Regulasi Keamanan IoT UK Memberdayakan Konsumen untuk Meminta Perangkat Terhubung yang Lebih Aman
Pemerintah Inggris sedang mengembangkan kerangka regulasi komprehensif untuk perangkat Internet of Things (IoT), selaras dengan dorongan global untuk mengamankan ekosistem IoT yang berkembang pesat, menurut Mike Nelson, Vice President of IoT Security di DigiCert.
Selama bertahun-tahun, produk IoT telah hadir di pasar dengan kerentanan kritis, memungkinkan vektor ancaman baru—dari mobil yang dapat diretas hingga boneka yang berfungsi sebagai alat pengawasan jarak jauh—bersama dengan insiden skala besar seperti botnet Mirai yang membahayakan infrastruktur inti internet. Risiko ini mendorong respons regulasi Inggris.
Regulasi baru membangun Kode Praktek 2018, ‘Secure by Design’, yang telah menyediakan pedoman praktik terbaik bagi produsen dan konsumen. Ini mencakup penyimpanan kredensial yang aman, permukaan serangan yang diminimalkan, integritas perangkat lunak dan pembaruan berkelanjutan, serta komunikasi terenkripsi.
Sementara Kode 2018 dimaksudkan untuk bersifat sukarela, pemerintah kini telah memindahkan ketentuan kunci menjadi wajib. Regulator akan memberlakukan setidaknya tiga persyaratan inti.
Tiga Pedoman
Pertama, sandi IoT harus unik dan tidak dapat diatur ulang ke default pabrik, menghilangkan risiko penyerang mengeksploitasi kredensial default.
Kedua, produsen diwajibkan untuk mempublikasikan kontak publik untuk pengungkapan kerentanan, memungkinkan pelaporan dan perbaikan cepat terhadap celah keamanan.
Ketiga, pembuat perangkat harus mengungkapkan durasi minimum untuk pembaruan keamanan yang akan disediakan, memberikan konsumen jendara yang jelas untuk off-boarding atau langkah keamanan tambahan.
Perangkat yang memenuhi kriteria ini dapat menampilkan segel keamanan yang disetujui pemerintah, mengisyaratkan kepercayaan kepada konsumen.
Keamanan IoT Dihandalkan kepada Konsumen
Secara historis, produsen—dan terkadang tim keamanan perusahaan—mempertanggungjawabkan keamanan perangkat. Sertifikasi ‘Secure by Design’ memindahkan pengambilan keputusan tersebut ke pengguna akhir, membelanjakan pembeli untuk mengevaluasi risiko sebelum mengintegrasikan perangkat ke dalam jaringan yang dilindungi.
Saat konsumen mempertimbangkan keamanan dalam keputusan pembelian, produsen terpaksa untuk berinovasi daripada memotong sudut. Secara historis, ketidakamanan lebih murah; sekarang, keamanan dapat menjadi pengait pasar.
Perhitungan telah terlambat terlalu lama. Sampai saat ini, insentif—baik wortel maupun tongkat—hilang bagi produsen. Meskipun regulasi baru tidak akan menghilangkan semua kerentanan, ia menyediakan kerangka konstruktif yang memberikan reward pada desain keamanan proaktif.
Penulis adalah Mike Nelson, VP of IoT Security, DigiCert
Tentang Penulis
Mike Nelson adalah VP of IoT Security di DigiCert, penyedia keamanan digital global. Dalam peran ini, Mike mengawasi pengembangan pasar strategis perusahaan untuk industri infrastruktur kritis, mengamankan jaringan yang sangat sensitif dan perangkat IoT di seluruh kesehatan, transportasi, operasi industri, dan implementasi kota pintar serta jaringan pintar. Mike sering berkonsultasi dengan organisasi, berkontribusi pada laporan media, berpartisipasi dalam badan standar industri, dan berbicara di konferensi tentang bagaimana teknologi dapat meningkatkan keamanan siber untuk sistem kritis dan orang yang bergantung padanya.
Mike telah menghabiskan karirnya di IT kesehatan, termasuk tugas di U.S. Department of Health and Human Services, GE Healthcare, dan Leavitt Partners—suatu perusahaan konsultasi kesehatan boutique. Semangatnya untuk industri ini berasal dari pengalaman pribadinya sebagai penderita diabetes tipe 1 dan penggunaan teknologi terhubung dalam perawatan yang diterimanya.
