记单位 定向语音 定向短信 定向流量 1 -2 -3 4 5 6 注：“”代表满足此条件；“”代表不满足此条件；“-”代表无需考虑此属性；-14-7 物联网卡入网管理规范 7.1 办理渠道要求 电信企业在向用户销售物联网卡时，应通过自有实体渠道或自有人员上门服务的方式办理。7.2 出示证件要求 电信企业应要求用户提供单位有效证件、责任人和经办人有效证件、责任人和经办人的单位委托授权书。7.2.1 单位证件 单位有效证件应包括下列有效证件之一：a）组织机构代码证；b）营业执照；c）加载统一社会信用代码的营业执照；d）事业单位法人证书或社会团体法人登记证书；e）法律、行政法规和国家规定的其他有效证件或者证明文件。7.2.2 个人证件 经办人、责任人以及实际使用人应按照下列要求出示个人有效证件：a）居住在中国境内的中国公民，应出具居民身份证、临时居民身份证或者户口簿；b）中国人民解放军军人，中国人民武装警察办理用于个人或社会活动的电话号码，应出具居民身份证；办理用于执行公务、办理公务的电话号码，应出具军官证、士兵证、警官证等军队、武装警察部队制发的身份证件，并同时出具单位相关证明文件；c）中国香港、中国澳门居民，应出具港澳居民往来内地通行证、港澳居民居住证或者其他有效旅行证件；中国台湾居民，应出具台湾居民来往大陆通行证、台湾居民居住证或者其他有效旅行证件；d）外国公民，应出具护照或外国人永久居留身份证；外国人永久居留身份证的查验要求、使用场所等同居民身份证；e）如无法提供第a）至d）项规定的身份证件的，可以使用法律、行政法规和国家规定的其他有效身份证件。7.3 单位资质审核要求 电信企业应对物联网购卡用户单位资质做严格审核，审核要点包括但不限于：a）单位类型：购卡用户应为真实的物联网终端生产企业、物联网产品销售企业、物联网产品集成商、物联网平台运营企业、提供公共服务的企事业单位、具备真实合理使用场景的其他企业；b）注册时间：电信企业应对注册时间少于3个月的购卡用户，严格限制其购卡数量，并加强监测；c）单位查验：电信企业应通过国家企业信用信息公示系统等途径认真查验购卡用户证件真实性、企业经营情况和信用情况。并依据行业主管部门相关规定及要求，对于被纳入物联网用户黑名单的购卡用户，电信企业不得向其销售物联网卡。d）现场考察：电信企业应对用户的使用场景进行现场考察，并留存现场考察材料，包括审核人员与行业单位的照片、设备照片、生产工厂或办公场所照片等。e）资料归档：电信企业在完成对用户的资质审核后，应由电信企业审核人员与用户经办人或负责人现场签字确认，并将签字单据和考察资料作为合同资料一并归档。7.4 合同管理要求 电信企业与用户签订的物联网卡销售合同中，应明确物联网卡的使用场景、开通功能、用户身份信息登记、安全管理要求、禁止二次转售、防范垃圾短信和骚扰诈骗电话、违约责任等 -15-条款，并对违约使用和涉嫌违法犯罪活动的物联网卡约定处罚措施。当物联网卡停止使用后，电信企业应将物联网卡所开通的功能全部关闭，避免物联网卡被用作它途。对于采用定向访问限制的物联网卡，电信企业应明确要求用户不得通过非法跳转的方式访问公网，如发现存在违规行为，电信企业应立即将该用户名下的同一批次物联网卡全部关停，由此产生的风险由用户自行承担。7.5 证件真实性查验要求 对于单位有效证件，电信企业应根据有关部门已公布的单位有效证件判定规则，查验用户出示的单位有效证件真实性。对于具备技术查验条件的，电信企业应通过技术手段查验单位有效证件及所载信息的真实性。对于个人有效证件，电信企业应使用居民身份证识别设备查验居民身份证、外国人永久居留身份证、港澳台居民居住证的真实性，并通过居民身份识别设备自动读取和录入用户身份信息，严禁人工录入。宜与“全国公民身份信息库”联网查验用户身份信息。对于无法通过技术手段查验证件真实性查验的，电信企业受理人员应根据相关部门已公布的证件判定规则，核实个人有效证件的真实性。7.6 人证一致性查验要求 对于登记至责任单位的场景，电信企业应查验经办人出示的身份证件的真实性和有效性，判断证件所载性别、照片等信息与经办人是否一致，并采用人像比对技术手段，做好用户人证一致性查验。对于最终登记至实际使用人的场景，用户可持本人有效证件在电信企业自有营业厅办理实名登记。同时，对于持居民身份证、外国人永久居留身份证、港澳台居民居住证的用户，电信企业可通过网络渠道为其办理实名登记，要求用户上传个人有效证件正反面照片和用户正面免冠照片，并采用在线视频实人认证方式查验用户身份信息，确保用户人证一致。7.7 现场拍照留存要求 对于登记至责任单位的场景，电信企业应现场拍摄留存一张经办人的正面免冠照片。对于最终登记至实际使用人的场景，通过线下办理的，电信企业应现场拍摄留存一张实际使用人的正面免冠照；通过线上办理的，电信企业应在用户认证视频中随机截取和留存两张用户正面清晰照片。电信企业应通过后台系统自动实时调用拍照设备，现场拍摄留存用户照片并上传后台系统。严禁未经现场拍摄通过本地上传用户照片和在本地保存用户照片。用户照片应使用 JPG、BMP、PNG 等通用格式。照片像素不低于 48 万、照片文件大小不低于50KB、照片长宽比为 16:9 或 4:3。用户头像部分占比不小于照片的三分之一，且清晰可辨。留存照片应加盖水印，水印应注明照片用途和拍摄日期，并包含渠道编号信息或上门服务人员工号信息，拍摄日期应精确到秒。加盖水印应不影响照片关键信息的识别。7.8 日志留存要求 电信企业应记录用户办理入网手续时的联网查验日志，并至少留存两年以上。联网查验日志应记录用户姓名、号码、联网查验时间和查验结果等。7.9 用户登记要求 电信企业应如实登记证件类别、证件上所记载的姓名（名称）、号码、住址等信息。a）电信企业应参考6.3物联网卡安全分类管理要求，对用户进行登记。b）对于最终流转到实际使用人使用的场景，在测试期内电信企业可登记责任单位和责任人信息，并参照登记到责任单位和责任人的场景进行安全功能限制。测试期结束后，电信企业应关闭物联网卡全部功能，直至流转到最终实际使用人时，应通过自有实体渠道或网络渠道为实际使用人办理用户登记，并开通功能。.-16-c）对于同一合同分批次开卡的，电信企业应在每批次开卡时均要求出示单位有效证件，经办人和责任人有效证件及单位委托授权书，对用户及经办人、责任人的身份信息进行核查和登记，并拍摄留存经办人正面免冠照片。d）电信企业应严格限制登记到个人名下的物联网卡数量，同一用户在同一电信企业全国范围内名下所登记的物联网卡数量不超过10张。个人用户名下的物联网卡数量和公众移动电话卡数量分别单独统计。e）针对用户证件核验和录入要求，电信企业应按照 电话用户真实身份信息登记实施规范（工信部网安2018105号）文件中有关要求进行办理。7.10 用户信息保护要求 电信企业应按照电信和互联网用户个人信息保护规定（工业和信息化部令第24号）相关要求，依法做好用户信息保护工作。