พระราชบัญญัติความปลอดภัยทางไซเบอร์ของ IoT กำหนดให้ผู้สร้างอุปกรณ์มีความปลอดภัย

พระราชบัญญัติความปลอดภัยทางไซเบอร์ของ IoT เป็นจุดเริ่มต้นที่ดีสำหรับผู้เชี่ยวชาญด้าน IoT ในการปรับใช้คุณสมบัติความปลอดภัยเพิ่มเติมในอุปกรณ์ อย่างไรก็ตาม การรักษาความปลอดภัยทรัพย์สินด้วยมาตรการเชิงรุก ซึ่งรวมถึงการประเมินความเสี่ยงและโปรแกรมการเปิดเผยข้อมูลเป็นทางเลือกที่สามารถสนับสนุนชุมชนผู้สร้างในวงกว้างในการต่อสู้กับผู้ไม่หวังดี

ลงนามในกฎหมายในเดือนธันวาคม 2020 กฎหมายสองพรรค บังคับให้อุปกรณ์ Internet of Things (IoT) ใด ๆ ที่ซื้อด้วยเงินของรัฐบาลมาที่ ตรงตามมาตรฐานความปลอดภัยขั้นต่ำ.

แม้ว่ากฎหมายจะหมายความว่ารัฐบาลสามารถคาดหวังอุปกรณ์ IoT ที่มีความปลอดภัยมากขึ้น หน้าที่ของผู้สร้างและผู้ผลิตอุปกรณ์คือการสนับสนุนความปลอดภัยของอุปกรณ์

ผู้สร้างจำเป็นต้องดำเนินการตอนนี้เพื่อรักษาความปลอดภัยให้กับอุปกรณ์

การใช้มาตรการรักษาความปลอดภัยกลายเป็นสิ่งจำเป็นมากขึ้นสำหรับผู้ที่จัดหาให้กับรัฐบาล แม้ว่าภูมิทัศน์ IoT ในวงกว้างจะมีลักษณะเฉพาะเป็น Wild West เนื่องจากขาดมาตรฐานความปลอดภัยทั่วไปที่เข้มงวด

Colin Duggan ผู้ก่อตั้งและ CEO ของบริษัทซอฟต์แวร์รักษาความปลอดภัย IoT อย่าง BG Networks ต้องใช้มาตรการรักษาความปลอดภัยทางไซเบอร์ อย่างไรก็ตาม แม้ว่าจะเป็นเช่นนั้นก็ตาม เป็นสิ่งสำคัญอย่างยิ่งที่ผู้ผลิตอุปกรณ์จะต้องใช้มาตรการรักษาความปลอดภัยทางไซเบอร์ในขณะนี้ เขาเตือนว่าอุปกรณ์ IoT เป็นเป้าหมายหลักสำหรับกิจกรรมที่เป็นอันตราย

ไม่ต้องสงสัยเลยว่าขณะนี้และในอนาคตอาชญากรและประเทศที่เป็นปฏิปักษ์กำลังมองหาและเปิดเผยจุดอ่อนในอุปกรณ์ IoT ที่เชื่อมต่อเครือข่าย เช่นเดียวกับที่กำลังเปิดเผยจุดอ่อนในระบบไอที เขากล่าว

ดักแกนแนะนำว่าผู้ประสงค์ร้ายจะทดสอบขีดจำกัดของเป้าหมายอย่างต่อเนื่อง ล่าสุด แฮ็คกล้องรักษาความปลอดภัย Verkadas เน้นว่านักแสดงเหล่านี้ไม่ต้องการเจตนาจูงใจที่ชัดเจน เนื่องจากมุมมองทางอุดมการณ์ที่ถูกกล่าวหาผลักดันความปรารถนาที่จะเจาะอุปกรณ์ต่างๆ

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐฯ (NIST) ได้กำหนด กรอบความปลอดภัยทางไซเบอร์แต่มันไม่ใช่วิธีเดียวที่เหมาะกับทุกแนวทาง

ผู้สร้างและผู้ผลิตอุปกรณ์ควรทราบว่าอุปกรณ์บางอย่างจำเป็นต้องมีความปลอดภัยมากกว่าอุปกรณ์อื่นๆ ไม่ว่าข้อมูลที่มีอยู่จะมีความละเอียดอ่อนหรือการละเมิดอาจก่อให้เกิดปัญหาด้านความปลอดภัยหรือการปฏิบัติงานที่อาจเกิดขึ้น เนื่องจากอุปกรณ์ IoT จำนวนมากควบคุมสิ่งทางกายภาพและการกระทำ Duggan กล่าว

Yaniv Nissenboim รองประธานฝ่ายพัฒนาธุรกิจของ Vdoo สะท้อน Duggan โดยระบุว่าผู้ผลิตอุปกรณ์ควรเริ่ม "ทำแผนที่ตามหลักเกณฑ์เหล่านี้ทันที" เพื่อให้พร้อมที่จะดำเนินการและบรรเทาผลกระทบเมื่อกฎระเบียบใหม่เป็นรูปเป็นร่างขึ้นจริงๆ

