FTC: Het eisen van perfecte IoT-beveiliging hindert innovatie
Het verplicht stellen van een "perfecte beveiliging" voor Internet of Things-apparaten hindert innovatie, zo stelt de Amerikaanse telecomtoezichthouder FTC. Volgens de overheidsorganisatie moeten fabrikanten wel "redelijke stappen" nemen om hun apparatuur tegen ongeautoriseerde toegang te beschermen.
Aanleiding voor de mening van de FTC is een hoorzitting en een verzoek tot informatie van de Consumer Product Safety Commission (CPSC) over de veiligheid van IoT-apparaten. De CPSC stelt dat onveilige IoT-apparaten gebruikers kunnen blootstellen aan schokken, vuur, brandwonden, verwondingen, kneuzingen en chemische stoffen. De veiligheid van persoonlijke data en privacyproblemen met betrekking tot IoT-apparaten ziet de CPSC niet als productrisico's die het moet aanpakken.
Volgens de organisatie is het nodig voor de veiligheid van IoT-apparaten dat er een "framework van best practices" wordt opgesteld. Iets waarvoor de CPSC feedback van geïnteresseerde partijen zocht. Die konden tot 15 juni hun meningen opsturen. De FTC heeft dit ook gedaan en de eigen mening online gezet. De telecomtoezichthouder richt zich op drie punten, namelijk best practices voor het voorkomen van beveiligingsproblemen, ervoor zorgen dat gebruikers zich voor beveiligingsinformatie en terugroepacties registreren en de rol van de overheid in het bevorderen van IoT-veiligheid.
Als het gaat om het voorkomen van beveiligingsproblemen vindt de FTC dat IoT-fabrikanten het updateproces moeten stroomlijnen, tijdig beveiligingsupdates moeten uitbrengen en beveiligingsupdates niet met feature-updates moeten combineren. Wat betreft de rol van de overheid en het opstellen van wetgeving pleit de FTC voor een technologieneutrale aanpak die flexibel genoeg is zodat die niet overbodig wordt als de technologie verandert.
Dat hoeft de innovatie niet te remmen en bevorderd het bewustzijn bij mensen wat je juist weer als een innovatie kunt zien ....
(1) Slecht patchwerk
(2) Slechte authenticatie
(3) Slechte code
(4) Plaintext communicatie
(5) Slechte privacy-bescherming
(6) ...
En dat zal de komende tijd niet veranderen, want de programmeurs weten niet beter en de producten worden gekocht. Daarnaast is beveiliging niet meer dan een non-functional requirement dat een goedwillende medewerker in het DevOps team "erbij doet", dus in het land der blinden is een-oog koning. Nee, dat IoT gaat nog een mooie cashcow worden. Voor de security clubjes onder ons dan, om de shit op te ruimen die anderen maken.
Als je voortdurend een goed evenwicht weet te bereiken tussen security-functionality-usability dan vullen beveiliging en innovatie elkaar aan en ze versterken elkaar juist.
Wat heb je aan een innovatief produkt dat niet veilig genoeg is? Dat produkt zal een heel korte levencyclus beleven (te kort om de investering eruit te halen iig, lees: NROI -no return on investment-).
ja het lijkt wel alsof innovatie gelijk staat aan hype-cycles volgen niet omdat het moet, maar omdat het kan. wel is het zo dat er steeds iemand rijk van wordt en de ander met de puin zit... wilde westen en snake oil als vanouds dus.
Ze citeren dit uit een hoorzitting:
is a continuous process of assessing and addressing risks; that there is no one-size-fits-all data security program; and
that the mere fact that a breach occurred does not mean that a company has violated the law.)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
