Как IoT Cybersecurity Improvement Act формирует будущее подключенных устройств — что бизнесу нужно знать

Как IoT Cybersecurity Improvement Act формирует будущее подключенных устройств — что бизнесу нужно знать

Опасения по безопасности вышли на центр дискуссий об Интернете вещей (IoT). Недавний опрос нашел, что почти 50% US-компаний, использующих IoT-сети, пострадали от security breach. Высокая частота инцидентов помогла зажечь IoT Cybersecurity Improvement Act 2017, федеральный билл, который, в то время как в основном нацеленный на вендоров, ищущих гос. контракты, мог установить де-факто стандарты для всей отрасли.

Цель Акта проста: установить минимальные операционные стандарты кибербезопасности для любого интернет-подключенного устройства, которое федеральное агентство покупает или использует. Под предложением вендоры должны удовлетворить несколько требований перед продажей правительству:

• Устройства должны быть свободны от известных уязвимостей и дефектов.
• Устройства должны поддерживать регулярные, автоматизированные софтверные апдейты.
• Устройства не должны содержать фиксированные или hard-coded креденшлсы для удаленного администрирования, доставки апдейтов или коммуникации.

Поскольку IoT-устройства также повсеместны в частных сетях, регуляторы и отраслевые лидеры предвосхищают, что похожие правила могут быть приняты за пределами федеральных закупок. Ставки высоки: Тед Коппел предупреждал, что IoT-атака на US энергосеть может спровоцировать национальный аутэйдж, и израильские исследователи продемонстрировали, что координированная атака на «умные лампочки» может парализовать городской квартал офисов.

Высокопрофильные взломы, такие как DDoS-атака на DNS-провайдера Dyn, которая, как сообщается, стоила компании 8% бизнеса, иллюстрируют, как разрушительны могут быть IoT-центричные атаки. Даже пока ожидания регуляции растут, организации должны проактивно безопасить свои сети.

Шаги, которые должна предпринять каждая компания

Традиционные практики безопасности — патчинг, фаерволы, anti-spyware и обучение сотрудников — необходимы, но недостаточны против уникальных угроз, порождаемых IoT. Бленд облачной инфраструктуры и физически распределенных устройств требует свежую security mindset. Вот конкретные действия, которые могут помочь вам как защититься от атак, так и выровняться с грядущим законодательством:

• Зашифруйте device-level ключи так, чтобы каждый юнит мог быть мониторен и управляем индивидуально, а не полагаясь на единственный шлюз.
• Выведите отдельные ключи шифрования для отдельных функций (напр., аутентификация, шифрование данных, firmware updates).
• Внедрите регулярную ротацию ключей для ограничения окна возможностей для скомпрометированного устройства.
• Централизуйте видимость и контроль, чтобы вы могли карантинить или отключать подозрительные устройства мгновенно.
• Примите hardware-based security модули, обеспечивающие tamper-resistant защиту, которой софт в одиночку не может совпасть, стратегию, эндорсированную аналитиком Патриком Мурхедом.

По IDC, глобальные инвестиции в IoT проецируются достичь $1,4 трлн (€1,17 трлн) к 2021 году. Уже примерно 25 млрд устройств подключены, и исследование Hewlett Packard нашло, что 70–80% лишены адекватного шифрования или парольной защиты. Эти пробелы делают их главными целями для сложных атак, подчеркивая срочность надежных мер безопасности.

Принимая вышеуказанные шаги, компании могут строить устойчивые IoT-экосистемы, защищающие чувствительные данные, охраняющие критическую инфраструктуру и разблокирующие полный экономический потенциал коннектед-технологий.

Автор: Амир Халим, CEO Helium