账号:
密码:
最新动态
产业快讯
CTIMES / 文章 /
别被 IoT 安全的迷思所误导
 

【作者: Saniye Burcu Alaybeyi】2016年09月14日 星期三

浏览人次:【11640】

Gartner预测,至2020年,企业所遭受的攻击中将有25%以上与物联网(IoT)有关,远高于今日仅仅不到 2% 的IT安全预算。有鉴于其重要性,我们将厘清一些常见的IoT安全迷思,使负责规划与执行IoT安全计画的领导者能强化现有策略,甚至发展出更健全IoT安全计画。


迷思1:倚靠 IT安全产品或服务能解决所有IoT的安全疑虑

实际情形:尽管IT安全控管对IoT安全仍相当重要,却不足以应付物联网衍所生出的攻击之规模、广度、多样性及攻击能力。传统的IT产品并非针对物联网装置所设计,因此无法解决像装置认证或装置识别等不同类别的物联网安全问题。


因应之道

*评估装置以预期外方式进行互动时的潜在风险。


*将未来可预见使用案例所衍生的挑战纳入考量。


*针对IoT特性调整防御措施。


*定义IoT装置部署所需的认证和授权架构。


*研究IoT装置识别与关系管理架构。


*针对IoT装置和匝道设计登入与稽核程序。


*将IoT装置的生命周期可能超过加密的有效时限纳入考量。


*监控新的IoT安全计画。


迷思2:IT安全能管好自己

实际情形:现今大多数企业机构仍无法有效追踪一些简单但有效的指标,例如:根据已遭到攻击的漏洞与入侵者停留的时间来安排系统修补的先后顺序。


因应之道

*重新设定IoT安全策略并专注在基本功上。


*基本的安全控制措施对于保障IoT安全极有帮助。此外,从资安投资报酬率(ROI)的角度来看,通常也是建置和管理起来最不花钱的方法。


迷思3:IoT 安全的关键在于网路分段和隔离

实际情形:尽管网路分段可降低入侵者从某个子网路或区域移动到另一个区域的可能性,但仍不足以保障IoT装置的安全与其存在于子网路中的资料。网路分段与隔离将是未来资安预算的重点项目,而闸道与网路至少将占整体IoT计画资安成本的50%。


因应之道

*确保IoT解决方案的软硬体供应商投资建构一套安全开发系统。此外,也必须针对自己在市场上的IoT解决方案投入相同的资源。


*提供装置识别以及与其他对象互动的可信度。


*保护资料流量。


*保护IoT安全闸道软体和作业系统。


*保护IoT通讯安全。


迷思4:需要保护的IoT网路都是以Wi-Fi为基础

实际情形:IoT网路横跨了Wi-Fi在内的所有无线网路,IoT安全规划人员必须了解IoT装置不只需要企业既有的Wi-Fi网路,还需要额外的安全措施保护现有企业环境,同时考虑未来Wi-Fi网路与闸道会进行更新的可能性。


因应之道

*让资安团队能够采用建议措施保护行动资料网路、ZigBee、Z-Wave和蓝牙等IoT网路,并采用独立的安全措施。


*建立一个能够应付登入资讯变更与闸道汰换的架构,并涵盖五至十年的期限。


*为Wi-Fi设定第二组安全认证资讯,修补认证缺失发生时引起的伤害。


迷思5:IoT安全几乎都将以现有的IT应用程式开发环境为主,而​​且几乎都是以IP通讯协定为基础

实际情形:IoT安全将涵盖IP和非IP通讯协定,包含即时、事件导向及交易导向的程式控制。对传统IT系统与营运技术(OT)系统之间的安全闸道安全性的顾虑也将影响IoT安全。采用非IP通讯协定的IoT应用案例相当常见。


