IoT-Cybersecurity-Gesetz legt den Geräteherstellern die Verantwortung für die Sicherheit auf

Der IoT Cybersecurity Act ist ein guter Anfang für IoT-Profis, um mehr Sicherheitsfunktionen auf Geräten zu implementieren. Die Sicherung von Vermögenswerten durch proaktive Maßnahmen, einschließlich Schwachstellenbewertungen und Offenlegungsprogrammen, sind jedoch Optionen, die die breitere Bauherrengemeinschaft im Kampf gegen schlechte Akteure unterstützen könnten.

Das Gesetz wurde im Dezember 2020 unterzeichnet parteiübergreifende Gesetzgebung zwingt jedes mit Regierungsgeldern gekaufte Internet-of-Things-Gerät (IoT) dazu Mindestsicherheitsstandards erfüllen.

Während das Gesetz bedeutet, dass Regierungen sicherere IoT-Geräte erwarten können, liegt die Verantwortung bei Herstellern und Geräteherstellern, die Gerätesicherheit zu verbessern.

Bauherren müssen jetzt handeln, um Geräte zu sichern

Die Umsetzung von Sicherheitsmaßnahmen ist für die Zulieferer der Regierung immer wichtiger geworden, auch wenn die IoT-Landschaft im weiteren Sinne manchmal als Wilder Westen bezeichnet wird, da es an strengen, gemeinsamen Sicherheitsstandards mangelt.

Dennoch sei es von entscheidender Bedeutung, dass Gerätehersteller jetzt Cybersicherheitsmaßnahmen umsetzen, betonte Colin Duggan, Gründer und CEO des IoT-Sicherheitssoftwareunternehmens BG Networks. Er warnte, dass IoT-Geräte Hauptziele für böswillige Aktivitäten seien.

Es bestehe kein Zweifel daran, dass Kriminelle und gegnerische Nationalstaaten jetzt und in Zukunft nach Schwachstellen in vernetzten IoT-Geräten suchen und diese aufdecken – so wie sie derzeit Schwachstellen in IT-Systemen aufdecken, sagte er.

Duggan schlug vor, dass böswillige Akteure ständig die Grenzen ihrer Ziele testen Verkada-Überwachungskamera-Hacks Betonen Sie, dass diese Akteure keine klare Motivabsicht benötigen, da ein angeblicher ideologischer Standpunkt den Wunsch hervorrief, in Geräte einzudringen.

Das US-amerikanische National Institute of Standards and Technology (NIST) hat das festgelegt Cybersicherheits-Framework, aber es ist kein einheitlicher Ansatz.

Bauherren und Gerätehersteller sollten beachten, dass einige Geräte sicherer sein müssen als andere – entweder sind die darin enthaltenen Daten sensibler oder Verstöße können zu potenziellen Sicherheits- oder Betriebsproblemen führen, da viele IoT-Geräte physische Dinge und Aktionen steuern, sagte Duggan.

Yaniv Nissenboim, Vizepräsident für Geschäftsentwicklung bei Vdoo, wiederholte Duggan und wies darauf hin, dass Gerätehersteller „jetzt damit beginnen sollten, sich an diese Richtlinien zu halten“, damit sie bereit sind, zu handeln und Abhilfemaßnahmen zu ergreifen, sobald die neuen Vorschriften tatsächlich Gestalt annehmen.

Langfristige Auswirkungen des IoT Cybersecurity Act

Kurzfristig wird die Cybersicherheit von IoT-Geräten nicht länger als Nebensache betrachtet, sondern der private Markt wird als Vorbild dienen.

Die langfristigen Auswirkungen des Gesetzes stellen jedoch eine größere Verpflichtung für Gerätehersteller dar, gründlich über Sicherheitsimplementierungen nachzudenken.

Brian Carpenter, Direktor für Geschäftsentwicklung bei CyberArk, betonte, dass Gerätehersteller und -bauer darüber nachdenken sollten, wie diese anstehenden Vorschriften durchgesetzt werden und wie Kunden Verbindungen zu und von IoT-Geräten verwalten und sichern können.

„Kunden … möchten keine isolierten Sicherheitslösungen, die einen Teil ihres Risikos verwalten – sie benötigen eine einheitliche Sicht auf ihre Risiken, um diese ordnungsgemäß verwalten zu können“, sagte Carpenter.

IoT-Entwickler, die Geräte mit erweiterten und effektiven Maßnahmen wie sicheren Firmware-Updates, Patches und Identitätsmanagement entwickeln, werden in der Lage sein, sich in die Risikominderungsstrategien ihrer Kunden einzufügen und sich einen Wettbewerbsvorteil zu verschaffen, sagte er.

