الزامات مربوط به امنیت و حریم خصوصی برای توسعه‌دهندگان و تولیدکنندگان IOT

با توجه به ساختار نسبتا پیچیده فناوری اینترنت اشیاء (IOT)، این حوزه با چالش‌های امنیتی متفاوتی روبه‌رو است و در همین راستا استاندارد ISO ۲۷۰۳۰ از سوی خبرگان امنیتی سازمان جهانی استاندارد در راستای الزامات سیستم مدیریت امنیت اطلاعات ISMS پیشنهاد شده است.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، با توجه به ساختار نسبتا پیچیده فناوری اینترنت اشیاء (IOT)، این حوزه با چالش‌های امنیتی متفاوتی روبه‌رو است. به همین دلیل نیاز به استانداردسازی و نگاه ویژه از منظر امنیت اطلاعات به این موضوع بدیهی است. در همین راستا استاندارد ISO ۲۷۰۳۰ از سوی خبرگان امنیتی سازمان جهانی استاندارد در راستای الزامات سیستم مدیریت امنیت اطلاعات ISMS پیشنهاد شده است که در آینده‌ای نزدیک منتشر خواهد شد. در این مقاله سعی شده است تا ضمن ایجاد نگاه استانداردگونه به این موضوع، الزامات مورد نیاز امنیتی و حریم خصوصی برای توسعه‌دهندگان و تولیدکننده گان IOT تشریح شود.

خط مشی برای امنیت IOT
خط مشی IOT باید توسط مدیران تعریف و تایید شود و پس از آن منتشر شده و به کارکنان و اشخاص شخص ثالث ابلاغ شود و اگر تغییرات قابل توجهی رخ دهد در فواصل زمانی برنامه ریزی شده بازنگری شود.

هدف از این کنترل مدیریت و پشتیبانی از امنیت IOT مطابق با الزامات تجاری، انتظارات ذینفعان، قوانین و مقرارت در محیط های خطرناک می باشد.

ارائه‌دهندگان و توسعه‌دهندگان سرویس‌های IOT باید سیاست امنیت IOT را تعریف کنند. این سیاست‌ها باید نیازمندی‌های امنیتی IOT را برطرف کند:
- مسئولیت‌های سازمانی در ارائه سرویس IOT
- ذی‌نفعان داخلی و خارجی و انتظارات آنها
- قوانین و مقرارت مربوطه
- محیط ریسک

خط مشی مربوط به امنیت IOT باید حاوی بیانیه‌های مربوط به آن باشد
- تعریف امنیت IOT
- اهداف سازمانی امنیتIOT
- نقش‌ها و مسئولیت‌های امنیت IOT در داخل سازمان

خط مشی امنیت IOT باید جنبه‌های دیگر امنیت مانند کاهش کیفیت سرویس IOT را در نظر بگیرد چرا که می‌تواند مسبب بروز حوادث امنیت IOT شود. این خطی مشی باید عواقب حوادثی را که بر ذی‌نفعان داخلی و خارجی تاثیر می گذارد در نظر بگیرد.

سازمان امنیت IOT
نقش‌ها و مسئولیت‌های امنیت IOT باید مشخص و اختصاص یابد. هدف از این کنترل ایجاد یک چهارچوب برای شروع و اجرای کنترل امنیت IOT به همراه ارائه‌دهندگان و توسعه‌دهندگان IOT است. تخصیص نقش‌ها و مسئولیت‌ها باید مطابق با سیاست امنیت IOT تدوین شود. نقش‌ها و مسئولیت‌های فرعی ارائه‌دهندگان و توسعه‌دهندگان IOT باید مطابق با نقش‌ها و مسئولیت های امنیتی IOT اختصاص یابد.

نقش‌ها و مسئولیت‌ها باید شامل موارد زیر باشد:
- فعالیت های مدیریت ریسک
- طراحی اقدامات امنیتی برای سیستم‌ها، دستگاه‌ها و خدمات IOT
- اجرای اقدامات امنیتی در توسعه و بهره‌برداری از سیستم‌ها، دستگاه‌ها و خدمات IOT
- مدیریت روابط تامین‌کننده‌ها (supplier relationships)
- برنامه‌های آموزش و آگاهی‌رسانی
- برنامه مدیریت رخداد

نقش‌ها و مسئولیت‌ها باید مستند شده و در سازمان منتشر شود و در صورت لزوم بررسی و به‌روز‌رسانی شود.