因应之道

*透过自我学习并采用适当的安全技术来保护IoT环境当中最容易遭到攻击的区段。


*保护营运通讯协定。这很可能成为入侵者第一波攻击的焦点,进而渗透到相连的系统。


*严格遵守营运程序来管控通讯频道的使用,并使用能防止资料外泄的方式来加密/解密IoT相关敏感资料。


迷思6:存在着可遵循隐私权法规解决隐私权问题的「顶级」IoT产品

实际情形:资料科学家们既不理解隐私权,也不觉得应该尊重敏感和机密的资料。然而,隐私权对于取得消费者和员工的信赖至关重要。企业需要实行隐私权计画来协助保​​护IoT与数位商务环境中的个人资料,并确实遵守隐私权法律、规范与惯例。此外,也必须对文化差异与社群媒体所带来的冲击保有敏锐度,以免跨越大众对隐私权画下的那条「红线」。


因应之道

*找出隐私权需求。


*了解科技可以如何保护或危害隐私权。


*确保熟悉产品可能在哪里跨越目标客户的「红线」。


*明确找出企业应专注的隐私权风险领域。


*制定能够让转型科技发挥效用的隐私权政策。


*确保取得高层主管与组织对于隐私权计画和政策的支持及资源。


*以书面方式记载法务和业务上的隐私需求。


*特别留意数位伦理的问题,这应是数位风险和数位商务的一环。


迷思7: IoT安全规划一旦完成,从此便高枕无忧

实际情形:在系统长久的使用过程中,与网路、装置和资料相关的IoT威胁和问题会不断出现。骇客将学会如何攻击新的IoT装置、闸道、网路以及应用程式。 IoT安全是一个永无止境的过程,而非一成不变的解决方案。所有重要的建置计画,都应具备动态监控IoT安全的能力。


因应之道

*面对资安的心态必须从「遇到事件再回应」转变成「持续不断的回应」,也就是某个时间点上系统会假设遭到入侵,然后进行连续监控与矫正。


*培养一种持续监控及回应的心态,建立持续性威胁防护流程,并将人员、流程和技术等因素都纳入整体考量中。


迷思8:可以为自己和IoT技术建立滴水不漏的保护

实际情形:事实上没有IoT系统可以做到100%安全,就算可能其成本也是天文数字。因此必须从风险的角度出发找到一个平衡点来满足数位商务的需求,同时发掘并解决风险,并从核心层面来设计IoT装置和网路以及预想可能的攻击管道。


因应之道

*在采购技术的过程中必须确保向厂商询问安全相关问题。


*向同业和第三方合作伙伴请教,以便评估并了解端点装置是否存在不寻常的风险。


*了解真正的问题在于风险分析与矫正。未来在当竞争的全球市场中,风险发生的可能性、带来的冲击和及管理费用上的预算都将越来越高。


(本文作者Saniye Burcu Alaybeyi为Gartner研究总监 )


相关文章
全球标准如何促进物联网发展
五大策略 提升企业物联网竞争力
为什麽安全是物联网的关键?
AI深植四大关键云端科技 协助企业提升数位韧性
谋财骇命锁定制造业
comments powered by Disqus
相关讨论
  相关新闻
» 鼎新电脑携手和泰丰田解缺工 以数位劳动力开启储运新时代
» Fortinet SASE台湾网路连接点今年落成 全台巡??落实云地零信任资安
» Ansys模拟分析解决方案 获现代汽车认证为首选供应商
» SOLIDWORKS公开演示未来AI 率先导入工业设计软体应用
» BMW与达梭系统合作 打造3DEXPERIENCE未来工程平台


刊登廣告 新聞信箱 读者信箱 著作權聲明 隱私權聲明 本站介紹

Copyright ©1999-2024 远播信息股份有限公司版权所有 Powered by O3  v3.20.1.HK83T3B7BRQSTACUKV
地址:台北数位产业园区(digiBlock Taipei) 103台北市大同区承德路三段287-2号A栋204室
电话 (02)2585-5526 #0 转接至总机 /  E-Mail: webmaster@ctimes.com.tw