EN 303 645 ETSI: Apakah Regulator Melindungi Perangkat IoT dengan Cukup?
Pada Juni 2020, Komite Teknis ETSI meluncurkan EN 303 645, standar keamanan dasar yang komprehensif untuk perangkat Internet-of-Things, mendapatkan pujian dari komunitas keamanan informasi.
Alan Grau, vice president IoT dan solusi embedded di Sectigo, melaporkan.
Standar ini mengikuti tren yang meningkat di antara legislator dan regulator yang mengakui kebutuhan mendesak untuk melindungi perangkat terhubung. SB-327 California, yang berlaku sejak Januari 2020, dan kerangka “Draft Code of Practice: Securing the Internet of Things for Consumers” Australia 2019 adalah contoh pemerintah yang mengambil tindakan tegas.
Saat Inggris mengumumkan kerangka IoT sendiri pada Januari 2020, hal itu menyoroti ketidakcukupan yang berkepanjangan dalam keamanan perangkat dan kesiapan regulator untuk mengatasinya.
Namun, pertanyaan tetap ada: apakah hukum dan standar ini cukup untuk melindungi miliaran perangkat IoT yang menghuni rumah dan bisnis kita?
Bagaimana Hukum Bentuk Keamanan IoT
Secara historis, perangkat IoT beroperasi di belakang jaringan proprietary yang terisolasi dilindungi oleh perisip yang jelas. Perluasan Internet menghubungkan sistem ini melalui TCP/IP, menciptakan manfaat integrasi yang tak tertandingi bagi konsumen dan bisnis. IDC memperkirakan 41,6 miliar perangkat terhubung pada 2025—pertumbuhan yang melebihi evolusi regulasi.
Penyesuaian regulasi telah tertinggal di balik ekspansi yang cepat ini. Dalam usaha menghasilkan produk hemat biaya dan volume tinggi, banyak produsen memprioritaskan kecepatan peluncuran pasar atas otentikasi dan keamanan yang kuat, sehingga perangkat tetap rentan.
Tanpa kerangka IoT yang mengikat, produsen telah menghasilkan perangkat dengan keamanan bawaan minimal, sering mengandalkan kredensial statis yang menawarkan sedikit perlindungan terhadap penyerang. Hingga keamanan menjadi wajib, potongan-potongan akan terus dilakukan. Legislasi dan tata kelola yang kuat esensial untuk menyematkan keamanan sejak desain, dari manufaktur hingga siklus hidup perangkat.
Progres dan Kesenjangan
Langkah progresif, seperti SB-327 California, menetapkan kerangka yang jelas untuk alat keamanan dan otentikasi generasi berikut, menargetkan botnet yang mengungkap kesenjangan praktik sebelumnya. Namun, hukum ini hanya berlaku di California dan tidak memiliki paksaan nasional.
ETSI EN 303 645, yang dikembangkan melalui kolaborasi antara industri, akademisi, dan pemerintah, menawarkan sasaran yang seragam bagi pemangku kepentingan. Namun, seperti SB-327, ini tidak mengikat secara hukum, memungkinkan beberapa produsen untuk mengadopsi praktik keamanan longgar karena lebih murah atau karena mereka tidak menghadapi penegakan.
Untuk benar-benar mengamankan IoT, standar yang berpikir maju harus dipadukan dengan agenda legislatif yang mewajibkan kerangka keamanan siber untuk pengembangan perangkat.
Mengapa Keamanan Bawaan Penting
Praktik terbaik saat ini menekankan bahwa keamanan harus disematkan sejak gerbang pabrik. Dengan rantai pasokan yang semakin kompleks, OEM harus memastikan setiap perangkat aman sejak saat meninggal pabrik. Infrastruktur Kunci Publik (PKI) bawaan memastikan kredensial tidak dapat diubah selama perakitan downstream, menjaga integritas selama siklus hidup.
Rantai Pasokan Global – Kasus untuk Standar Dunia
Jangkauan global IoT berarti perangkat dirancang, diproduksi, dan dirangka di seluruh beberapa perbatasan, memperbesar risiko kesenjangan keamanan. Upaya legislatif terkoordinasi diperlukan untuk melindungi perangkat di setiap tahap, melindungi properti, nyawa, dan data.
Penulis adalah Alan Grau, vice president IoT dan Solusi Embedded di Sectigo.