ผลกระทบระยะยาวของพระราชบัญญัติความปลอดภัยทางไซเบอร์ IoT

ในระยะสั้น การรักษาความปลอดภัยทางไซเบอร์ของอุปกรณ์ IoT จะไม่ถูกพิจารณาในภายหลัง โดยตลาดส่วนตัวได้ให้แสงสว่างบนท้องฟ้าเป็นตัวอย่าง

อย่างไรก็ตาม ผลกระทบระยะยาวของการกระทำดังกล่าว ทำให้ผู้ผลิตอุปกรณ์ต้องคิดหนักเกี่ยวกับการใช้งานความปลอดภัย

Brian Carpenter ผู้อำนวยการฝ่ายพัฒนาธุรกิจของ CyberArk เน้นว่าผู้ผลิตและผู้สร้างอุปกรณ์ควรพิจารณาวิธีการบังคับใช้กฎระเบียบที่รอดำเนินการเหล่านี้ และวิธีที่ลูกค้าสามารถจัดการและรักษาความปลอดภัยการเชื่อมต่อไปยังและจากอุปกรณ์ IoT

“ลูกค้า … ไม่ต้องการโซลูชันการรักษาความปลอดภัยแบบแยกส่วนอีกต่อไปซึ่งจัดการความเสี่ยงส่วนหนึ่ง – พวกเขาต้องการมุมมองเดียวเกี่ยวกับความเสี่ยงเพื่อจัดการอย่างเหมาะสม” คาร์เพนเตอร์กล่าว

ผู้สร้าง IoT ที่สร้างอุปกรณ์ด้วยมาตรการที่เพิ่มขึ้นและมีประสิทธิภาพ เช่น การอัปเดตเฟิร์มแวร์ที่ปลอดภัย แพตช์ และการจัดการข้อมูลประจำตัว จะสามารถปรับให้เข้ากับกลยุทธ์การลดความเสี่ยงของลูกค้าและสร้างความได้เปรียบในการแข่งขันได้

ผู้สร้างและผู้ผลิตอุปกรณ์ไม่ได้เป็นจุดสนใจของกฎหมายฉบับนี้ หลังจากที่นักการเมืองสองพรรคของสหรัฐฯ ได้ทำการเปลี่ยนแปลงด้านกฎระเบียบมากมายเพื่อควบคุมประเทศที่โกงจากการแทรกแซงโครงสร้างพื้นฐานทางเทคโนโลยีของประเทศ ในขณะที่ปัญหาดังกล่าวได้เติบโตขึ้นตามกาลเวลา โดยมีกฎหมายหลายฉบับที่มีจุดมุ่งหมายเพื่อขจัดความหายนะที่เกิดจากผู้ที่ชอบ รัสเซีย, สาธารณรัฐประชาชนจีน, อิหร่านและ เกาหลีเหนือการเปลี่ยนแปลงนี้จะช่วยผู้สร้างในระยะยาวอย่างแน่นอน

การให้แนวทางปฏิบัติเกี่ยวกับสิ่งที่ก่อให้เกิดการรักษาความปลอดภัยอย่างเข้มงวด ผู้ผลิตจะต้องตอบสนองความต้องการของลูกค้าในที่สุด โดยแนวทางของ NIST มีแนวโน้มที่จะเปลี่ยนเป็นกฎหมายใหม่ ไม่ว่าจะในระดับรัฐบาลกลางหรือระดับรัฐ คาร์เพนเตอร์แนะนำ

คำจำกัดความแบบกว้างคือคำจำกัดความที่ดี

Duggan กล่าวว่าคำจำกัดความของกฎหมายสำหรับอุปกรณ์ IoT “เป็นสิ่งที่ดีเพราะอุปกรณ์ที่มีอินเทอร์เฟซเครือข่ายสามารถเพิ่มช่องโหว่ให้กับเครือข่ายได้”

พระราชบัญญัติความปลอดภัยทางไซเบอร์ IoT คำจำกัดความของสิ่งที่ประกอบเป็นอุปกรณ์ IoT ระบุ: อุปกรณ์ต้องมีอย่างน้อยหนึ่งทรานสดิวเซอร์ (เซ็นเซอร์หรือแอคทูเอเตอร์) สำหรับการโต้ตอบโดยตรงกับโลกทางกายภาพ มีส่วนต่อประสานเครือข่ายอย่างน้อยหนึ่งตัว”

Duggan กล่าวว่านี่หมายถึงกฎหมายใช้เครือข่ายที่กว้างขวางในขณะที่ยังชัดเจนว่าสมาร์ทโฟนหรือแล็ปท็อปไม่ได้รวมอยู่ใน 'การใช้งานคุณสมบัติความปลอดภัยทางไซเบอร์นั้นเป็นที่เข้าใจกันดีอยู่แล้ว'