مدیریت دارایی‌ها
اطلاعات، سیستم‌ها و دستگاه‌های IOT به همراه عملکرد آنها برای محافظت باید شناسایی شوند. هدف از این کنترل شناسایی دارایی‌ها، دستگاه‌ها و سیستم‌های IOT برای طراحی اقدامات امنیتی است.

ارائه‌دهندگان خدمات IOT باید دارایی‌های مربوط به چرخه عمر سرویس‌های IOT را شناسایی کرده و اهمیت آنها را ثبت کنند. چرخه عمر سرویس IOT باید شامل ایجاد، پردازش، ذخیره‌سازی، انتقال، حذف و تخریب باشد. اسناد مربوط به دارایی‌های شناسایی شده در صورت نیاز باید مستند و ذخیره‌سازی شود و موجودی دارایی‌ها باید به‌روز و دقیق باشد.

دارایی‌های موجود در چرخه عمر دستگاه‌ها و سیستم‌های IOT شامل موارد زیر است:
- نرم‌افزارها و میان‌افزارهایی که بر روی دستگاه‌ها و سیستم‌های IOT پیاده‌سازی شده است
- ویژگی‌های تنظیم کارخانه برای استفاده اولیه از دستگاه‌ها و سیستم‌ها
- به دست آوردن داده‌ها توسط دستگاه‌ها و سیستم‌های IOT
- داده‌های منتقل شده از / به دستگاه‌ها و سیستم ‌های IOT
- مدیریت تنظیمات دستگاه‌های IOT باید پیاده‌سازی شود تا از هم‌زمان‌سازی دستگاه‌ها اطمینان حاصل شود
- سیاست ابزارهای سیار و تجهیزات و دارایی‌های خارج از محل

سیاست‌ها و اقدامات امنیتی باید برای مدیریت خطرات ناشی از ابزارهای سیار اتخاذ شود همچنین باید سیاست‌های امنیتی برای دارایی‌های خارج از سازمان با در نظر گرفتن خطرات ناشی از آنها اعمال شود. برای برطرف کردن ریسک امنیتی در این حوزه باید راهنمایی‌های زیر را در نظر گرفت:

- اطمینان از حفاظت فیزیکی سنسورهای IOT در برابر تخریب، دستکاری و... در محیط‌های عمومی
- مکان سنسورهای IOT باید به صورت منظم بررسی شوند
- اگر فقط محافظت فیزیکی محدودی از سنسورهای IOT می‌شود کاربران باید از سطح محدود اطمینان (limited trust level) که سنسورها ارائه می‌دهند آگاه باشند.

امحاء ایمن یا استفاده مجدد از تجهیزات IOT
قبل از امحاء و یا استفاده مجدد از تجهیزات IOT که دارای رسانه‌های ذخیره‌سازی هستند باید اطمینان حاصل کرد که اطلاعات حساس و نرم‌افزارهای دارای لایسنس از روی آنها پاک شده است و یا به صورت امن از اطلاعات فایل پشتیبان تهیه شده است و این روش امحاء اطلاعات باید برای کاربران اطلاع‌رسانی شود.

یادگیری از حوادث امنیتی
دانش به دست آمده از تجزیه‌و‌تحلیل حوادث امنیتی IOT باید برای کاهش احتمال وقوع حوادث آینده استفاده شود.

اصول مهندسی ایمن IOT
اصول مهندسی ایمن IOT به طراحی و اجرای توابع امنیتی، دفاع در عمق، پیکربندی امن سیستم‌های سخت‌افزار و نرم‌افزار می‌پردازد که باید در توسعه سیستم‌های IOT استفاده شوند. هدف از این کنترل اطمینان از امنیت در طراحی و پیاده‌سازی سیستم‌های IOT است.

