Почему Security-by-Design критично, когда кризис заставляет к быстрой цифровой трансформации

«Если ты не планируешь, ты планируешь провал». — Современная пословица

С пандемией COVID-19, доминирующей в заголовках, меньше голосов изучали ее длительное влияние на внедрение технологий. Кризис, вероятно, закрепит устойчивый сдвиг к автоматизации и удаленному управлению активами — охватывающим промышленные машины, HVAC-системы и цепочки поставок — и ускорит подъем виртуального ухода и телемедицины в здравоохранении.

В начале марта, когда Всемирная организация здравоохранения объявила COVID-19 пандемией, компании начали переосмыслять ключевые процессы. Самый заметный изменение — драматичный скачок в использовании инструментов коллаборации вроде Slack и Microsoft Teams, по словам Криса Кочера, управляющего директора Grey Heron. Телеконференции и телемедицина платформы — Teladoc, например — также увидели быстрый адопшн.

IoT World — крупнейшее в Северной Америке IoT-мероприятие, где стратеги, технологи и исполнители связываются, внедряя IoT, AI, 5G и edge в действие по отраслям. Забронируйте билет сейчас.

Для многих организаций удаленный доступ к системам промышленного управления (ICS) скакнул после предыдущего спада. Данные Shodan показывают почти 50 000 американских IoT-устройств, теперь экспонирующих онлайн-футпринт, и использование Remote Desktop Protocol выросло несмотря на прошлые проблемы безопасности.

«Базовый удаленный мониторинг был достаточен, когда персонал мог инспектировать машины on-site», — говорит Яссер Хан, CEO One Tech. «Сегодня, со скелетными экипажами, менеджеры заводов требуют более глубокий, реального времени инсайт в здоровье оборудования — так что автоматизация больше не опциональна».

Стратегии аварийного восстановления также эволюционируют. Нитин Кумар, CEO Appnomic, объясняет, что традиционные ответы в «ручном режиме» не достаточны, когда пандемия отрезает системную способность. «Вам нужно больше автоматизации, а не больше людей», — отмечает он, предлагая, что организации, готовые инвестировать в автоматизацию, укрепили планы непрерывности.

Брюс Шнайер знаменито предупредил в 2016 году, что «человеческое вмешательство все менее необходимо» и что «Интернет теперь чувствует, думает и действует». По мере распространения автоматизации, импликации безопасности глобально подключенного, полуавтоматизированного IoT-экосистемы растут в сложности.

Кейт Стюарт, старший директор стратегических программ Linux Foundation, предостерегает: «Чем сложнее система, тем больше вещей может пойти не так». «Мы должны понимать потенциальные сбои, смягчать вред и бустить надежность софта», — говорит она.

Secure by Design

Когда кризис заставляет быстрые перемены, secure-by-design принципы могут быть отодвинуты. Джон Ловленд из Verizon предупреждает, что «придерживаться secure-by-design сложно, когда все движутся быстро». Он призывает, чтобы команды безопасности были встроены в каждое решение вокруг новой технологии или процессов.

Боб Мартин, ко-чеир Software Trustworthiness Task Group в Industrial Internet Consortium, советует: «Привлекайте стейкхолдеров — бизнес-лидеров и операторов — в обсуждения безопасности с самого начала».

Эндрю Джеймисон, директор безопасности и технологий UL, подчеркивает, что безопасность должна быть фундаментом: «Если вы строите правильную базу, вам не придется перестраивать. Иначе вы тратите кучу времени на фикс того, что могло быть предотвращено».

Фрэнк Хиссен, независимый консультант по безопасности, отмечает, что «security-by-design редко возглавляет список приоритетов во время быстрого сдвига к удаленной работе и автоматизации». Он подчеркивает, что безопасные технологии должны применяться быстро, чтобы избежать пробелов.

Поскольку secure-by-design включает множество железа и софта компонентов, интеграция может быть сложной. Крис Кеттертон, директор solutions engineering в One Tech, предупреждает, что «вендоры, продающие „части пазла“, часто не имеют надежных мер безопасности». Расширение удаленного доступа в IoT-развертываниях требует end-to-end безопасности, от облачных или on-premise систем, доступных через VPN.

Поиск и переобнаружение баланса безопасности

Внедрение безопасности в продукты и процессы существенно, но ни один дизайн не может предвидеть каждую будущую угрозу. «Вы не можете принять решение сегодня, которое останется валидным навсегда», — говорит Джеймисон.

Существует напряжение между добавлением фич и поддержанием безопасности. Стюарт наблюдает, что пока многие консьюмерные приложения терпят краши, open-source софт, используемый в критических приложениях, должен быть dependable, так как сбои могут навредить людям.

Безопасность в конечном счете зависит от устойчивости и гибкости. Джеймисон аргументирует, что строительство только для устойчивости недостаточно, когда возникают новые уязвимости. «Вам нужна гибкость патчить, обновлять или рефакторить системы быстро».

Внедрение безопасности с начала должно также обнимать устойчивость и гибкость. «Если вы дизайните без безопасности, вы дизайните для провала», — заключает он.