欧盟《无线电设备指令》（Radio Equipment Directive, RED 2014/53/EU）不仅关注射频性能和电磁兼容性，更强调设备在整个生命周期中的网络安全与数据保护能力。自2025年8月1日起，协调标准 EN 18031 的强制实施进一步将“风险评估”从可选实践提升为法定要求。正如欧盟委员会所指出：“RED合规的本质，是对产品潜在风险的系统性识别、分析与控制。”
那么，风险评估在RED合规中究竟扮演什么角色？它如何帮助制造商提前规避安全漏洞与市场准入风险？
一、为什么RED要求进行风险评估？
RED指令第3(3)条明确规定，无线设备必须确保：
- 网络安全（防止未授权访问）
- 隐私保护（防止个人数据泄露）
- 防欺诈（防止设备被用于非法目的）
这些目标无法仅靠测试达标实现，而必须通过结构化的风险评估来识别威胁源、攻击路径和脆弱点，并据此设计防护措施。
EN 18031-1 第5.1条明确要求：“制造商应执行全面的风险评估，作为网络安全设计的基础。”
二、RED合规风险评估的核心流程
一个符合RED要求的风险评估通常包含以下五个阶段：
1. 资产识别
明确设备处理的关键资产，例如：
- 用户身份凭证
- 位置与健康数据
- 支付信息
- 固件与配置参数
2. 威胁建模
识别可能的攻击场景，常见包括：
- 暴力破解登录接口
- 中间人攻击（MITM）截取通信
- 固件逆向工程植入后门
- 利用默认密码接管设备
3. 脆弱性分析
评估设备在以下方面的弱点：
| 维度 | 示例 |
|---|---|
| 软件 | 未打补丁的开源组件（如Log4j） |
| 硬件 | 调试接口未禁用（JTAG/SWD） |
| 协议 | 使用明文传输（HTTP而非HTTPS） |
| 更新机制 | 缺乏固件签名验证 |
4. 风险等级判定
采用标准方法（如ISO/IEC 27005或NIST SP 800-30）评估风险：
- 可能性（Likelihood）：攻击发生的概率
- 影响（Impact）：对用户、企业或社会的危害程度
风险值 = 可能性 × 影响
高风险项（如儿童设备数据泄露）必须优先缓解。
5. 风险处置与记录
制定并实施控制措施，例如：
- 启用安全启动（Secure Boot）
- 强制复杂密码策略
- 部署入侵检测系统（IDS）
- 建立漏洞披露响应流程
所有评估过程与决策需形成技术文档，作为RED符合性声明（DoC）的支持证据。
三、风险评估与EN 18031的深度协同
EN 18031将风险评估作为产品安全架构的起点，具体体现在：
| EN 18031条款 | 风险评估关联内容 |
|---|---|
| 第5.1条 | 要求基于风险评估结果设计安全功能 |
| 第6.2条 | 安全更新机制需覆盖高风险漏洞 |
| 第7.3条 | 数据保护措施应针对隐私泄露风险 |
| 第8.1条 | 儿童设备需额外评估心理与行为风险（EN 18031-2） |
举例：若风险评估发现设备可通过蓝牙被远程配对，EN 18031即要求实施配对码验证或限制配对窗口。
四、常见误区与最佳实践
❌ 误区1： “通过EMC和射频测试就等于RED合规”
→ 正解：RED的网络安全要求独立于传统测试，必须通过风险评估证明。
❌ 误区2： “风险评估是一次性工作”
→ 正解：应在产品设计、开发、量产及生命周期各阶段持续迭代。
✅ 最佳实践建议：
- 采用 STRIDE 或 DREAD 模型进行系统化威胁建模
- 将风险评估纳入 产品开发V模型 的早期阶段
- 使用工具如 Microsoft Threat Modeling Tool 或 OWASP IoT Top 10 辅助分析
- 保留完整评估记录，以备公告机构（Notified Body）审核
五、风险评估输出物示例（RED合规必备）
| 文档类型 | 内容要点 |
|---|---|
| 风险评估报告 | 威胁列表、脆弱点、风险等级、缓解措施 |
| 安全需求规格书 | 基于风险导出的安全功能清单（如加密、认证） |
| 测试验证计划 | 针对高风险项的渗透测试与模糊测试方案 |
| 符合性声明附件 | 摘要说明如何通过风险控制满足RED第3(3)条 |
总结
在RED合规体系中，风险评估不仅是技术活动，更是法律义务。它将抽象的安全要求转化为具体的设计输入，确保无线设备从源头抵御网络威胁。随着EN 18031的强制实施，缺乏系统性风险评估的产品将难以通过市场监督审查。制造商应将其视为产品开发的核心环节，而非合规负担。
如需专业EN 18031合规支持，欢迎联系我们，我们将为您提供一站式网络安全认证与检测服务。