Необходимость принципа «Secure-by-Design» в современном мире

Новый мир «Интернета вещей» характеризуется миллионами подключенных устройств. При большем количестве незащищенных устройств и точек доступа к сети, чем прежде, принципы «Secure-by-Design» имеют весомое значение для защиты от растущих угроз кибербезопасности. За последние несколько лет цифровые технологии изменили мир, затронув все секторы деловой активности и повседневной жизни. Результатом стал мир Интернета вещей (IoT), в котором все инструментировано и взаимосвязано.

К концу 2018 года в мире использовалось около 22 миллиардов устройств, подключенных к Интернету вещей. Согласно прогнозам, к 2030 году эта цифра увеличится до 50 миллиардов, что создаст огромную сеть взаимосвязанных устройств. Чтобы поддерживать это будущее с высокой степенью взаимосвязанности, тысячи устройств Интернета вещей (IoT) каждый день подключаются к сетям. Кроме того, стремление к новым функциям породило «потребность в скорости» с точки зрения разработки и развертывания новых типов устройств.

Быстрый рост сложных подключенных устройств

Многие устройства, подключенные к Интернету вещей, сегодня очень сложны и включают в себя передовые алгоритмы искусственного интеллекта и другие функции следующего поколения. IP камеры видеонаблюдения — показательный тому пример. За последние 15 лет они превратились из простых аналоговых видеокамер в сложные, полностью оцифрованные устройства Интернета вещей, основанные на машинном обучении и искусственном интеллекте. Как и в случае с другими типами устройств, эволюция была обусловлена потребностями клиентов в улучшенных функциональных возможностях и вариантах подключения. Этот спрос также привел к срочности процесса разработки, когда производители конкурировали за то, чтобы как можно быстрее предлагать наиболее передовые функции для завоевания клиентов и доли рынка.

Уравновешивание скорости разработки и соображений безопасности

Гонка за разработкой более многофункциональных и подключенных устройств IoT удовлетворила эксплуатационные потребности клиентов, но часто приходилось идти на компромиссы с точки зрения безопасности. В конце концов, обеспечение безопасности всех аспектов производственного процесса требует времени — драгоценного ресурса, который не всегда доступен. Из-за нехватки времени некоторые производители устройств предпочли скорость разработки и производства самой безопасности.

Последствиями предпочтения скорости над безопасностью стало весомое увеличение количества серьезных инцидентов, связанных с кибербезопасностью Интернета вещей. Киберпреступники смогли относительно легко получить доступ к миллионам устройств Интернета вещей просто потому, что эти устройства не были разработаны и произведены с учетом требований безопасности.

К концу 2016 года, например, ботнет Mirai стал мировой новостью, и безопасности Интернета вещей начали уделять весомое внимание. Это наглядный пример того, что может пойти не так, когда небезопасные устройства IoT (Wi-Fi камеры, сетевые маршрутизаторы, датчики умного дома, видеорегистраторы или датчики дыма) подключены к Интернету без надлежащих мер безопасности.

В случае с Mirai злоумышленники смогли взломать миллионы незащищенных устройств Интернета вещей — в данном случае камеры видеонаблюдения. Затем они использовали объединенную компьютерную мощность устройств для запуска целевых интернет-атак DDoS (распределенный отказ в обслуживании).

Урок еще не усвоен

К сожалению, с 2016 года произошло гораздо больше кибер-инцидентов с устройствами Интернета вещей, и они продолжают происходить ежедневно. В 2019 году исследователи безопасности из F-Secure выпустили предупреждение о том, что кибератаки на устройства Интернета вещей растут беспрецедентными темпами. Они измерили «трехкратное увеличение трафика атак до более чем 2,9 миллиарда событий». Согласно исследованию, эта растущая угроза отчасти объяснялась «отсутствием базовых средств защиты в устаревших прошивках программного обеспечения или архитектурах, а отчасти — отсутствием поддержки информационной безопасности. Часто ИТ-отделы даже не знают обо всех этих устройствах в своих сетях».

Критическая важность "Secure-by-Design"

Один из ключевых способов предотвратить вредоносные атаки на устройства IoT — улучшить их защиту. К сожалению, очень сложно внедрить действенную безопасность после того, как устройство Интернета вещей изготовлено или установлено. Вместо этого наиболее продуктивным способом предотвращения взломов считается обеспечение безопасности во время производства устройств, что часто называется производством Secure-by-Design.

Secure-by-Design — это обеспечение безопасности на всех этапах производственного процесса, от концептуальной до финальной фазы поставки. На концептуальной фазе определяются требования безопасности; на этапе проектирования разрабатывается архитектура безопасности для дизайна продукта; на этапе разработки будет проводиться проверка программного кода и сканирование кода; на этапе проверки выполняется тестирование на проникновение, а на этапе доставки предоставляется обучение безопасности и техническая поддержка. Все эти меры безопасности в производственном процессе повышают киберустойчивость системы видеонаблюдения и прочих решений, а впоследствии делают ненужными дорогостоящие улучшения кибербезопасности.

Условия для Secure-by-Design

Есть несколько предварительных условий для производителей, которые хотят интегрировать принципы Secure-by-Design во все аспекты своего производственного процесса. Во-первых, на организационном уровне должно быть обязательство инвестировать в безопасность каждого продукта. Это может повлиять на производственные затраты, но также значительно повысит безопасность и надежность (а также ценность) продуктов, предоставив клиентам конкретные гарантии безопасности.

Также Secure-by-Design требует, чтобы производители были открыты для тестирования на проникновение (ручное тестирование) третьими сторонами после того, как устройства спроектированы, изготовлены и введены в эксплуатацию. Это гарантирует, что продукты способны противостоять новым и возникающим угрозам кибербезопасности, а также существующим.

В конечном итоге принципы Secure-by-Design требуют, чтобы производители действительно серьезно относились к укреплению своей кибербезопасности и защите своих клиентов от нарушений безопасности. Так, например, обстоит дело в компании Hikvision, где используются принципы «Secure-by-Design», чтобы свести к минимуму риск нанесения ущерба от кибератак всему ассортименту продукции.