Стандарт ETSI EN 303 645: достаточно ли регуляторов защищают IoT-устройства?

В июне 2020 года технический комитет ETSI опубликовал EN 303 645 — комплексную базовую линию безопасности для устройств Интернета вещей, которая получила признание в сообществе информационной безопасности.

Обзор предоставляет Алан Грау, вице-президент по IoT и встроенным решениям в Sectigo.

Стандарт продолжает растущий тренд: законодатели и регуляторы признают острую необходимость защиты подключенных устройств. Закон Калифорнии SB-327, вступивший в силу в январе 2020 года, и австралийский «Проект кодекса практики: защита Интернета вещей для потребителей» 2019 года — примеры решительных действий правительств.

Когда Великобритания объявила о собственной IoT-платформе в январе 2020 года, это подчеркнуло давно существующие пробелы в безопасности устройств и готовность регуляторов их устранять.

Но остается вопрос: достаточно ли этих законов и стандартов для защиты миллиардов IoT-устройств в наших домах и бизнесе?

Как законодательство формирует безопасность IoT

Исторически IoT-устройства работали в изолированных проприетарных сетях, защищенных четким периметром. Расширение Интернета связало эти системы через TCP/IP, создав беспрецедентные преимущества интеграции для потребителей и бизнеса. IDC прогнозирует 41,6 миллиарда подключенных устройств к 2025 году — темп роста опережает эволюцию регулирования.

Регуляторная гармонизация отстает от этой быстрой экспансии. В погоне за экономически эффективными массовыми продуктами многие производители ставят скорость выхода на рынок выше надежной аутентификации и безопасности, оставляя устройства уязвимыми.

Без обязательной IoT-платформы производители выпускают устройства с минимальной встроенной безопасностью, часто полагаясь на статические учетные данные, которые слабо защищают от атак. Пока безопасность не станет обязательной, углы будут резаться. Надежное законодательство и управление необходимы для внедрения безопасности на этапе проектирования — от производства через весь жизненный цикл устройства.

Прогресс и пробелы

Прогрессивные шаги, такие как SB-327 Калифорнии, задают четкую платформу для инструментов безопасности и аутентификации следующего поколения, нацеливаясь на ботнеты, раскрывшие недостатки предыдущих практик. Однако закон действует только в Калифорнии и не имеет национальной обязательности.

ETSI EN 303 645, разработанный в сотрудничестве индустрии, академии и правительств, предлагает единую цель для стейкхолдеров. Но, как и SB-327, он не является юридически обязательным, позволяя некоторым производителям соблюдать слабые практики безопасности, потому что это дешевле или нет принуждения.

Для реальной защиты IoT передовые стандарты должны сочетаться с законодательной повесткой, обязательной для кибербезопасной платформы разработки устройств.

Почему встроенная безопасность важна

Лучшие практики теперь подчеркивают: безопасность должна быть заложена на заводе. При все более сложных цепочках поставок OEM должны гарантировать, что каждое устройство безопасно с момента выхода из цеха. Встроенная инфраструктура открытых ключей (PKI) гарантирует, что учетные данные не могут быть изменены при последующей сборке, сохраняя целостность на протяжении жизненного цикла.

Глобальные цепочки поставок — случай для мировых стандартов

Глобальная охват IoT означает, что устройства проектируются, производятся и собираются через множество границ, усиливая риски пробелов в безопасности. Необходимы координированные законодательные усилия для защиты устройств на каждом этапе, сохраняя имущество, жизнь и данные.

Автор: Алан Грау, вице-президент по IoT и встроенным решениям, Sectigo.