L'IoT Cybersecurity Act impone la sicurezza ai produttori di dispositivi

L'IoT Cybersecurity Act è un buon inizio per i professionisti dell'IoT per implementare più funzionalità di sicurezza sui dispositivi. Tuttavia, la protezione delle risorse attraverso misure proattive, tra cui valutazioni di vulnerabilità e programmi di divulgazione, sono opzioni che potrebbero sostenere la più ampia comunità di costruttori nella lotta contro i malintenzionati.

Firmato in legge nel dicembre 2020, il legislazione bipartisan costringe qualsiasi dispositivo Internet of Things (IoT) acquistato con denaro del governo a soddisfare gli standard minimi di sicurezza.

Sebbene la legge significhi che i governi possono aspettarsi dispositivi IoT più sicuri, spetta ai costruttori e ai produttori di dispositivi rafforzare la sicurezza dei dispositivi.

I costruttori devono agire ora per proteggere i dispositivi

L'implementazione di misure di sicurezza è diventata più essenziale per coloro che riforniscono il governo, anche se il più ampio panorama IoT è talvolta caratterizzato come il selvaggio West data la sua mancanza di rigorosi standard di sicurezza comuni.

Nonostante ciò, tuttavia, è di fondamentale importanza che i produttori di dispositivi implementino subito misure di sicurezza informatica, ha sottolineato il fondatore e CEO della società di software di sicurezza IoT BG Networks, Colin Duggan. Ha avvertito che i dispositivi IoT sono i bersagli principali di attività dannose.

Non c'è assolutamente alcun dubbio che ora e in futuro i criminali e gli stati nazione avversari stiano cercando ed esponendo i punti deboli nei dispositivi IoT che sono collegati in rete, proprio come stanno attualmente esponendo i punti deboli nei sistemi IT, ha affermato.

Duggan ha suggerito che gli attori malintenzionati testino costantemente i limiti dei loro obiettivi. Il recente Violazione della telecamera di sicurezza di Verkadas evidenziare che questi attori non hanno bisogno di un chiaro intento motivante dietro di loro, poiché un presunto punto di vista ideologico ha spinto il desiderio di penetrare nei dispositivi.

Il National Institute of Standards and Technology (NIST) degli Stati Uniti ha definito il Quadro di sicurezza informatica, ma non è un approccio unico per tutti.

Costruttori e produttori di dispositivi dovrebbero tenere presente che alcuni dispositivi devono essere più sicuri di altri: i dati che contengono sono più sensibili o le violazioni potrebbero causare potenziali problemi di sicurezza o operativi poiché molti dispositivi IoT controllano cose e azioni fisiche, ha affermato Duggan.

Yaniv Nissenboim, vicepresidente dello sviluppo aziendale di Vdoo, ha fatto eco a Duggan, indicando che i produttori di dispositivi dovrebbero iniziare a "associarsi a queste linee guida ora" in modo che possano essere pronti ad agire e mitigarle una volta che le nuove normative prenderanno davvero forma.

Impatto a lungo termine dell'IoT Cybersecurity Act

A breve termine, la sicurezza informatica dei dispositivi IoT non sarà più considerata un ripensamento, con il mercato privato dato una luce splendente nel cielo da seguire come esempio.

L'impatto a lungo termine dell'atto, tuttavia, impone ai produttori di dispositivi un onere maggiore per riflettere attentamente sulle implementazioni della sicurezza.

Brian Carpenter, direttore dello sviluppo aziendale di CyberArk, ha sottolineato che i produttori e i costruttori di dispositivi dovrebbero considerare come verranno applicate queste normative in sospeso e come i clienti possono gestire e proteggere le connessioni da e verso i dispositivi IoT.

"I clienti... non vogliono più soluzioni di sicurezza isolate che gestiscano una parte del loro rischio: hanno bisogno di una vista unica dei loro rischi per gestirli correttamente", ha affermato Carpenter.

I costruttori di IoT che creano dispositivi con misure maggiori ed efficaci, come aggiornamenti sicuri del firmware, patch e gestione delle identità, saranno in grado di adattarsi alle strategie di mitigazione del rischio dei loro clienti e ottenere un vantaggio competitivo, ha affermato.

