Bagaimana tweak pada rantai pasokan IoT dapat menutup celah keamanan
Dalam hal Internet of Things, pendekatan keamanan siber tradisional sulit untuk diintegrasikan dan tidak dapat menjaga keamanan perangkat operasional. Banyak perangkat tertanam mendekati sistem isolasi, hanya menawarkan perlindungan parsial, dan hanya terhadap vektor serangan yang diketahui. Bisakah semua masalah keamanan IoT kami diselesaikan melalui penyesuaian sederhana pada rantai pasokan?
Dalam pikiran saya, ya, jika kita mulai memikirkannya sebagai Rantai Kepercayaan IoT. IoT Security Foundation menciptakan gagasan pada Mei 2016, bahwa keamanan IoT tidak memiliki pemilik tunggal dan semua vendor memiliki kewajiban untuk menjaga pelanggan langsung mereka dan ekosistem yang lebih luas.
Mari kita pikirkan dengan cara yang sedikit lebih praktis. Jika Anda adalah produsen, Rantai Pasokan Kepercayaan mengetahui dari mana Anda mendapatkan perangkat lunak atau perangkat keras dan memahami keamanan di dalam apa pun yang Anda sumber. Intinya adalah mengambil kepemilikan untuk setiap lapisan keamanan.
Masalahnya
Dengan lebih dari 8 miliar perangkat IoT yang diperkirakan akan digunakan di seluruh dunia pada tahun 2017 – naik dari 6 miliar pada tahun 2016 – menurut Gartner, pertumbuhan eksponensial sangat menjanjikan. Sampai pada titik di mana setiap perusahaan, apa pun bisnisnya, merasa perlu membuat produk yang terhubung ke internet.
Masalahnya adalah bahwa perusahaan-perusahaan ini hanya berfokus pada pembuatan widget mereka, dan bukan bagian-bagian yang membentuk widget itu. Oleh karena itu, diperlukannya Rantai Pasokan Kepercayaan IoT.
Misalnya, katakanlah sebuah perusahaan ingin membuat widget baru yang mengkilap dengan kemampuan Wi-Fi. Mereka biasanya tidak akan membuat chip Wi-Fi dari awal; mereka akan membeli chip dari perusahaan yang telah memproduksi jutaan chip ini.
Namun perusahaan pembuat widget yang tidak mengkhususkan diri pada keamanan ini, tidak meluangkan waktu untuk memahami dan menguji protokol keamanan dari produsen chip tersebut. Jika mereka tidak meluangkan waktu untuk memahami dari mana chip tersebut berasal, firmware yang diperlukan untuk menjalankan chip tersebut, dan kerentanan chip tersebut untuk diretas, maka mereka membangun teknologi yang sangat tidak aman ke dalam prototipe mereka.
Pikirkan tentang semua komponen yang dibuat oleh pihak ketiga yang berakhir di widget terakhir. Perangkat IoT hanya seaman lapisan terlemahnya.
Tentu, kita bisa menyalahkan tekanan pada perusahaan untuk membawa produk IoT ke pasar, tetapi sayangnya, saya pikir itu masih berasal dari kekurangan tata kelola keamanan siber yang baik. Semua orang senang membicarakan postur dunia maya mereka, tetapi kami masih kekurangan standar keamanan yang diatur dan adopsi luas praktik terbaik industri yang ada untuk manufaktur IoT. Kami ingin menunjukkan jari dan hanya menutupi risiko kami sendiri.
Apa solusinya?
Solusi jangka panjang:proses sertifikasi. Sementara banyak kelompok industri sedang mengerjakan upaya ini, kami tidak sabar menunggu standar ini.
Dalam jangka pendek, ada dua pendekatan.
Pertama, jika Anda membeli perangkat IoT untuk diri sendiri atau perusahaan Anda, luangkan waktu untuk melakukan riset. Ada banyak pilihan dari perusahaan terkemuka dengan rekam jejak keamanan yang baik. Saat memeriksa biaya, pertimbangkan dana yang diperlukan jika bisnis Anda mengalami pelanggaran karena membiarkan perangkat yang tidak aman masuk ke jaringan Anda.
Kedua, jika Anda membuat perangkat IoT, pertimbangkan keamanan setiap perangkat keras yang Anda buat di perangkat Anda. Salah satu perusahaan yang melakukan pekerjaan dengan baik dalam hal ini adalah Taser, pengembang, produsen, dan distributor senjata listrik, kamera bodi, dan solusi manajemen bukti digital. Taser membentuk tim internal yang terdiri dari pakar perangkat keras, perangkat lunak, dan keamanan untuk memeriksa semua produk sebelum dipasarkan. Kelompok yang beragam ini mempertimbangkan bagaimana produk akan diintegrasikan ke dalam bauran produk yang ada, memastikan keamanan ada dan melakukan pengujian penetrasi. Investasi awal perusahaan memastikan rantai pasokan perangkat baru apa pun dipertimbangkan.
Sampai ada organisasi yang mencap perangkat IoT "baik" atau "buruk", bisnis harus rajin membuat keamanan di setiap lapisan.
