Британское регулирование безопасности IoT даёт потребителям право требовать более защищённых устройств

Британское правительство продвигает всеобъемлющий регуляторный фреймворк для устройств Интернета вещей (IoT), приводя его в соответствие с мировым стремлением к защите стремительно расширяющейся экосистемы IoT, по словам Майка Нельсона, вице-президента по безопасности IoT в DigiCert.

Годами IoT-продукты выходили на рынок с критическими уязвимостями, открывающими новые векторы атак — от взламываемых автомобилей до кукол, превращающихся в инструменты удалённого слежения, — и массовых инцидентов вроде ботнета Mirai, который угрожал ключевой интернет-инфраструктуре. Эти риски и стали катализатором регуляторного ответа Великобритании.

Новые правила опираются на Кодекс практики 2018 года «Безопасность по дизайну» (Secure by Design), который уже предложил производителям и потребителям набор лучших практик. К ним относятся безопасное хранение учётных данных, минимизация поверхности атаки, обеспечение постоянной целостности ПО и обновлений, а также шифрование коммуникаций.

Хотя Кодекс 2018 года был добровольным, правительство теперь делает ключевые положения обязательными. Регуляторы будут требовать выполнение минимум трёх основных требований.

Три принципа

Во-первых, пароли IoT-устройств должны быть уникальными и не могут сбрасываться на заводские настройки по умолчанию, что устраняет риск эксплуатации стандартных учётных данных злоумышленниками.

Во-вторых, производители обязаны публиковать открытый контакт для сообщений об уязвимостях, обеспечивая быстрое репортирование и устранение проблем безопасности.

В-третьих, разработчики устройств должны раскрывать минимальный срок предоставления обновлений безопасности, давая потребителям чёткий горизонт для списания устройства или принятия дополнительных мер защиты.

Устройства, соответствующие этим критериям, могут носить правительственный значок безопасности, сигнализирующий потребителям о надежности.

Безопасность IoT переходит к потребителям

Исторически за безопасностью устройств отвечали производители — а иногда корпоративные службы безопасности. Сертификация «Secure by Design» переносит принятие решений к конечному пользователю, позволяя покупателям оценивать риски перед интеграцией устройства в защищённую сеть.

Когда потребители начинают учитывать безопасность при выборе, производителям приходится инновировать, а не экономить на защите. Исторически небезопасность была дешевле; теперь безопасность может стать конкурентным преимуществом.

Расчёт ценности безопасности слишком долго откладывался. До сих пор у производителей не было ни «пряников», ни «кинов» для инвестиций в защиту. Новое регулирование не устранит все уязвимости, но создаст конструктивную структуру, поощряющую проактивное проектирование безопасности.

Автор: Майк Нельсон, вице-президент по безопасности IoT, DigiCert.

Об авторе

Майк Нельсон — вице-президент по безопасности IoT в DigiCert, глобальном провайдере цифровой безопасности. На этой позиции он курирует стратегическое развитие рынка для отраслей критической инфраструктуры, защищая высокочувствительные сети и IoT-устройства в здравоохранении, транспорте, промышленных операциях, умных сетях и умных городах. Майк регулярно консультирует организации, участвует в отчётах СМИ, работает в отраслевых органах стандартизации и выступает на конференциях о том, как технологии могут улучшить кибербезопасность критических систем и людей, зависящих от них.

Майк построил карьеру в IT здравоохранения, включая работу в Министерстве здравоохранения и социальных служб США, GE Healthcare и консалтинговой фирме Leavitt Partners. Его страсть к отрасли коренится в личном опыте — он страдает сахарным диабетом 1 типа и использует подключенные технологии для лечения.