企業(yè)組織必須采取一種“Security by Design”(安全設(shè)計方法)，以最佳姿態(tài)應(yīng)對物聯(lián)網(wǎng)所帶來的威脅。

毋庸置疑，物聯(lián)網(wǎng)(IoT)和工業(yè)物聯(lián)網(wǎng)(IIoT)的興起為企業(yè)組織帶來了新的發(fā)展機(jī)遇，但同時，它們也為企業(yè)組織帶來了巨大的網(wǎng)絡(luò)安全風(fēng)險以及不斷擴(kuò)大的攻擊面。然而，一項針對企業(yè)組織對其物聯(lián)網(wǎng)設(shè)備的風(fēng)險暴露情況進(jìn)行的調(diào)查發(fā)現(xiàn)，許多公司仍未意識到使用連接設(shè)備時所面臨的風(fēng)險范圍，并且對這些威脅的管理表現(xiàn)出非常滯后的狀態(tài)。

安全專家建議，企業(yè)組織應(yīng)該采取一種“Security by Design”(安全設(shè)計方法)來設(shè)計和部署物聯(lián)網(wǎng)(IoT)和工業(yè)物聯(lián)網(wǎng)(IIoT)產(chǎn)品。這種方法涉及默認(rèn)將網(wǎng)絡(luò)安全實(shí)踐納入產(chǎn)品的設(shè)計以及實(shí)施環(huán)境中。

Security by Design(安全設(shè)計)通過在構(gòu)建產(chǎn)品的首個環(huán)節(jié)解決安全問題，達(dá)到節(jié)省時間并降低成本的效果。在一項針對各行業(yè)和職位的4,200多名專業(yè)人士的調(diào)查中，近一半(48%)的受訪者表示，在開發(fā)或部署聯(lián)網(wǎng)產(chǎn)品或設(shè)備時，必須將DevSecOps嵌入到整個生命周期中，而且團(tuán)隊在整個部署過程中都需要進(jìn)行法律、采購以及合規(guī)性方面的工作。

十大物聯(lián)網(wǎng)安全風(fēng)險

以下是企業(yè)組織必須解決的當(dāng)前物聯(lián)網(wǎng)環(huán)境所產(chǎn)生的十大安全風(fēng)險：

1. 沒有安全和隱私計劃；

2. 缺乏所有權(quán)/管理權(quán)來推動安全和隱私；

3. 安全性未納入產(chǎn)品和生態(tài)系統(tǒng)的設(shè)計中；

4. 對工程師和架構(gòu)師的安全意識和培訓(xùn)不足；

5. 缺乏IoT / IIoT以及產(chǎn)品安全和隱私資源；

6. 對用于檢測安全事件的設(shè)備和系統(tǒng)監(jiān)控不足；

7. 缺乏市場后監(jiān)管/實(shí)施安全和隱私風(fēng)險管理；

8. 缺乏產(chǎn)品可見性或沒有完整的產(chǎn)品庫存；

9. 識別和處理現(xiàn)場和遺留產(chǎn)品的風(fēng)險；

10. 沒有經(jīng)驗(yàn)/不成熟的事件響應(yīng)過程。

德勤會計師事務(wù)所(Deloitte&Touche LLP)網(wǎng)絡(luò)風(fēng)險服務(wù)的物聯(lián)網(wǎng)安全負(fù)責(zé)人Sean Peasley在一份新聞稿中表示：
“安全性必須嵌入到運(yùn)營計劃的DNA中，以敦促企業(yè)創(chuàng)造出出色且安全的產(chǎn)品。如今，各種各樣的產(chǎn)品正在成為網(wǎng)絡(luò)的一部分：從烤箱到即時炊具，從3D打印機(jī)到汽車。企業(yè)組織必須考慮實(shí)際存在的問題，并將這些新挑戰(zhàn)視為優(yōu)先處理事項。”

如何創(chuàng)建物聯(lián)網(wǎng)Security by Design(安全設(shè)計)

