يضع قانون الأمن السيبراني لإنترنت الأشياء عبئًا أمنيًا على صانعي الأجهزة

يعد قانون الأمن السيبراني لإنترنت الأشياء بداية جيدة لمحترفي إنترنت الأشياء لتنفيذ المزيد من ميزات الأمان على الأجهزة. ومع ذلك، فإن تأمين الأصول من خلال التدابير الاستباقية، بما في ذلك تقييمات الضعف وبرامج الكشف، هي خيارات يمكن أن تدعم مجتمع البناء الأوسع في مكافحة الجهات الفاعلة السيئة.

تم التوقيع عليه ليصبح قانونًا في ديسمبر 2020، تشريع من الحزبين يجبر أي جهاز إنترنت الأشياء (IoT) الذي تم شراؤه بأموال حكومية على تلبية الحد الأدنى من معايير الأمان.

في حين أن القانون يعني أن الحكومات يمكن أن تتوقع أجهزة إنترنت الأشياء أكثر أمانًا، إلا أن المسؤولية تقع على عاتق الشركات المصنعة وصانعي الأجهزة لتعزيز أمان الأجهزة.

يحتاج المطورون إلى التحرك الآن لتأمين الأجهزة

أصبح تنفيذ التدابير الأمنية أكثر أهمية بالنسبة لأولئك الذين يزودون الحكومة، على الرغم من أن المشهد الأوسع لإنترنت الأشياء يوصف أحيانًا بأنه الغرب المتوحش نظرًا لافتقاره إلى معايير أمنية صارمة ومشتركة.

وعلى الرغم من ذلك، فمن المهم للغاية أن يقوم صانعو الأجهزة بتنفيذ تدابير الأمن السيبراني الآن، كما أكد المؤسس والرئيس التنفيذي لشركة برمجيات أمن إنترنت الأشياء BG Networks، كولين دوغان. وحذر من أن أجهزة إنترنت الأشياء تعد أهدافًا رئيسية للنشاط الضار.

وأضاف أنه ليس هناك شك على الإطلاق في أن المجرمين والدول القومية المتناحرة يبحثون الآن وفي المستقبل عن نقاط الضعف في أجهزة إنترنت الأشياء المتصلة بالشبكة ويكشفونها - تمامًا كما يكشفون حاليًا عن نقاط الضعف في أنظمة تكنولوجيا المعلومات.

واقترح دوغان أن الجهات الفاعلة الخبيثة تختبر باستمرار حدود أهدافها اختراق كاميرا Verkada الأمنيةs تسليط الضوء على أن هؤلاء الممثلين لا يحتاجون إلى نية دافعة واضحة وراءهم، حيث أن وجهة النظر الأيديولوجية المزعومة أدت إلى الرغبة في اختراق الأجهزة.

وقد وضع المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST) المعايير إطار الأمن السيبراني، ولكنه ليس نهجًا واحدًا يناسب الجميع.

وقال دوغان إنه يجب على صانعي الأجهزة وصانعي الأجهزة ملاحظة أن بعض الأجهزة تحتاج إلى أن تكون أكثر أمانًا من غيرها - إما أن تكون البيانات التي تحتوي عليها أكثر حساسية أو أن الانتهاكات قد تسبب مشكلات محتملة تتعلق بالسلامة أو التشغيل حيث أن العديد من أجهزة إنترنت الأشياء تتحكم في الأشياء والإجراءات المادية.

ردد يانيف نيسنبويم، نائب رئيس تطوير الأعمال في شركة Vdoo، رأي دوجان، مشيرًا إلى أنه يجب على صانعي الأجهزة البدء في "التخطيط لهذه الإرشادات الآن" حتى يكونوا مستعدين للعمل والتخفيف منها بمجرد أن تتشكل اللوائح الجديدة بالفعل.

التأثير طويل المدى لقانون الأمن السيبراني لإنترنت الأشياء

على المدى القصير، لن يعد الأمن السيبراني لأجهزة إنترنت الأشياء بمثابة فكرة لاحقة، مع إعطاء السوق الخاصة ضوءًا ساطعًا في السماء ليتبعه كمثال.

ومع ذلك، فإن التأثير طويل المدى للقانون يضع عبئًا أكبر على صانعي الأجهزة للتفكير مليًا في تطبيقات الأمان.

وشدد بريان كاربنتر، مدير تطوير الأعمال في CyberArk، على أنه يجب على مصنعي الأجهزة وصانعي الأجهزة التفكير في كيفية تنفيذ هذه اللوائح المعلقة وكيف يمكن للعملاء إدارة وتأمين الاتصالات من وإلى أجهزة إنترنت الأشياء.

وقال كاربنتر: "العملاء... لا يريدون المزيد من الحلول الأمنية المنعزلة التي تدير جزءًا من مخاطرهم - إنهم بحاجة إلى رؤية واحدة للمخاطر التي يواجهونها لإدارتها بشكل صحيح".

وقال إن مطوري إنترنت الأشياء الذين يقومون بإنشاء أجهزة ذات تدابير متزايدة وفعالة، مثل تحديثات البرامج الثابتة الآمنة والتصحيحات وإدارة الهوية، سيكونون قادرين على التوافق مع استراتيجيات تخفيف المخاطر الخاصة بعملائهم والحصول على ميزة تنافسية.

