符合PSTI就满足智能设备的数据保护义务吗？
不能。满足 PSTI 的安全要求，并不能证明你已履行另行适用的数据保护义务。如果你处理个人信息，应评估设备、应用程序和云服务各环节的安全性。要求供应商提供涵盖你实际销售配置的证据。Cambridge China Bridge 可以协调向工厂提出相关询问。
分别作出合规判断
请向 OPSS 确认适用的 PSTI 安全要求。我们的 PSTI 进口指南介绍了产品文件和进口商义务。这些检查并不能确定个人信息是否得到充分保护。
ICO 指出，这些要求是英国《通用数据保护条例》（UK GDPR）要求之外的独立要求。处理个人信息时，适当的安全措施包括技术措施和组织管理措施。应在产品合规档案中一并保留独立的安全评估。
画清设备、应用程序和云端的信息流
选择供应商前，画出信息从设备经过应用程序到配套服务器的流向。列出录音录像、账户资料、标识符和其他收集的信息。询问各项信息存在哪里、谁能访问，以及各环节由哪家供应商控制。
按照这张信息流图评估威胁和可能造成的损害。ICO说明，设备本地处理与云端处理所需的安全措施可能不同。摄像头采购的具体问题，可参阅我们的闭路电视及安防摄像头指南。
分别索取各环节的证据
设备方面，请供应商演示安全设置、固件更新和重置后的状态。应用程序方面，测试账户找回、共享访问和移除原用户。云端方面，询问管理员权限如何控制、客户账户如何隔离，以及存储的信息如何保护。
索取与拟采购硬件、固件、应用程序和服务配置对应的安全测试结果。请具备相应能力的专业人员审查测试范围及未解决的问题。工厂演示密码设置，无法充分说明云端访问或账户找回是否安全。
明确由谁持续维护安全
明确固件、应用程序发布、云端管理和客户支持的负责人。询问谁能调查报告、发布补救措施，并确认受影响设备已获得修复。对软件服务商的依赖，应与工厂承诺分开记录。
下单前，约定变更如何批准和检查。讨论应用程序更换、服务器迁移、零部件替换及服务停止的安排。询问客户如何取回或删除信息，以及设备转手时如何撤销访问权限。
正在算自己的订单？把产品通过 WhatsApp 发给我们，工作日当天回复： WhatsApp 联系
用证据支持采购决定
集中保存信息流图、评估、测试结果、负责人联系方式和未解决的问题。将取得实际供货配置的证据作为批准采购的条件。产品或配套服务发生变化时，重新审视评估。
售后发现问题时，可按我们的联网产品安全故障指南开展产品安全调查。另行评估个人信息是否受到影响，不要因工厂发布补丁就认定所有问题已经解决。Cambridge China Bridge在中国的员工可以收集工厂记录，并核实供应商的责任分工。
常见问题
PSTI合规声明能证明符合数据保护要求吗？
不能。PSTI要求与数据保护要求相互独立。建议在产品合规文件之外，保留个人信息得到适当安全保护的证据。
除了设备，还要检查应用程序和云服务吗？
要。画清信息流向和存储位置，再分别索取证据。设备设置测试不能证明应用程序账户或云端管理员权限是安全的。
应该向中国工厂索取哪些安全证据？
索取信息流说明、软件和服务提供方名单、对应配置的测试结果、更新演示及未解决的问题。工厂没有的资料，应明确由谁提供。
可以凭通用安全报告批准订单吗？
先确认报告是否涵盖实际采购的硬件、固件、应用程序和云端配置。作出采购决定前，请具备相应能力的专业人员识别证据缺口。