ETSI's EN 303 645: Beschermen regulators IoT-apparaten voldoende?

In juni 2020 publiceerde ETSI's Technische Commissie EN 303 645, een uitgebreide beveiligingsbasislijn voor Internet-of-Things-apparaten, die loon זכה in de informatiebeveiligingsgemeenschap.

Alan Grau, vicepresident IoT en Embedded Solutions bij Sectigo, rapporteert.

De standaard volgt een groeiende trend van wetgevers en regulators die de dringende behoefte aan bescherming van verbonden apparaten erkennen. Californië's SB-327, effectief vanaf januari 2020, en Australië's 2019 'Draft Code of Practice: Securing the Internet of Things for Consumers' zijn voorbeelden van regeringen die beslissende actie ondernemen.

Toen het VK in januari 2020 zijn eigen IoT-raamwerk aankondigde, benadrukte dit de langdurige tekortkomingen in apparaatbeveiliging en de bereidheid van regulators om deze aan te pakken.

De vraag blijft: zijn deze wetten en standaarden voldoende om de miljarden IoT-apparaten in onze huizen en bedrijven te beschermen?

Hoe wetgeving IoT-beveiliging vormt

Historisch functioneerden IoT-apparaten achter geïsoleerde, proprietaire netwerken beschermd door een duidelijke perimeter. De uitbreiding van het internet koppelde deze systemen via TCP/IP, wat ongekende integratievoordelen opleverde voor consumenten en bedrijven. IDC voorspelt 41,6 miljard verbonden apparaten in 2025 – een groei die de regulatorische evolutie overstijgt.

Regulatorische afstemming liep achter op deze snelle expansie. In de nasleep van kosteneffectieve, hoog-volume producten prioriteren veel fabricanten time-to-market boven robuuste authenticatie en beveiliging, waardoor apparaten kwetsbaar blijven.

Zonder een bindend IoT-raamwerk produceren fabricanten apparaten met minimale ingebouwde beveiliging, vaak vertrouwend op statische referenties die weinig bescherming bieden tegen aanvallers. Zolang beveiliging niet verplicht is, zullen hoeken worden afgeknipt. Robuuste wetgeving en governance zijn essentieel om beveiliging by design in te bedden, van productie tot het einde van de levenscyclus.

Voortgang en hiaten

Progressieve stappen, zoals Californië's SB-327, stellen een duidelijk raamwerk voor next-generation beveiligings- en authenticatietools, gericht op botnets die de tekortkomingen van eerdere praktijken blootlegden. De wet geldt echter alleen voor Californië en mist nationale afdwingbaarheid.

ETSI EN 303 645, ontwikkeld door samenwerking tussen industrie, academie en regeringen, biedt een eenheiddoel voor stakeholders. Toch is het, net als SB-327, niet juridisch bindend, waardoor sommige fabricanten losse beveiligingspraktijken aanhouden omdat het goedkoper is of omdat ze geen handhaving tegenkomen.

Om IoT echt te beveiligen, moeten vooruitstrevende standaarden gepaard gaan met een wetgevende agenda die een cybersecurity-raamwerk voor apparaatontwikkeling verplicht.

Waarom ingebouwde beveiliging belangrijk is

Best practices benadrukken nu dat beveiliging bij de fabriekspoort moet worden ingebouwd. Met toenemend complexe leveringsketens moeten OEM's garanderen dat elk apparaat veilig is vanaf het moment dat het de gietijzer verlaat. Ingebouwde Public Key Infrastructure (PKI) garandeert dat referenties niet kunnen worden gemanipuleerd tijdens downstream-assemblage, wat integriteit door de hele levenscyclus bewaart.

Wereldwijde leveringsketens – het pleit voor wereldwijde standaarden

IoT's wereldwijde bereik betekent dat apparaten over meerdere grenzen worden ontworpen, geproduceerd en gemonteerd, wat het risico op beveiligingsgaten versterkt. Een gecoördineerde wetgevende inspanning is nodig om apparaten in elke fase te beschermen, ter bescherming van eigendom, leven en data.

De auteur is Alan Grau, vicepresident IoT en Embedded Solutions bij Sectigo.