Как изменения в цепочке поставок Интернета вещей могут закрыть бреши в безопасности

Когда дело доходит до Интернета вещей, традиционные подходы к кибербезопасности сложно интегрировать, и они не могут обеспечить безопасность рабочих устройств. Многие подходы к встроенным устройствам изолируют системы, предлагая лишь частичную защиту и только от известных векторов атак. Можно ли решить все проблемы безопасности Интернета вещей с помощью простой настройки цепочки поставок?

На мой взгляд, да, если мы начнем думать об этом как о доверительной цепочке поставок Интернета вещей. В мае 2016 года Фонд безопасности Интернета вещей выдвинул идею о том, что безопасность Интернета вещей не имеет единого владельца, а все поставщики обязаны заботиться о своих прямых клиентах и ​​всей экосистеме.

Давайте подумаем об этом чуть более практично. Если вы производитель, Доверительная цепочка поставок знает, откуда вы получаете программное обеспечение или оборудование, и понимает безопасность внутри того, что вы закупаете. Это сводится к тому, чтобы взять на себя ответственность за каждый уровень безопасности.

Проблема

Согласно Gartner, ожидается, что в 2017 году во всем мире будет использоваться более 8 миллиардов устройств Интернета вещей (по сравнению с 6 миллиардами в 2016 году), что обещает экспоненциальный рост. Дошло до того, что каждая компания, независимо от ее бизнеса, думает, что им необходимо создать продукт, подключенный к Интернету.

Проблема в том, что эти компании сосредоточены исключительно на производстве своих виджетов, а не на деталях и деталях, из которых состоит этот виджет. Таким образом, возникает необходимость в доверительной цепочке поставок Интернета вещей.

Например, компания хочет создать новый виджет с поддержкой Wi-Fi. Обычно они не создают чип Wi-Fi с нуля; они купят чип у компании, которая уже произвела миллионы таких чипов.

Но эта компания-производитель виджетов, которая не специализируется на безопасности, не торопится разобраться и протестировать протоколы безопасности производителя микросхем. Если они не найдут времени, чтобы понять, откуда взялся чип, прошивка, необходимая для его работы, и уязвимость этого чипа для взлома, они встраивают в свой прототип очень небезопасную технологию.

Подумайте обо всех компонентах, созданных третьими сторонами, которые попадают в окончательный виджет. Устройство IoT защищено ровно настолько, насколько надежно его самый слабый уровень.

Конечно, мы могли бы винить в этом давление на компании с целью вывода продуктов IoT на рынок, но, к сожалению, я думаю, что это все еще происходит из-за недостатка надлежащего управления кибербезопасностью. Все рады говорить о своей киберпозиции, но у нас по-прежнему отсутствуют регулируемые стандарты безопасности и широко распространены передовые отраслевые практики производства IoT. Мы хотим показать пальцем и покрываем только свой риск.

Какое решение?

Долгосрочное решение:процесс сертификации. Хотя многие отраслевые группы работают над этими усилиями, мы не можем дождаться появления этих стандартов.

В краткосрочной перспективе есть два подхода.

Во-первых, если вы покупаете устройства Интернета вещей для себя или своего предприятия, найдите время, чтобы провести исследование. Есть много вариантов от уважаемых компаний с хорошей репутацией в сфере безопасности. При изучении затрат учитывайте необходимые средства, если ваш бизнес пострадает от взлома из-за подключения незащищенного устройства к вашей сети.

Во-вторых, если вы производите устройства Интернета вещей, подумайте о безопасности каждого компонента оборудования, которое вы встраиваете в свое устройство. Одна компания, которая отлично справляется с этой задачей, - это Taser, разработчик, производитель и дистрибьютор наведенного электрического оружия, нательных камер и решений для управления цифровыми доказательствами. Taser создает внутреннюю команду экспертов по аппаратному обеспечению, программному обеспечению и безопасности для проверки всех продуктов, прежде чем они поступят на рынок. Эта разнородная группа рассматривает, как продукт будет интегрироваться в существующий ассортимент продуктов, обеспечит безопасность и проводит тестирование на проникновение. Предварительные инвестиции компании гарантируют, что цепочка поставок любого нового устройства будет учтена.

До тех пор, пока у нас не появятся организации, маркирующие устройства Интернета вещей «хорошо» или «плохо», компаниям необходимо внимательно следить за безопасностью на всех уровнях.