لم يكن صانعو الأجهزة وصانعو الأجهزة محور هذا التشريع - بعد أن أجرى السياسيون الأمريكيون من الحزبين الجمهوري والديمقراطي عددًا كبيرًا من التغييرات التنظيمية التي تهدف إلى منع الدول المارقة من التدخل في البنية التحتية التكنولوجية للبلاد. في حين أن هذه القضية تزايدت مع مرور الوقت، مع وجود العديد من التشريعات التي تهدف إلى الحد من الفوضى التي تسببها أمثال روسيا, الصين, إيرانو كوريا الشمالية، فإن هذا التغيير بالذات سيساعد بالتأكيد شركات البناء على المدى الطويل.

من خلال توفير إرشادات حول ما يشكل أمانًا قويًا، سيحتاج المصنعون إلى تلبية احتياجات العملاء في نهاية المطاف، مع احتمال أن تتحول إرشادات NIST إلى تشريعات جديدة، سواء على المستوى الفيدرالي أو مستوى الولاية، كما اقترح كاربنتر.

التعريف الواسع هو تعريف جيد

وقال دوغان إن تعريف التشريع لأجهزة إنترنت الأشياء "جيد لأن الأجهزة ذات واجهات الشبكة يمكن أن تضيف نقاط ضعف إلى الشبكة".

قانون الأمن السيبراني لإنترنت الأشياء تعريف ما يشكل جهاز إنترنت الأشياء تنص على ما يلي: يجب أن يحتوي الجهاز "على محول طاقة واحد على الأقل (مستشعر أو مشغل) للتفاعل مباشرة مع العالم المادي، وأن يكون له واجهة شبكة واحدة على الأقل."

وقال دوجان إن هذا يعني أن القانون يلقي شبكة واسعة مع توضيح أيضًا أن الهواتف الذكية أو أجهزة الكمبيوتر المحمولة غير مدرجة لأن "تنفيذ ميزات الأمن السيبراني مفهوم جيدًا بالفعل".

لكن القيد الذي أشار إليه يتعلق بعدم وجود تفويض محدد من شأنه أن يجبر الوكالات الحكومية على إضافة الأمن السيبراني إلى الأجهزة.

وأشار دوغان إلى لجنة الأمم المتحدة الاقتصادية لأوروبا (UNECE) WP.29 لوائح السيارات، والتي تنص على أنه بحلول يوليو 2024 جميع المركبات المنتجة حديثا يجب أن يشمل الأمن السيبراني على أساس نهج الأمن حسب التصميم ويكونون قادرين على إجراء تحديثات البرامج.

ووصف قانون الأمن السيبراني لإنترنت الأشياء بأنه "ليس بنفس قوة متطلبات لجنة الأمم المتحدة الاقتصادية لأوروبا"، وأنه فيما يتعلق بتحسين الأمن، فإن مطابقة ما تفعله لجنة الأمم المتحدة الاقتصادية لأوروبا سيكون خطوة جيدة. وأضاف: "إن تنظيم [UNECE] يفرض التغيير في صناعة السيارات لتنفيذ الأمن السيبراني المطلوب في السيارات على نطاق واسع".

وفيما يتعلق بالقيود الأخرى المفروضة على صانعي الأجهزة وبناتها، ذكر نيسينبويم أن القانون ينطبق فقط على الشركات التي تبيع أجهزة إنترنت الأشياء للحكومة الفيدرالية. وعلى الرغم من ذلك، فقد اعترف بأن حكومات الولايات والشركات الخاصة ستتطلع أيضًا إلى تبني مبادئها وإرشاداتها.

وأضاف: "بالإضافة إلى ذلك، هناك مجموعة متزايدة من المعايير واللوائح الدولية للأمن السيبراني لإنترنت الأشياء قيد التطوير"، مضيفًا أن اللوائح ستساعد في فرض مستويات أمان أعلى على مليارات الأجهزة المتصلة التي يتم إنتاجها كل عام في مختلف القطاعات.

المشكلات التي لا يزال يتعين معالجتها فيما يتعلق بقانون الأمن السيبراني لإنترنت الأشياء

وفي حين أشاد المراقبون باللوائح التنظيمية، إلا أن هناك مشكلات لا تزال قائمة بالنسبة لصانعي الأجهزة ومصنعيها - وخاصة أولئك الذين لا يبيعون إلى حكومة الولايات المتحدة.

يحتاج البناة إلى التراجع لتقييم الآثار المترتبة على هذا الفعل. على الرغم من أن القانون لا يجبرهم على تنفيذ التقييمات الأمنية على الأجهزة، ولكن مع ارتفاع أعداد الهجمات بشكل كبير، قد تكون الإرشادات مطلوبة لدرء الانتهاكات.

وقال نيسينبويم إن مثل هذه التحليلات والمراقبة يجب أن تتم آليًا وإدارتها من قبل كل من أصحاب المصلحة في مجال أمن المنتج والهندسة الذين سيتعين عليهم تولي هذه العمليات المهمة.

حذر كاربنتر من CyberArk من أن الاتصالات عن بعد بأجهزة إنترنت الأشياء لا تزال تمثل تحديًا كبيرًا فيما يتعلق بتحديثات البرامج الثابتة وإدارة بيانات الاعتماد والصيانة.

وأعرب كاربنتر عن أمله في رؤية بعض الأمور المتعلقة بتلك القضايا غير المنظمة حاليًا في المبادئ التوجيهية النهائية؛ وأضاف: "خاصة مع استمرار تكاثر القوى العاملة".