توسعه‌دهنده سیستم‌های IOT باید اصولی را برای مهندسی ایمن سیستم‌های IOT داشته باشد. این اصول باید با توجه به عواقبی که می‌تواند کاربران IOT، ارائه‌دهندگان سرویس IOT و سایر ذی‌نفعان را تحت تاثیر قرار دهد به شناسایی ریسک‌های امنیتی IOT بپردازد.

شناسایی ریسک‌های امنیتی باید جنبه‌های مختلف IOT را در نظر داشته باشد که در زیر آورده شده است:

- رابط های بین سیستم‌های IOT و نهادهای خارجی از طریق شبکه
- فریب داخلی (internal fraud) در عملکرد و نگهداری (maintenance) سیستم‌ها
- مسائل مربوط به کیفیت محصولات و خدمات خریداری شده از نهادهای خارجی
- دسترسی فیزیکی به سیستم‌ها و تجهیزات IOT
- تغییر در شرایط محیطی

اصول امنیتی برای توسعه سیستم‌های IOT باید شامل موارد زیر باشد و این اصول باید در توسعه IOT اعمال شود:

-امنیت توابع
- الزامات hardening برای نرم‌افزارها و سیستم‌ها
- الزامات دفاع در عمق به عنوان مثال طراحی لایه‌ای توابع امنیتی
- ایجاد توابع امن برای monitoring و logging
- امنیت محیط توسعه IOT

برای توسعه سیستم‌های IOT باید از محیط و فرایندهای امن استفاده شود. یک محیط توسعه شامل افراد، فرایندها، فناوری و امکانات مرتبط با سیستم IOT است. توسعه‌دهنده خدمات IOT باید ریسک‌های امنیتی برای توسعه IOT را با توجه به شرایط زیر در نظر بگیرد

- پرسنلی که در محیط فعالیت می کنند
- روش های توسعه نرم افزارها و پردازش داده ها
- استفاده از محصولات خدمات برون سپاری شده
- محیط فیزیکی و شبکه
- سازگاری با سایر اقدامات توسعه ای و عملیاتی

توسعه‌دهندگان خدمات IOT باید محیط توسعه و روش‌های مربوطه را برای کاهش ریسک‌های امنیتی تعیین کنند و روش‌های امن را به افراد درگیر در پروژه ابلاغ کنند.

سازگاری با سطح امنیت دستگاه‌های متصل
اقدامات امنیتی متناسب با سطوح مختلف امنیتی دستگاه‌ها یا سیستم‌های متصل باید برای محافظت از سیستم IOT و کاربران طراحی و اجرا شود و سازگاری‌های امنیتی بین دستگاه‌ها انجام شود.

تایید طراحی دستگاه‌ها و سیستم‌های IOT
طراحی دستگاه‌ها و سیستم‌های IOT باید از لحاظ امنیتی تایید شده تا امنیت محیط IOT را تضمین کند.

Monitoring and logging
وضعیت و رویدادهای سیستم‌ها و دستگاه‌های IOT باید کنترل و ثبت شوند. باید نظارت کافی بر روی سنسورهای IOT و کاربران آن انجام شود تا اطمینان حاصل شود مشکلاتی از قبیل قطعی زود هنگام، دستکاری غیرمجاز و یا سوء‌استفاده از تجهیزات IOT رخ ندهد. اگر هریک از تجهیزات IOT قادر باشند موقعیت خود را ثبت کنند از این قابلیت باید در جهت ثبت تغییر ناخواسته موقعیت این نوع از تجهیزات استفاده کرد.

در این سیاست باید نشانه‌هایی از دسترسی و یا دستکاری غیر مجاز داده‌های سنسورها و رفتار‌های مشکوک را در نظر گرفته و آنها را ثبت کرد.

محافظت از Logها
Logهای دستگاه‌های IOT باید در برابر تخریب و تغییرات ناخواسته محافظت شوند.

استفاده از شبکه مناسب برای سیستم‌های IOT
شبکه‌ها و تکنولوژی‌های ارتباطی برای سیستم‌های IOT باید نیازهای ارتباطی، امنیت عملکرد دستگاه‌های IOT را برآورده کند. باید اطمینان حاصل کرد که برای ارتباط بین دستگاه‌های IOT محرمانگی و یکپارچگی فعال می‌شود که برای مثال می‌توان به رمزنگاری اشاره کرد.

