De Industriële Internet of Things Beveiligen: Strategieën, Standaarden en de Chain of Trust

We hebben allemaal gehoord van het Internet of Things (IoT) en het Industriële Internet of Things (IIoT). Terwijl IoT typisch consumententoepassingen dient, drijft IIoT industriële operaties, operationele technologie (OT) koppelend met enterprise-systemen, zakelijke processen en geavanceerde analytics.

Volgens het Industrial Internet Consortium (IIC) fuseert een IIoT-ecosysteem industriële controlesystemen (ICS) met enterprise dataflows. In tegenstelling tot traditionele OT, zijn IIoT-apparaten hoogst geïnteconnecteerd – zowel met elkaar als met cloud-services – terwijl ze nog steeds direct interacteren met de fysieke wereld via sensoren en actuatoren. Deze dubbele natuur vergroot functionaliteit maar verbreedt ook het aanvalsoppervlak, wat cyberdreigingen een dringende zorg maakt voor kritieke infrastructuur.

Om deze risico's te mitigeren, heeft het Amerikaanse Department of Energy (DOE) een partnership aangegaan met Intel op een programma dat beveiliging aan de power-system edge verbetert. De initiatief focust op het creëren van veilige gateways voor legacy (brownfield) apparatuur en field-programmable gate array (FPGA) upgrades voor nieuwe (greenfield) apparaten, allemaal terwijl ononderbroken energielevering behouden blijft.

Intel's Sven Schrecker, chief architect van IoT-beveiligingsoplossingen en co-chair van de IIC security working group, benadrukt dat beveiliging in het gehele ontwerpproces geweven moet worden. Hij identificeert vijf kernprincipes voor IIoT-ontwikkeling:

• Veiligheid
• Betrouwbaarheid
• Beveiliging
• Privacy
• Weerbaarheid

Ontwerpingenieurs focussen zich vaak op het implementeren van veilige chips, software of platforms, doch ze moeten ook afgestemd zijn op bedrijfsbeveiligingsbeleid. Schrecker merkt op: "Het beveiligingsbeleid moet gezamenlijk opgesteld worden door IT- en OT-teams zodat iedereen weet welke apparaten geautoriseerd zijn om te communiceren."

Een Chain of Trust Bouwen

Een heersende aanbeveling is om een robuust beveiligingsbeleid en chain of trust van het begin af aan te vestigen. Deze ketting moet doorhouden door ontwerp, ontwikkeling, productie en de gehele levenscyclus van een apparaat, vertrouwen insluitend in de hardware, netwerk en toeleveringsketen.

Haydn Povey, boardlid van de IoT Security Foundation en CEO van Secure Thingz, argueert dat beveiligingsverantwoordelijkheden vier organisatorische lagen beslaan:

• CxO-niveau
• Beveiligingsarchitect
• Ontwikkelingsingenieur
• Operatiemanager

Ontwikkelingsingenieurs moeten bedrijfsbeleid vertalen in concrete beveiligingscontroles, inclusief productidentificatie, veilige updatemechanismen en chip-niveau beveiliging. Operatiemanagers aan de andere kant toezien op OEM's die IIoT-componenten produceren, wat garandeert dat elk elektronisch onderdeel een unieke, verifieerbare identiteit draagt door de gehele toeleveringsketen.

Robert Martin, senior principal engineer bij MITRE en IIC steering-commissie lid, benadrukt de gefragmenteerde aard van verbonden industriële systemen. Hij waarschuwt dat zelfs kleine wijzigingen in microprocessors ongewild softwaregedrag kunnen veranderen, en zonder duidelijke accountability, falen onadresseerd kunnen blijven. "In bouwsectoren zijn wijzigingen die veiligheid beïnvloeden gereguleerd en gecertificeerd," zegt hij. "Software-gebaseerde technologieën missen een vergelijkbaar framework."

>> Lees verder op pagina twee van dit artikel op onze sister site, EE Times: "Designer's guide to IIoT security."