ข้อจำกัดที่เขาชี้ไปนั้นเกี่ยวข้องกับการขาดอาณัติเฉพาะที่จะบังคับให้หน่วยงานของรัฐเพิ่มการรักษาความปลอดภัยทางไซเบอร์ให้กับอุปกรณ์

ดักแกนอ้างถึงคณะกรรมาธิการเศรษฐกิจแห่งสหประชาชาติสำหรับยุโรป (UNECE) WP.29 กฎข้อบังคับเกี่ยวกับยานยนต์ซึ่งระบุว่าภายในเดือนกรกฎาคม 2024 ยานพาหนะที่ผลิตใหม่ทั้งหมด ต้องมีความปลอดภัยทางไซเบอร์ตามแนวทางความปลอดภัยโดยการออกแบบ และสามารถทำการอัปเดตซอฟต์แวร์ได้

เขาอธิบายว่าพระราชบัญญัติความปลอดภัยทางไซเบอร์ของ IoT นั้น “ไม่แข็งแกร่งเท่าข้อกำหนดของ UNECE” และในแง่ของการปรับปรุงความปลอดภัย การจับคู่สิ่งที่ UNECE กำลังทำอยู่จะเป็นขั้นตอนที่ดี “กฎระเบียบของ [UNECE] นั้นบังคับให้มีการเปลี่ยนแปลงในอุตสาหกรรมยานยนต์เพื่อนำการรักษาความปลอดภัยทางไซเบอร์ที่จำเป็นในรถยนต์ไปใช้ในวงกว้าง” เขากล่าวเสริม

ในแง่ของข้อจำกัดอื่นๆ เกี่ยวกับผู้ผลิตและผู้สร้างอุปกรณ์ Nissenboim ย้ำว่ากฎหมายนี้บังคับใช้เฉพาะกับบริษัทที่ขายอุปกรณ์ IoT ให้กับรัฐบาลกลางเท่านั้น อย่างไรก็ตาม อย่างไรก็ตาม เขายอมรับว่ารัฐบาลของรัฐและองค์กรเอกชนจะมองหาการนำหลักการและแนวทางมาใช้ด้วย

“นอกจากนี้ยังมีมาตรฐานและกฎระเบียบด้านความปลอดภัยทางไซเบอร์ของ IoT ระหว่างประเทศที่กำลังเติบโต” เขากล่าว พร้อมเสริมว่ากฎระเบียบดังกล่าวจะช่วยบังคับใช้ระดับความปลอดภัยที่สูงขึ้นบนอุปกรณ์เชื่อมต่อหลายพันล้านเครื่องที่ผลิตทุกปีในภาคส่วนต่างๆ

ประเด็นที่ยังต้องแก้ไขตามพระราชบัญญัติความปลอดภัยทางไซเบอร์ของ IoT

แม้ว่าผู้สังเกตการณ์จะยกย่องกฎข้อบังคับ แต่ปัญหายังคงอยู่สำหรับผู้ผลิตและผู้สร้างอุปกรณ์ โดยเฉพาะอย่างยิ่งผู้ที่ไม่ได้ขายให้กับรัฐบาลสหรัฐฯ

ผู้สร้างจำเป็นต้องยืนหยัดเพื่อประเมินผลกระทบของการกระทำ แม้ว่ากฎหมายจะไม่ได้บังคับให้พวกเขาทำการประเมินความปลอดภัยบนอุปกรณ์ แต่เมื่อจำนวนการโจมตีพุ่งสูงขึ้น แนวทางอาจจำเป็นเพื่อเบี่ยงเบนการละเมิด

Nissenboim กล่าวว่าการวิเคราะห์และการตรวจสอบดังกล่าวจะต้องเป็นไปโดยอัตโนมัติและจัดการโดยทั้งความปลอดภัยของผลิตภัณฑ์และผู้มีส่วนได้ส่วนเสียด้านวิศวกรรมซึ่งจะต้องดำเนินการตามกระบวนการที่สำคัญเหล่านี้

Carpenter ของ CyberArk เตือนว่าการเชื่อมต่อระยะไกลกับอุปกรณ์ IoT ยังคงมีความท้าทายที่สำคัญในแง่ของการอัปเดตเฟิร์มแวร์ การจัดการข้อมูลประจำตัว และการบำรุงรักษา

ช่างไม้แสดงความหวังว่าจะเห็นบางประเด็นที่เกี่ยวข้องกับประเด็นที่ไม่ได้รับการควบคุมในปัจจุบันในแนวทางสุดท้าย “โดยเฉพาะอย่างยิ่งในขณะที่แรงงานยังคงเพิ่มจำนวนขึ้นเรื่อยๆ” เขากล่าวเสริม