امنیت در تنظیمات و پیکربندی در تحویل دستگاه‌ها و سیستم‌های IOT
دستگاه‌ها و سیستم‌های IOT باید با تنظیمات و پیکربندی امن تحویل داده شوند. تنظیمات و پیکربندی اولیه دستگاه‌ها و خدمات IOT باید به‌گونه‌ای باشد که امنیت کاربران را تامین کند.

با توجه به ویژگی‌های دستگاه‌ها و سرویس‌های IOT می‌توان تنظیمات و پیکربندی‌های مربوطه را انجام داد:
- نسخه‌ها و و صله‌های نرم‌افزار
- شناسایی پورت‌های باز و سرویس‌های شبکه
- محدودیت دسترسی به توابع و داده‌های سرویس‌ها

اگر دستگاه یا سرویس IOT نیاز به نام کاربری و کلمه عبور داشته باشد باید نام کاربری و کلمه عبور پیش فرض به صورت امن به کاربران اطلاع داده شود و آنها ملزم به تغییر آن هستند.

راهنمایی برای کاربران IOT
راهنمایی‌های لازم درباره تنظیمات و پیکربندی دستگاه‌ها و خدمات IOT ازجمله تغییر در تنظیمات اولیه باید در اختیار کاربران قرار گیرد و هدف از این کنترل اطمینان از امنیت دستگاه‌ها و سرویس‌های IOT در حال فعالیت است.

تغییر در تنظیمات و پیکربندی‌ها توسط کاربران IOT باید با اطلاعات پشتیبانی‌کننده‌ای که به استفاده ایمن از دستگاه یا سرویس کمک می‌کنند، انجام شود. کاربران باید برای تغییر نام کاربری و رمز عبور اولیه آموزش ببینند و تغییر رمز عبور اولیه باید جزئی از پروسه‌های اجباری در نظر گرفته شود.

احراز هویت کاربران
احراز هویت کاربران برای دسترسی به دستگاه‌ها، سیستم‌ها و خدمات IOT باید اجرا و اعمال شود. باید اطمینان حاصل کرد که اتصالات دستگاه‌های IOT به صورت کامل احراز هویت شده باشد همچین باید اطلاعات احراز هویت ذخیره شده در دستگاه‌های IOT به صورت امن ذخیره شود تا از دسترسی غیر مجاز محافظت شوند که با استفاده از ابزارهای مختلف می توان این کار را انجام داد.

اعمال به‌روز رسانی‌ها در حین فعالیت
مکانیسم به‌روز رسانی نرم‌افزار و سیستم عامل دستگاه‌ها و سیستم‌هایIOT باید طراحی، اجرا و راه‌اندازی شود.

اشتراک اطلاعات آسیب‌پذیری‌ها
آسیب‌پذیری دستگاه‌ها، سیستم‌ها و سرویس‌های IOT باید کنترل و به همراه خطرات مرتبط با آن به کاربران اینترنت اشیا و ذی نفعان مربوطه اطلاع داده شود.

اطلاع از ریسک‌ها و اقدامات لازم
ریسک‌ها و اقدامات لازم در ارتباط با سیستم و سرویس IOT باید به کاربران اطلاع داده شود و اگر دستگاه‌ها از ایمنی پایینی برخوردار باشند باید کاربران از این مسئله آگاه باشند و مسئول آگاهی‌رسانی برعهده تولیدکننده دستگاه‌ها و سرویس‌های IOT است.

اقدامات امنیتی سازگار با چرخه حیات سیستم‌ها و سرویس‌های IOT
اقدامات امنیتی سیستم و خدمات IOT باید در مراحل چرخه حیات، ازجمله توسعه، بهره‌برداری، نگهداری و تخریب، تطبیق داده شده و نگهداری شوند.

راهنمایی برای کاربران در مورد استفاده صحیح از دستگاه‌ها و خدمات IOT
کاربران باید راهنمایی‌های لازم را در مورد استفاده صحیح از دستگاه‌ها و خدمات IOT داشته باشند تا بتوانند ریسک‌های مرتبط با استفاده نامناسب از دستگاه‌ها را کاهش دهند.

