企業(yè)組織必須采取一種“Security by Design”（安全設(shè)計(jì)方法），以最佳姿態(tài)應(yīng)對(duì)物聯(lián)網(wǎng)所帶來(lái)的威脅。

毋庸置疑，物聯(lián)網(wǎng)（IoT）和工業(yè)物聯(lián)網(wǎng)（IIoT）的興起為企業(yè)組織帶來(lái)了新的發(fā)展機(jī)遇，但同時(shí)，它們也為企業(yè)組織帶來(lái)了巨大的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)以及不斷擴(kuò)大的攻擊面。然而，一項(xiàng)針對(duì)企業(yè)組織對(duì)其物聯(lián)網(wǎng)設(shè)備的風(fēng)險(xiǎn)暴露情況進(jìn)行的調(diào)查發(fā)現(xiàn)，許多公司仍未意識(shí)到使用連接設(shè)備時(shí)所面臨的風(fēng)險(xiǎn)范圍，并且對(duì)這些威脅的管理表現(xiàn)出非常滯后的狀態(tài)。

安全專家建議，企業(yè)組織應(yīng)該采取一種“Security by Design”（安全設(shè)計(jì)方法）來(lái)設(shè)計(jì)和部署物聯(lián)網(wǎng)（IoT）和工業(yè)物聯(lián)網(wǎng)（IIoT）產(chǎn)品。這種方法涉及默認(rèn)將網(wǎng)絡(luò)安全實(shí)踐納入產(chǎn)品的設(shè)計(jì)以及實(shí)施環(huán)境中。

Security by Design（安全設(shè)計(jì)）通過(guò)在構(gòu)建產(chǎn)品的首個(gè)環(huán)節(jié)解決安全問(wèn)題，達(dá)到節(jié)省時(shí)間并降低成本的效果。在一項(xiàng)針對(duì)各行業(yè)和職位的4，200多名專業(yè)人士的調(diào)查中，近一半（48%）的受訪者表示，在開發(fā)或部署聯(lián)網(wǎng)產(chǎn)品或設(shè)備時(shí)，必須將DevSecOps嵌入到整個(gè)生命周期中，而且團(tuán)隊(duì)在整個(gè)部署過(guò)程中都需要進(jìn)行法律、采購(gòu)以及合規(guī)性方面的工作。

十大物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)

以下是企業(yè)組織必須解決的當(dāng)前物聯(lián)網(wǎng)環(huán)境所產(chǎn)生的十大安全風(fēng)險(xiǎn)：

1. 沒(méi)有安全和隱私計(jì)劃;

2. 缺乏所有權(quán)/管理權(quán)來(lái)推動(dòng)安全和隱私;

3. 安全性未納入產(chǎn)品和生態(tài)系統(tǒng)的設(shè)計(jì)中;

4. 對(duì)工程師和架構(gòu)師的安全意識(shí)和培訓(xùn)不足;

5. 缺乏IoT / IIoT以及產(chǎn)品安全和隱私資源;

6. 對(duì)用于檢測(cè)安全事件的設(shè)備和系統(tǒng)監(jiān)控不足;

7. 缺乏市場(chǎng)后監(jiān)管/實(shí)施安全和隱私風(fēng)險(xiǎn)管理;

8. 缺乏產(chǎn)品可見性或沒(méi)有完整的產(chǎn)品庫(kù)存;

9. 識(shí)別和處理現(xiàn)場(chǎng)和遺留產(chǎn)品的風(fēng)險(xiǎn);

10. 沒(méi)有經(jīng)驗(yàn)/不成熟的事件響應(yīng)過(guò)程。

德勤會(huì)計(jì)師事務(wù)所（Deloitte&Touche LLP）網(wǎng)絡(luò)風(fēng)險(xiǎn)服務(wù)的物聯(lián)網(wǎng)安全負(fù)責(zé)人Sean Peasley在一份新聞稿中表示：

“安全性必須嵌入到運(yùn)營(yíng)計(jì)劃的DNA中，以敦促企業(yè)創(chuàng)造出出色且安全的產(chǎn)品。如今，各種各樣的產(chǎn)品正在成為網(wǎng)絡(luò)的一部分：從烤箱到即時(shí)炊具，從3D打印機(jī)到汽車。企業(yè)組織必須考慮實(shí)際存在的問(wèn)題，并將這些新挑戰(zhàn)視為優(yōu)先處理事項(xiàng)?！?/p>

