UK-regulering IoT-beveiliging geeft consumenten de macht om veiligere verbonden apparaten te eisen

De Britse regering werkt aan een uitgebreid regulatorisch kader voor Internet of Things (IoT)-apparaten, in lijn met een wereldwijde poging om het snel groeiende IoT-ecosysteem te beveiligen, aldus Mike Nelson, Vice President IoT Security bij DigiCert.

Jarenlang kwamen IoT-producten op de markt met kritieke kwetsbaarheden, die nieuwe dreigingsvectoren mogelijk maakten – van hackbare auto's tot poppen die als afstandsbewakingsinstrumenten diensteden – en grootschalige incidenten als de Mirai-botnet die de kerninfrastructuur van het internet in gevaar bracht. Deze risico's deden de Britse regelgevende reactie ontstaan.

De nieuwe regelgeving bouwt voort op de Code of Practice van 2018, ‘Secure by Design’, die al een set best-practice richtlijnen bood aan fabrikanten en consumenten. Deze omvatten veilige referentieopslag, geminimaliseerde aanvalsoppervlakken, continue software-integriteit en updates, en versleutelde communicatie.

Hoewel de Code van 2018 vrijwillig was, heeft de regering nu besloten kernbepalingen verplicht te stellen. Regulators zullen ten minste drie kernvereisten handhaven.

Drie richtlijnen

Ten eerste moeten IoT-wachtwoorden uniek zijn en mogen niet worden teruggezet naar een fabrieksstandaard, wat het risico elimineert dat aanvallers standaardreferenties misbruiken.

Ten tweede zijn fabrikanten verplicht een openbaar contactpunt te publiceren voor kwetsbaarheidsmeldingen, wat snelle rapportage en herstel van beveiligingslekken mogelijk maakt.

Ten derde moeten apparaatfabrikanten de minimumduur van beveiligingsupdates openbaar maken, waardoor consumenten een duidelijk horizon hebben voor het uitfaseren of aanvullende beveiligingsmaatregelen.

Apparaten die aan deze criteria voldoen, mogen een door de overheid goedgekeurd beveiligingszeker dragen, wat vertrouwen signaleert aan consumenten.

IoT-beveiliging overgedragen aan consumenten

Historisch droegen fabrikanten – en soms enterprise-beveiligingsteams – verantwoordelijkheid voor apparaatbeveiliging. De ‘Secure by Design’-certificering verplaatst die besluitvorming naar de eindgebruiker, waardoor kopers risico's kunnen evalueren voordat ze een apparaat integreren in een beschermd netwerk.

Wanneer consumenten beveiliging meewegen in aankoopbeslissingen, worden gedwongen om te innoveren in plaats van op kosten te besparen. Historisch was onbeveiliging goedkoper; nu kan beveiliging een marktdifferentiatior worden.

De berekening is lang te laat gemaakt. Tot nu toe ontbraken zowel prikkels (wortel) als straffen (stok) voor fabrikanten. Hoewel de nieuwe regelgeving niet alle kwetsbaarheden zal elimineren, biedt het een constructief kader dat proactief beveiligingsontwerp beloont.

De auteur is Mike Nelson, VP IoT Security, DigiCert

Over de auteur

Mike Nelson is VP IoT Security bij DigiCert, een wereldwijde leverancier van digitale beveiliging. In deze rol begeleidt hij de strategische marktontwikkeling voor kritieke infrastructuursectoren, het beveiligen van gevoelige netwerken en IoT-apparaten in gezondheidszorg, transport, industriële operaties, en slimme netwerk- en stadsimplementaties. Mike adviseert organisaties regelmatig, bijdraagt aan media, neemt deel aan standaardisatieorganen en spreekt op conferenties over hoe technologie de cyberbeveiliging van kritische systemen en de mensen die erop vertrouwen kan verbeteren.

Mike heeft zijn carrière doorgebracht in healthcare IT, met perioden bij het U.S. Department of Health and Human Services, GE Healthcare, en Leavitt Partners – een boutique gezondheidszorgadviesbureau. Zijn passie voor de sector komt voort uit zijn persoonlijke ervaring als diabetes type 1-patiënt en het gebruik van verbonden technologie in zijn behandeling.