NIST публикует черновик рекомендаций по укреплению безопасности IoT-устройств для производителей

Новые рекомендации NIST предлагают добровольные действия, связанные с кибербезопасностью, которые производители должны рассмотреть выполнение перед продажей своих IoT-устройств клиентам.

Национальный институт стандартов и технологий (NIST) опубликовал второй черновик своих рекомендаций для производителей устройств Интернета вещей (IoT).

В нем федеральное агентство задает серию вопросов и оценок, которые должны быть проведены перед коммерциализацией, направленных на «снижение распространенности и тяжести компромиссов IoT-устройств».

Основные моменты включают:

• Определить ожидаемых клиентов и определить ожидаемые сценарии использования для IoT-устройств: Это первый пункт NIST, и он очень важен. Выясняя, для чего будет использоваться устройство, где оно будет использоваться и к чему будет подключено, производитель может выявить слабые места и укрепить их до продажи.

• Исследовать цели кибербезопасности клиентов: Это следует из первого пункта, выявления слабых мест перед отгрузкой устройства. NIST спрашивает, как устройство будет взаимодействовать с физическим миром, как к нему будет получен доступ, кто будет его мониторить, какие данные оно будет хранить и какие регуляции оно должно соблюдать. Калифорния недавно приняла государственный закон о безопасности IoT, мы можем ожидать, что больше штатов и стран сделают то же самое в этом году.

• Определить, как решать цели клиентов: После выяснения внешних угроз производители устройств должны посмотреть на усиление встроенной безопасности, выясняя идентификацию устройства, конфигурацию, защиту данных, логические ограничения доступа, обновления ПО и прошивки.

• Определить подходы для общения с клиентами: После выхода продукта в продажу производителям нужно уметь общаться с клиентами по любым вопросам. NIST рекомендует производителям делать информацию максимально легкой для понимания и доступа.

• Решить, что сообщать клиентам и как это сообщать: Одна из крупнейших тревог покупателей — что их устройство потеряет всю функциональность, когда производитель прекратит поддержку. NIST рекомендует производителю быть честным с клиентом о том, как долго он намерен предоставлять поддержку и какая функциональность у устройства будет после окончания поддержки.