Закрытие пробелов IoT-безопасности через оптимизацию цепочки поставок

Традиционные тактики кибербезопасности часто недостаточны при защите Интернета вещей (IoT) устройств. Многие производители полагаются на изолированные системы, защищающие только от известных угроз, оставляя более широкие, الناشвающие риски неадресованными. Более холстический подход — переопределение IoT цепочки поставок как «Supply Chain of Trust» (Цепочка поставок доверия) — предлагает практический путь к надежной безопасности.

В 2016 году IoT Security Foundation ввела термин Supply Chain of Trust, подчеркивая, что ни одна энтити не владеет IoT-безопасностью. Вместо этого каждый вендор в экосистеме разделяет ответственность за защиту своих прямых клиентов и более широкой сети.

Для производителей это означает прослеживание каждого софт- и хардварного компонента, оценку его позы безопасности и владение защитой на каждом слое. Это прямой, но часто упускаемый принцип, который может драматически снизить уязвимости.

Проблема

По данным Gartner, глобальный IoT-рынок вырос с 6 миллиардов устройств в 2016 году до ожидаемых 8 миллиардов в 2017 — увеличение, сигнализирующее о быстром принятии по отраслям. Тем не менее, большинство компаний фокусируются исключительно на дизайне продукта, пренебрегая безопасностью компонентов, питающих эти устройства.

Рассмотрите фирму, запускающую новый Wi-Fi-включенный гаджет. Вместо разработки проприетарного Wi-Fi чипа, она, вероятно, будет sourcing массово-произведенный чип от стороннего поставщика. Если производитель не проверяет источник чипа, прошивку и потенциальные векторы атаки, результирующее устройство наследует те слабости, делая весь продукт уязвимым.

Потому что безопасность IoT-устройства так же сильна, как ее слабое звено, упущение целостности компонента становится системным риском. Отсутствие стандартизированного кибер-говернанса и отраслевого принятия лучших практик топливает этот разрыв.

Что такое решение?

В долгосрочной перспективе, индустрийные программы сертификации предоставят четкий бенчмарк для безопасных IoT-продуктов. Пока такие стандарты зреют, два практических шага могут укрепить защиту сегодня.

Во-первых, покупатели — будь то индивидуалы или энтерпрайзы — должны проводить due diligence на вендорах с доказанными записями безопасности. При оценке стоимости, фактор в потенциальные расходы на утечку, которые могли возникнуть от развертывания незащищенных устройств.

Во-вторых, производители должны интегрировать безопасность в каждый хардварный компонент. Taser, например, устанавливает внутреннюю кросс-функциональную команду, оценивающую железо, софт и безопасность до выхода любого продукта на рынок. Эта проактивная стратегия гарантирует, что каждый компонент выровнен с общей архитектурой безопасности и проходит строгую пенетестрацию.

В отсутствие универсальных сертификаций, ответственность лежит на компаниях, чтобы встраивать безопасность по всей цепочке поставок. Делая так, они могут закрыть критические пробелы и построить доверие в устройства, которые они доставляют.