Costruttori e produttori di dispositivi non erano al centro di questa legislazione, dopo che i politici statunitensi bipartisan hanno apportato una pletora di modifiche normative volte a frenare le nazioni canaglia dall'interferire con l'infrastruttura tecnologica del paese. Sebbene tale problema sia cresciuto nel tempo, con diversi atti legislativi volti a frenare il caos causato da artisti del calibro di Russia, Cina, Irane Corea del nord, questo particolare cambiamento aiuterà sicuramente i costruttori a lungo termine.

Fornendo linee guida su ciò che costituisce una sicurezza forte, i produttori dovranno in definitiva soddisfare le esigenze dei clienti, con le linee guida del NIST che probabilmente si trasformeranno in una nuova legislazione, sia a livello federale che statale, ha suggerito Carpenter.

Una definizione ampia è una buona definizione

Duggan ha affermato che la definizione della legislazione per i dispositivi IoT "è buona perché i dispositivi con interfacce di rete possono potenzialmente aggiungere vulnerabilità alla rete".

La legge sulla sicurezza informatica dell'IoT definizione di cosa costituisce un dispositivo IoT afferma: un dispositivo deve “avere almeno un trasduttore (sensore o attuatore) per interagire direttamente con il mondo fisico, avere almeno un'interfaccia di rete”.

Duggan ha affermato che ciò significa che la legge getta un'ampia rete pur essendo chiaro che gli smartphone o i laptop non sono inclusi poiché "l'implementazione delle funzionalità di sicurezza informatica è già ben compresa".

La limitazione che ha indicato riguardava tuttavia la mancanza di un mandato specifico che costringerebbe le agenzie governative ad aggiungere la sicurezza informatica ai dispositivi.

Duggan ha fatto riferimento alla Commissione economica per l'Europa delle Nazioni Unite (UNECE) WP.29 regolamenti automobilistici, in cui si afferma che entro luglio 2024 tutti i veicoli di nuova produzione deve includere la sicurezza informatica basata su un approccio "security by design". e sono in grado di eseguire aggiornamenti software.

Ha descritto l'IoT Cybersecurity Act come "non forte come i requisiti UNECE" e che in termini di miglioramento della sicurezza, abbinare ciò che sta facendo l'UNECE sarebbe un buon passo. "Quel regolamento [UNECE] sta forzando il cambiamento nell'industria automobilistica per implementare ampiamente la sicurezza informatica necessaria nelle auto", ha aggiunto.

In termini di altre limitazioni imposte ai produttori e ai costruttori di dispositivi, Nissenboim ha ricordato che la legge si applica solo alle aziende che vendono dispositivi IoT al governo federale. Nonostante ciò, tuttavia, ha ammesso che anche i governi statali e le imprese private cercheranno di adottarne i principi e le linee guida.

"Inoltre, è in fase di sviluppo un corpo crescente di standard e regolamenti internazionali sulla sicurezza informatica IoT", ha affermato, aggiungendo che i regolamenti contribuiranno a imporre livelli di sicurezza più elevati sui miliardi di dispositivi connessi prodotti ogni anno in vari settori.

Problemi ancora da affrontare con l'IoT Cybersecurity Act

Sebbene le normative siano state elogiate dagli osservatori, permangono problemi per i produttori e i costruttori di dispositivi, in particolare quelli che non vendono al governo degli Stati Uniti.

I costruttori devono fare un passo indietro per valutare le implicazioni a rotazione dell'atto. Sebbene la legge non li obblighi a implementare valutazioni di sicurezza sui dispositivi, ma poiché il numero degli attacchi sale alle stelle, potrebbe essere necessaria la guida per deviare le violazioni.

Nissenboim ha affermato che tali analisi e monitoraggio dovranno essere automatizzati e gestiti sia dalla sicurezza del prodotto che dalle parti interessate dell'ingegneria che dovranno assumersi questi importanti processi.

Carpenter di CyberArk ha avvertito che le connessioni remote ai dispositivi IoT rappresentano ancora una sfida importante in termini di aggiornamenti del firmware, gestione delle credenziali e manutenzione.

Carpenter ha espresso la speranza di vederne alcune relative a quelle questioni attualmente non regolamentate nelle linee guida finali; "in particolare mentre la forza lavoro continua a proliferare", ha aggiunto.