IoT-cyberbeveiliging: landschap in het Verenigd Koninkrijk en wereldwijd

De groei van verbonden apparaten en het internet der dingen heeft geleid tot een groter bewustzijn van het belang van cyberbeveiliging. Bedrijven en organisaties zijn gewend geraakt om hun IT-infrastructuur te beschermen tegen kwaadwillende hackers, maar verbonden apparaten zijn ook kwetsbaar en vormen een even doeltreffende platform om een grotere cyberaanval te lanceren. Van nature zijn deze apparaten moeilijker te beschermen en op de consumentenmarkt is er een veel lagere bewustwording van de mogelijke bedreigingen.

Pogingen om deze daling aan te pakken kunnen in grote lijnen worden onderverdeeld in drie categorieën:

• Normen en richtlijnen. Op basis van onderzoek en beste praktijken worden in deze documenten eisen en controles vastgesteld om de veiligheid te waarborgen, zowel bij fysieke apparaten als in ontwikkelingsprocessen.
• Certificeringssystemen. Deze bieden fabrikanten of leveranciers van apparaten en producten de mogelijkheid om aan te tonen dat hun producten een bepaald niveau van beveiliging bieden, vaak met verwijzing naar één of meerdere normen of richtlijnen.
• Vaak is het cruciale factor dat fabrikanten ertoe beweegt om actie te ondernemen en hun producten te laten testen op beveiligingsproblemen. De wetgeving kan hoog niveau beveiligingsmaatregelen opleggen, maar kan ook bepaalde certificeringsschema's aanwijzen die als bewijs kunnen worden gebruikt.

Er is geen tekort aan standaarden en richtlijnen op dit gebied. De meeste gevestigde standaardinstellingen en veel commerciële organisaties hebben de afgelopen jaren cyberbeveiligingsstandaarden uitgebracht die gericht zijn op consumentenproducten met internettoepassingen.

Relevante normen

Waarschijnlijk het meest gebruikte en meest geciteerde hiervan is ETSI EN 303 645. Eerst gepubliceerd in 2020, wordt EN 303 645 wereldwijd gebruikt als basisset van vereisten voor certificeringssystemen. Nieuwe standaarden in specifieke verticale toepassingen, zoals slimme energie, verwijzen vaak naar EN 303 645 om cyberbeveiligingsvereisten te dekken. EN 303 645 wordt regelmatig genoemd als relevante standaard in bepaalde wetgeving die consumenten-IoT-apparaten betreft.

In de Verenigde Staten publiceerde het National Institute of Standards and Technology in 2020 een NISTIR 8259A. Onderverdeeld in de categorie ‘Cybersecurity Capability Core Baseline’ voor IoT-apparaten en oorspronkelijk bedoeld om organisaties te helpen bij het ontwikkelen, verwerven of implementeren van IoT-producten, is NISTIR 8259A in certificeringsschema’s en door de overheid geleide cyberbeveiligingsactiviteiten in de VS veelvuldig gebruikt, inclusief bij consumentenproducten voor IoT.

Andere standaarden die betrekking hebben op verbonden apparaten zijn de standaarden van de Consumer Technology Association. CTA-2088, het IoT Security Assurance Framework van de IoT Security Foundation, en de UL-2900-serie van UL Solutions, die ook specifieke dekking biedt voor medische hulpmiddelen.

Certificeringssystemen

Met enkele uitzonderingen hebben normenorganisaties over het algemeen de aanbieding van certificeringsprogramma's die rechtstreeks verband houden met hun gepubliceerde normen vermeden. In plaats daarvan zijn deze programma's meestal afkomstig van de sector Test, Inspectie en Certificatie (TIC).

Resillion biedt een Veilige verbonden apparaat een assuranceprogramma waarmee fabrikanten van IoT-apparaten hun producten zelfstandig kunnen laten testen en certificeren volgens een reeks normen, waaronder de hierboven vermelde normen. Vergelijkbare programma's zijn beschikbaar bij andere technologie-testbedrijven.

De IASME Foundation is actief in de Britse markt en biedt de IASME IoT Cyber Scheme samen met bredere cyberbeveiligingsprogramma's zoals Cyber Essentials en Cyber Essentials Plus.

Een andere brancheorganisatie die een certificeringsschema ontwikkelt is de Connectivity Standards Alliance (CSA), de organisatie achter Zigbee en de meer recente Zigbee Alliance. Matter standaarden voor apparaatconnectiviteit. Met CSA-leden die onder andere veel van de grootste fabrikanten van smart home-apparatuur en verbonden apparaten zijn, zoals Apple, Google en Amazon, heeft het CSA-systeem de potentie om op grote schaal te worden geadopteerd, vooral door fabrikanten binnen het CSA-ecosysteem en het Matter-ecosysteem.