تعیین مسئولیت در بین اشخاص علاقه‌مند
نقش‌های توسعه‌دهنده خدمات IOT، ارائه‌دهنده خدمات IOT و سایر اشخاص علاقه‌مند در امنیت سیستم و سرویس IOT باید تعیین شده و در بین طرف‌های مربوطه توافق حاصل شود.

نقش توسعه‌دهنده خدمات IOT و ارائه‌دهنده خدمات IOT در امنیت باید همراه با نقش آنها در ارائه خدمات تعیین شود. توسعه‌دهنده خدمات IOT باید نقش امنیتی در توسعه، پیاده‌سازی، آزمایش و یکپارچه‌سازی سرویس IOT داشته باشد و ارائه‌دهنده خدمات IOT باید نقش امنیتی در مدیریت و راه‌اندازی سرویس داشته باشد. نقش‌های فرعی توسعه‌دهنده خدمات IOT و ارائه‌دهنده خدمات IOT در صورت لزوم باید با نقش‌های امنیتی تخصیص داده شوند. نقش‌های امنیتی باید به اشخاص ذی‌نفع ازجمله کاربران IOT اطلاع داده شود. این ارتباطات می‌تواند به صورت زیر باشد:

- مشخصات سرویس ارائه شده به کاربران IOT
- توافق‌نامه بین طرفین در زنجیره تأمین خدمات IOT
- مدیریت دستگاه‌های آسیب‌پذیر

دستگاه‌های آسیب‌پذیر IOT باید شناسایی شده و هشدارهای لازم در اختیار کاربران و راهبران قرار گیرد. ارائه‌دهندگان سرویس‌های IOT باید مکانیسم‌هایی را برای شناسایی دستگاه‌های آسیب‌پذیر IOT توسعه و ایجاد کنند. باید بر فعالیت دستگاه‌های IOT نظارت شود تا رفتارهای غیر عادی آنها شناسایی شود و رفتار غیر عادی دستگاه‌ها ثبت شده و هشدارهای لازم برای کاربران و راهبران ارسال شود.

جلوگیری از حملات حریم خصوصی به دستگاه‌های IOT
قابلیت‌های افزایش حریم خصوصی در دستگاه‌ها و سرویس‌های IOT با هدف جلوگیری از ریسک حمله مهاجمان به حریم خصوصی باید طراحی شود. در اولین مرحله باید مولفه‌های داده‌های حساس شناسایی شود و بعد از آن باید قابلیت‌های حریم خصوصی را برای دستگاه‌ها و سرویس‌های IOT طراحی و پیاده‌سازی کرد.

اطمینان از حریم خصوصی پیش‌فرض در IOT
باید تنظیمات پیش‌فرض در دستگاه‌ها و سرویس‌های IOT به گونه‌ای تنظیم شود تا از حریم خصوصی محافظت شود. در واقع در این کنترل بدون نیاز به مداخله کاربر باید تنظیمات مربوط به محافظت از حریم خصوصی اعمال شود. مکانیسم کنترل دسترسی مناسب باید با دستگاه و سرویس ساخته شود. مسئولیت حفظ حریم خصوصی باید بر عهده تولیدکنندگان دستگاه IOT و ارائه‌دهندگان خدمات هوشمند باشد و تنظیمات اولیه محافظت از حریم خصوصی باید به صورت پیشفرض و بدون دخالت کاربر انجام شود.

اهداف جمع‌آوری و استفاده از داده‌های شخصی باید واضح، مستند و محدود شود
اطلاعات شخصی جمع‌آوری شده توسط دستگاه‌های IOT و سرویس هوشمند باید با رضایت کاربر نهایی و به طور محدود باشد. چک‌لیستی باید برای کاربر فراهم شود تا اهداف و بازه زمانی برای جمع آوری اطلاعات و افرادی که از این اطلاعات استفاده می کنند در آن ذکر شود.

اطمینان از تأیید صحت مستقل دستگاه‌های IOT
باید از تایید مستقل دستگاه‌های IOT اطمینان حاصل کرد که شامل مولفه‌های داده و سرویس‌های هوشمند می‌شود چرا که این دید را به کاربر نهایی می‌دهد که دستگاه‌ها، سرویس‌ها را مطابق با اهداف آنها ارائه می‌دهند.