Bau- und Gerätehersteller standen nicht im Mittelpunkt dieser Gesetzgebung – nachdem überparteiliche US-Politiker eine Vielzahl regulatorischer Änderungen vorgenommen hatten, die darauf abzielten, Schurkenstaaten daran zu hindern, in die technologische Infrastruktur des Landes einzugreifen. Obwohl dieses Problem im Laufe der Zeit zugenommen hat, gibt es mehrere Gesetze, die darauf abzielen, die durch solche Dinge verursachten Schäden einzudämmen Russland, China, Iran und Nordkorea, wird diese besondere Änderung den Bauherren auf lange Sicht sicherlich helfen.

Durch die Bereitstellung von Richtlinien dazu, was starke Sicherheit ausmacht, müssen die Hersteller letztendlich den Kundenbedürfnissen gerecht werden, wobei die NIST-Richtlinien wahrscheinlich in neue Gesetze umgewandelt werden, entweder auf Bundes- oder Landesebene, schlug Carpenter vor.

Eine breite Definition ist eine gute Definition

Duggan sagte, dass die Definition der Gesetzgebung für IoT-Geräte „gut ist, weil Geräte mit Netzwerkschnittstellen potenziell Schwachstellen im Netzwerk hinzufügen können“.

Das IoT Cybersecurity Act Definition dessen, was ein IoT-Gerät ausmacht besagt: Ein Gerät muss „mindestens einen Wandler (Sensor oder Aktor) für die direkte Interaktion mit der physischen Welt und mindestens eine Netzwerkschnittstelle haben.“

Duggan sagte, dass dies bedeute, dass das Gesetz ein weites Netz auswirft und gleichzeitig klarstellt, dass Smartphones oder Laptops nicht darunter fallen, da „die Implementierung von Cybersicherheitsfunktionen bereits gut verstanden ist“.

Die Einschränkung, auf die er verwies, betraf jedoch das Fehlen eines spezifischen Mandats, das Regierungsbehörden dazu zwingen würde, Geräte mit Cybersicherheit zu versehen.

Duggan verwies auf die Wirtschaftskommission der Vereinten Nationen für Europa (UNECE) WP.29 Kfz-Vorschriften, die besagen, dass bis Juli 2024 alle neu produzierten Fahrzeuge muss Cybersicherheit umfassen, die auf einem Security-by-Design-Ansatz basiert und sind in der Lage, Software-Updates durchzuführen.

Er beschrieb, dass das IoT Cybersecurity Act „nicht so streng ist wie die UNECE-Anforderungen“ und dass es im Hinblick auf die Verbesserung der Sicherheit ein guter Schritt wäre, mit den Maßnahmen der UNECE übereinzustimmen. „Diese [UNECE-]Verordnung zwingt die Automobilindustrie zu Veränderungen, um die erforderliche Cybersicherheit in Autos umfassend umzusetzen“, fügte er hinzu.

In Bezug auf andere Einschränkungen für Gerätehersteller und -bauer erinnerte Nissenboim daran, dass das Gesetz nur für Unternehmen gilt, die IoT-Geräte an die Bundesregierung verkaufen. Dennoch räumte er ein, dass auch Landesregierungen und private Unternehmen versuchen werden, die Grundsätze und Richtlinien zu übernehmen.

„Darüber hinaus befindet sich eine wachsende Zahl internationaler IoT-Cybersicherheitsstandards und -Vorschriften in der Entwicklung“, sagte er und fügte hinzu, dass die Vorschriften dazu beitragen werden, höhere Sicherheitsniveaus für die Milliarden vernetzter Geräte zu erzwingen, die jedes Jahr in verschiedenen Sektoren hergestellt werden.

Noch zu lösende Probleme mit dem IoT Cybersecurity Act

Obwohl die Vorschriften von Beobachtern gelobt wurden, bleiben für Gerätehersteller und -bauer Probleme bestehen – insbesondere für diejenigen, die nicht an die US-Regierung verkaufen.

Bauherren müssen innehalten, um die weiteren Auswirkungen des Gesetzes abzuschätzen. Das Gesetz zwingt sie zwar nicht dazu, Sicherheitsbewertungen auf Geräten durchzuführen, aber angesichts der sprunghaft ansteigenden Angriffszahlen kann die Anleitung erforderlich sein, um Verstöße abzuwehren.

Nissenboim sagte, dass solche Analysen und Überwachungen sowohl von Produktsicherheits- als auch von Technikbeteiligten automatisiert und verwaltet werden müssen, die diese wichtigen Prozesse übernehmen müssen.

Carpenter von CyberArk warnte, dass Remoteverbindungen zu IoT-Geräten immer noch eine große Herausforderung in Bezug auf Firmware-Updates, Anmeldeinformationsverwaltung und Wartung darstellen.

Carpenter äußerte die Hoffnung, in den endgültigen Richtlinien einige im Zusammenhang mit den derzeit nicht geregelten Themen zu sehen; „Vor allem, da die Zahl der Arbeitskräfte weiter zunimmt“, fügte er hinzu.