德勤公司公布的調(diào)查結(jié)果發(fā)現(xiàn)，許多企業(yè)(41%)表示，他們正在尋求行業(yè)和專業(yè)團(tuán)體的指導(dǎo)，以便在其業(yè)務(wù)中創(chuàng)建安全設(shè)計。另有28%的受訪者表示，他們期望監(jiān)管實(shí)體和機(jī)構(gòu)能夠首先制定標(biāo)準(zhǔn)，而22%的受訪者表示，他們已經(jīng)在企業(yè)內(nèi)部開展了自己的安全性做法。

德勤分析師表示，企業(yè)組織應(yīng)該首先尋求了解同行的最佳實(shí)踐和標(biāo)準(zhǔn)，然后再向監(jiān)管機(jī)構(gòu)尋求指導(dǎo)。

大約30%的受訪者表示，他們沒有使用過一套明確的產(chǎn)品網(wǎng)絡(luò)安全要求，而只有28%的受訪者表示，他們使用了行業(yè)定義的框架，41%的受訪者表示，他們使用的是客戶的框架，這表明行業(yè)在采用網(wǎng)絡(luò)安全標(biāo)準(zhǔn)方面還有漫長的道路要走。

安全專家認(rèn)為，對于尋求將設(shè)計安全性實(shí)施到物聯(lián)網(wǎng)產(chǎn)品中的企業(yè)來說，需要考慮如下五個因素：

1. 了解產(chǎn)品安全性的當(dāng)前狀態(tài)并制定網(wǎng)絡(luò)戰(zhàn)略

無論是設(shè)計聯(lián)網(wǎng)產(chǎn)品還是購買此類產(chǎn)品在內(nèi)部實(shí)施，都必須要評估產(chǎn)品(包括其生產(chǎn)的數(shù)據(jù))的保護(hù)方式，并制定網(wǎng)絡(luò)戰(zhàn)略以推動改進(jìn)。

2. 建立安全設(shè)計實(shí)踐

通過需求、風(fēng)險評估、威脅建模和安全測試，將設(shè)計安全性集成到產(chǎn)品本身的設(shè)計或生態(tài)系統(tǒng)體系結(jié)構(gòu)的設(shè)計之中。

3. 從頂層設(shè)定基調(diào)

確保合適的人員參與并擁有流程的所有權(quán)——從領(lǐng)導(dǎo)到相關(guān)的產(chǎn)品安全主題專家再到產(chǎn)品開發(fā)設(shè)計團(tuán)隊。

4. 擁有一支專業(yè)的團(tuán)隊，并為他們提供充足的資源

不要指望企業(yè)安全團(tuán)隊在缺乏任務(wù)資源的情況下能夠順利完成任務(wù)。建立一支專業(yè)的團(tuán)隊，該團(tuán)隊需要具備基于產(chǎn)品的經(jīng)驗(yàn)，并根據(jù)需要為其提供培訓(xùn)，以幫助他們積累知識。

5. 利用行業(yè)可用資源

與其為您的設(shè)備供應(yīng)商開發(fā)和提供獨(dú)特的調(diào)查問卷，還不如使用公開的行業(yè)資源來得方便直接。

威脅不斷加劇，你準(zhǔn)備好了嗎?

2020 年，隨著 5G 部署持續(xù)推出，攻擊也將接踵而至。無論何時，互聯(lián)的東西越多，安全問題就越多。而讓情況變得復(fù)雜的是，很多工業(yè)環(huán)境都部署著過時的遺留設(shè)備。惡意黑客將開始針對這些環(huán)境，帶來嚴(yán)重后果，比如對配置的非授權(quán)修改——可致工業(yè)過程未按既定方式運(yùn)轉(zhuǎn)，因而造成工業(yè)事故、斷電，甚至環(huán)境災(zāi)難。

沒有哪個產(chǎn)品設(shè)計者會想創(chuàng)建出毫無安全性可言的聯(lián)網(wǎng)產(chǎn)品。幸運(yùn)的是，鑒于目前物聯(lián)網(wǎng)安全所獲得的關(guān)注度，情況正在不斷改善。“Security by Design”(安全設(shè)計方法)也逐漸被行業(yè)認(rèn)同并付諸實(shí)踐中。
責(zé)任編輯；zl