如何創(chuàng)建物聯(lián)網(wǎng)Security by Design（安全設(shè)計(jì)）

德勤公司公布的調(diào)查結(jié)果發(fā)現(xiàn)，許多企業(yè)（41%）表示，他們正在尋求行業(yè)和專業(yè)團(tuán)體的指導(dǎo)，以便在其業(yè)務(wù)中創(chuàng)建安全設(shè)計(jì)。另有28%的受訪者表示，他們期望監(jiān)管實(shí)體和機(jī)構(gòu)能夠首先制定標(biāo)準(zhǔn)，而22%的受訪者表示，他們已經(jīng)在企業(yè)內(nèi)部開展了自己的安全性做法。

德勤分析師表示，企業(yè)組織應(yīng)該首先尋求了解同行的最佳實(shí)踐和標(biāo)準(zhǔn)，然后再向監(jiān)管機(jī)構(gòu)尋求指導(dǎo)。

大約30%的受訪者表示，他們沒(méi)有使用過(guò)一套明確的產(chǎn)品網(wǎng)絡(luò)安全要求，而只有28%的受訪者表示，他們使用了行業(yè)定義的框架，41%的受訪者表示，他們使用的是客戶的框架，這表明行業(yè)在采用網(wǎng)絡(luò)安全標(biāo)準(zhǔn)方面還有漫長(zhǎng)的道路要走。

安全專家認(rèn)為，對(duì)于尋求將設(shè)計(jì)安全性實(shí)施到物聯(lián)網(wǎng)產(chǎn)品中的企業(yè)來(lái)說(shuō)，需要考慮如下五個(gè)因素：

1. 了解產(chǎn)品安全性的當(dāng)前狀態(tài)并制定網(wǎng)絡(luò)戰(zhàn)略

無(wú)論是設(shè)計(jì)聯(lián)網(wǎng)產(chǎn)品還是購(gòu)買此類產(chǎn)品在內(nèi)部實(shí)施，都必須要評(píng)估產(chǎn)品（包括其生產(chǎn)的數(shù)據(jù)）的保護(hù)方式，并制定網(wǎng)絡(luò)戰(zhàn)略以推動(dòng)改進(jìn)。

2. 建立安全設(shè)計(jì)實(shí)踐

通過(guò)需求、風(fēng)險(xiǎn)評(píng)估、威脅建模和安全測(cè)試，將設(shè)計(jì)安全性集成到產(chǎn)品本身的設(shè)計(jì)或生態(tài)系統(tǒng)體系結(jié)構(gòu)的設(shè)計(jì)之中。

3. 從頂層設(shè)定基調(diào)

確保合適的人員參與并擁有流程的所有權(quán)——從領(lǐng)導(dǎo)到相關(guān)的產(chǎn)品安全主題專家再到產(chǎn)品開發(fā)設(shè)計(jì)團(tuán)隊(duì)。

4. 擁有一支專業(yè)的團(tuán)隊(duì)，并為他們提供充足的資源

不要指望企業(yè)安全團(tuán)隊(duì)在缺乏任務(wù)資源的情況下能夠順利完成任務(wù)。建立一支專業(yè)的團(tuán)隊(duì)，該團(tuán)隊(duì)需要具備基于產(chǎn)品的經(jīng)驗(yàn)，并根據(jù)需要為其提供培訓(xùn)，以幫助他們積累知識(shí)。

5. 利用行業(yè)可用資源

與其為您的設(shè)備供應(yīng)商開發(fā)和提供獨(dú)特的調(diào)查問(wèn)卷，還不如使用公開的行業(yè)資源來(lái)得方便直接。

威脅不斷加劇，你準(zhǔn)備好了嗎？

2020 年，隨著 5G 部署持續(xù)推出，攻擊也將接踵而至。無(wú)論何時(shí)，互聯(lián)的東西越多，安全問(wèn)題就越多。而讓情況變得復(fù)雜的是，很多工業(yè)環(huán)境都部署著過(guò)時(shí)的遺留設(shè)備。惡意黑客將開始針對(duì)這些環(huán)境，帶來(lái)嚴(yán)重后果，比如對(duì)配置的非授權(quán)修改——可致工業(yè)過(guò)程未按既定方式運(yùn)轉(zhuǎn)，因而造成工業(yè)事故、斷電，甚至環(huán)境災(zāi)難。

沒(méi)有哪個(gè)產(chǎn)品設(shè)計(jì)者會(huì)想創(chuàng)建出毫無(wú)安全性可言的聯(lián)網(wǎng)產(chǎn)品。幸運(yùn)的是，鑒于目前物聯(lián)網(wǎng)安全所獲得的關(guān)注度，情況正在不斷改善?！癝ecurity by Design”（安全設(shè)計(jì)方法）也逐漸被行業(yè)認(rèn)同并付諸實(shí)踐中。

責(zé)任編輯：Ct