نکته: کاربران به عنوان عنصر اصلی دستگاه ها و سرویس های IOT باید در نظر گرفته شوند

برای ایجاد اعتماد کاربران نهایی، باید به نیازها و نگرانی‌های آنها در زمینه طراحی دستگاه‌ها و سرویس‌های IOT پرداخته شود. حریم خصوصی به عنوان یکی از نیازهای اصلی کاربران نهایی IOT باید در نظر گرفته شود و این استراتژی با نام user first یا کاربر اول شناخته شده است که باید در طراحی دستگاه‌ها و سرویس‌های IOT در نظر گرفته شود تا به اعتماد بیشتر کاربر کمک کند.

کنترل‌های حریم خصوصی IOT پیاده‌سازی و تایید شود
بررسی اثر بخشی کنترل‌های حریم خصوصی در دستگاه‌ها و سرویس‌های IOT و شناسایی خطرات جدید حریم خصوصی با توجه به نیاز کاربران و الزامات نظارتی باید صورت گیرد و به طور مداوم باید کنترل‌های امنیتی و حریم خصوصی به صورت عملیاتی و سیستمی با تأیید مناسب انجام شود تا اطمینان حاصل شود که نیازهای کاربران پوشش داده می شود.

شناسایی منحصر به فرد دستگاه ها IOT با استفاده از کاربران
دستگاه‌های IOT باید از روش‌های منحصر به فرد برای شناسایی کاربران استفاده کنند. برای مثال در یک خانه هوشمند باید کاربران مجاز برای دسترسی به ترموستات خانه به دستگاه معرفی شوند و افراد غیر مجاز اجازه تنظیم ترموستات را نداشته باشند.

احراز هویت بدون خطا
توسعه دهنده‌های سیستم IOT باید اطمینان حاصل کنند که احراز هویت پیاده سازی شده را نتوان به هیچ روشی bypass، دستکاری و یا جعل کرد. اگرچه احراز هویت بخشی از امنیت داده است اما در صورت استفاده از IOT باید مکانیزمی مستقل ایجاد شود که دسترسی به دستگاه و انجام عملیات را تایید کند.

به حداقل رساندن داده‌های غیر مستقیم
اطمینان حاصل شود که جمع‌آوری داده‌ها از منابع غیر مستقیم به حداقل رسیده یا به طور کامل جمع‌آوری نشده باشد. به عبارت دیگر هرگونه داده غیر مستقیم جمع‌آوری شده، که بدون مشارکت کاربران جمع‌آوری می‌شود باید به حداقل برسد، مگر آنکه با موافقت کاربر همراه باشد.

تغییرات حریم خصوصی
تنظیمات حریم خصوصی کاربر فقط در صورت احراز هویت کاربر مجاز به سیستم IOT باید تغییر و یا حذف شود. باید یک پروتکل فنی ایجاد شود که تنظیمات هر کاربر به طور ایمن در دستگاه ذخیره‌سازی شود و با سایر دستگاه‌ها و سرویس‌های IOT هماهنگ شود.

نتیجه‌گیری
در این نوشتار الزامات مربوط به تولیدکننده‌ها و توسعه‌دهنده‌های IOT تشریح شد که به دو دسته الزامات مربوط به امنیت و الزامات مربوط به حریم خصوصی تقسیم‌بندی شده است نکته‌ای که در این قسمت وجود دارد این است که با توجه به استاندارد ISO ۲۷۰۰۱ که تمام حوزه‌ها را در بر می‌گیرد و می‌توان برای IOT استفاده کرد که در مقاله نقش استاندارد ISO۲۷۰۰۱ در اینترنت اشیاء تشریح شد. اما با توجه به فناوری IOT باید استاندارد جداگانه‌ای برای آن در نظر گرفته شود که مطابق تکنولوژی‌های آن باشد لذا استاندارد ISO۲۷۰۳۰ پیشنهاد شد و لازم به ذکر است که استاندارد ISO۲۷۰۳۰ در حال توسعه بوده و به صورت رسمی منتشر نشده است و الزامات مطرح شده به صورت پیشنهاد مطرح شده است.