Certificatie succes

De meest succesvolle etiketterings- of certificeringssystemen zijn altijd die die worden gesteund door wetgeving of overheidsstimulansen, of die als bewijs kunnen dienen van naleving van regelgevende vereisten. Blijkbaar is deze overheidsinterventie, gezien de mogelijke risico's die daarmee gepaard gaan, lang op zich laten wachten en is ze nog steeds relatief zeldzaam.

Een van de eerste overheden die wetgeving invoerde was Singapore, met de Systeem voor de etikettering van cybersecurity (CLS), en de staten Oregon en Californië, allemaal in 2020. De CLS-norm van Singapore is gebaseerd op de ETSI-norm EN 303 645 en kent verschillende garantieniveaus, die beginnen met een zelfcertificering van de fabrikant en verder gaan naar niveaus die een onafhankelijke test vereisen. In afwezigheid van specifieke certificering zijn wetgeving zoals die van Oregon en Californië vaak gebaseerd op bepaalde basisvereisten, zoals geen gemeenschappelijke standaardwachtwoorden, een manier om ontdekte kwetsbaarheden te melden en een proces voor het bijwerken van de firmware om deze aan te pakken.

In Europa is de Cyberresiliente wet de wetgeving in de lidstaten zal bepalen dat IoT-apparaten bepaalde cyberbeveiligingsvereisten moeten voldoen voordat ze op de Europese markt verkocht kunnen worden. Voor draadloze apparaten, de EU Richtlijn radioapparatuur (RED) heeft specifieke eisen rondom cyberbeveiliging die in het midden van 2025 van kracht zullen zijn (verplaatst van 2024).

Recenter, in 2023, heeft de Amerikaanse overheid via de FCC de ontwikkeling van een ‘US Cyber Trust Mark’. Dit zal een vrijwillig labelingssysteem zijn voor consumenten-IoT-apparaten en het doel is om consumenten een goed geïnformeerde keuze te bieden bij de aankoop van verbonden apparaten en het vertrouwen te geven dat hun apparaten en persoonlijke gegevens veilig zijn.

In het Verenigd Koninkrijk, de Wet van 2022 betreffende productveiligheid en telecommunicatie-infrastructuur (PSTI) was een belangrijk wetgevend instrument. Deze wet heeft tot doel kopers en gebruikers van IoT-producten te beschermen door de minister van Binnenlandse Zaken de bevoegdheid te geven om op grond van de wet te eisen dat dergelijke producten bepaalde cyberbeveiligingsvereisten vervullen.

De definitie van ‘connecteerbaar product’ in de PSTI-wet is vrij ruim: vrijwel elk digitaal product dat kan worden aangesloten op het internet of op een netwerk. De wet legt verplichtingen op aan fabrikanten, maar ook aan importeurs, distributeurs en retailers van relevante producten om ervoor te zorgen dat alles wat bedoeld is om in de Britse markt te worden verkocht, voldoet aan de vereisten. Daarom moet elke onderneming in deze leveringsketen maatregelen nemen om ervoor te zorgen dat wat ze verkoopt conform is, of anders riskeert om mogelijk aanzienlijke boetes te krijgen.

Wat zullen we in de toekomst zien?

Het is waarschijnlijk dat internationale normenorganisaties uiteindelijk geharmoniseerde normen zullen ontwikkelen waarmee fabrikanten hun producten kunnen certificeren als bewijs van naleving van de regelgeving. Dit is waarschijnlijk de weg die in Europa wordt gevolgd voor de RED; CEN-CENELEC (het Europees Comité voor Normalisatie en het Europees Electrotechnisch Comité voor Normalisatie) is al belast met het ontwikkelen van een dergelijke norm.

Op de korte tot middellange termijn is de beste manier voor een fabrikant om zijn IoT-producten veilig te demonstreren echter het gebruik van een van de bestaande commercieel beschikbare systemen, zoals het IASME IoT Cyber Scheme of Resillion’s Secure Connected Device assurance. Zelfs zonder enige wettelijke of regelgevende verplichtingen vormen de zakelijke en reputatierisico’s van een groot cybersecurity-incident dat aan een product van de fabrikant wordt toegeschreven een overtuigend argument voor het investeren in beveiligingsevaluaties en -certificering voorafgaand aan elke productrelease.