市场规模年增长超22% 物联网正面临五个方面的安全挑战

2022-09-13

从心脏起搏器到自动驾驶汽车，以前孤立运行的设备已经连接到互联网。这为用户提供了巨大的价值，甚至智能医疗设备可以挽救患者的生命。但随着互联互通带来巨大价值的同时，也可能会带来更大的风险。

市场规模年增长超22% 物联网正面临五个方面的安全挑战(图1)

从理论上来说，物联网(IoT)基础设施甚至比服务器和工作站更安全，因为人工流程通常是基于云计算的基础设施中最脆弱的部分。

但作为一项面临爆炸性增长的新技术，随着新技术、法规、用例和威胁的出现，物联网设备安全可能成为一个不断变化的目标。而且风险很高，因为医疗设备、军事设备、个人车辆或主要公共设施受到损害的数据泄露的潜在后果可能会危及人身安全。

物联网是传统IT和网络安全人员的新世界。他们目前的专业知识可以通过多种方式应用于这场新的物联网革命，但也必须面对一些新的挑战。

挑战1：满足规模需求

机械制造厂通常每月生产大量设备，每台设备都有自己的证书和身份。必须在下线后尽快颁发证书。

简单地维护所有已颁发证书的清单，更不用说监控和更新它们，这是一项重大任务，尤其是对于生命周期较短的证书。

42%的企业仍然使用电子表格人工跟踪数字证书，57%的企业没有准确的SSH密钥清单。因此，多达40%的机器身份没有被跟踪。

挑战2：零信任

控制车载安全、传动系统和信息娱乐系统的汽车电子控制单元(ECU)是在一个庞大的供应链中制造的，具有多个可能被威胁者利用的入口点。

该供应链的产品被部署到可能采用数十年历史的安全控制的未知环境中。制造商不能让其产品的安全性依赖于最终用户，因为与产品相关的数据泄露可能会损害制造商的声誉，即使这一泄露最终是用户造成的错误。

物联网技术必须采取零信任方法来保护人类和机器身份的安全。这种方法，其中拒绝访问是默认设置，并且仅根据严格的标准授予访问权限，它不仅将安全性作为一项功能加以固定，还将其作为整个产品生命周期的设计元素融入其中。

此外，该设备必须与广泛的相邻系统集成，其中一些系统可能不遵守同样严格的安全标准。物联网领域的法规和行业标准仍在形成，因此制造商面临这些系统之间工具差异的挑战。保护产品同时使其具有互操作性可能是一项艰巨的任务。

挑战3：平台限制

安全性从来不是物联网设备的卖点。市场上重要的是产品的性能、能源效率、成本等。物联网产品销售商不能通过将安全性作为价值主张向客户收取更高的产品费用。因此，制造商必须注意安全措施不会对可用性和效率产生不利影响。

安全考虑必须贯穿整个产品开发和制造过程，以免它们成为笨重的附加组件。如果安全性从一开始就是工作流程的一部分，即“设计安全”，它将在产品发布周期中产生更少的摩擦，并减少对利润率的侵蚀。

挑战4：平衡安全性和功能性

在制造设备的设计过程中，安全通常不是首要事项。客户主要关心产品的性能如何，是否具备他们需要的所有功能，以及成本是多少。让商业领袖能够监督整个互联网的运营是一个巨大的价值驱动因素，但设备连接的所有东西都会带来新的风险。产品设计师必须考虑平衡安全性和互连性，以防止潜在的数据泄露可能对企业声誉造成损害。

这种平衡行为可能很困难，尤其是在设计阶段倾向于敏捷或DevOps模型的情况下。设计师在变化和创新中茁壮成长，而安全人员则在停滞和可预测性中找到稳定性。设计师可能不希望安全人员参与，因为者可能不够灵活，无法妥协。

挑战5：满足合规标准

物联网将在未来几年内发生大量演变。新的用例、技术和威胁将催生新的法规。但是，如果安全性不是物联网开发人员的首要任务，那么合规性将永远是一场斗争。

目前，围绕物联网安全的监管环境是脱节的。美国国家标准与技术研究院（NIST）发布本国的法规，但其他国家/地区有自己的制裁机构和标准。例如电动汽车法规涵盖公钥基础设施(PKI)，但这些法规因地区而异。与其他安全标准相比，IEC62443等标准经常被讨论。加利福尼亚州的SB：327法规是美国第一部针对物联网的法律。

在全球发布产品的企业必须制造符合多个监管环境（例如欧洲的GDPR、中国的PIPL、巴西的LGPD）的安全性产品。这些隐私法规正在扩展到包括物联网设备，一些组织可能得到熟悉所有标准的专业顾问的帮助。