ibm商业价值研究院-为应对全球性安全问题做好准备_8页_497kb

电子行业应对全球性安全问题的准备指南总结

核心内容

电子行业在快速发展的同时，面临着日益复杂的安全挑战，尤其是随着物联网（IoT）技术的广泛应用。IoT不仅带来了业务转型的机遇，也引入了新的安全风险，包括网络漏洞、用户安全意识不足、设备与数据保护的复杂性以及跨领域协作的困难。企业需要全面审视自身在IoT环境下的安全责任，并建立跨职能的策略来应对这些挑战。

主要观点

• 安全责任的模糊性：IoT结合了运营技术（OT）和信息技术（IT），两者在安全责任划分上存在冲突。传统上，IT安全团队并不被视为IoT安全的主要负责人，而产品工程和业务线负责人则承担更多责任。
• IoT安全的重要性：IoT设备广泛分布于各种环境中，包括工厂、合作伙伴网络和消费者端，这些设备可能成为攻击的入口。因此，企业必须关注设备、数据和网络的全面安全性。
• 安全漏洞的普遍性：默认配置、弱密码、缺乏更新和维护是常见的安全漏洞，导致攻击者可以轻易控制设备。此外，数据在传输、存储和共享过程中也面临隐私泄露和数据滥用的风险。
• 道德与合规挑战：随着数据收集的增加，隐私和伦理问题日益突出。各国和地区已出台相关法规（如GDPR、HIPAA等），企业必须确保其数据处理行为符合法律要求。
• 企业需主动应对：企业应制定清晰的策略，明确数据所有权、使用范围和安全措施，并定期评估和更新安全方案以应对不断变化的威胁。

关键信息

五个IoT安全事实

1. 设备运行环境复杂：IoT设备常在无人监督的环境中运行，需同时防范数字和物理攻击。
2. 软件安全性随时间下降：设备使用越久，越容易成为攻击目标。
3. 默认设置构成风险：攻击者可利用默认配置控制设备。
4. 用户参与是关键：除非用户主动删除默认设置，否则弱配置将长期存在。
5. 数据积累带来更高风险：数据泄露的成本随泄露量增加而上升。

安全策略建议

• 跨部门协作：制定跨职能部门的安全策略，涵盖IT、OT和IoT。
• 云安全评估：确保云供应商具备足够的IoT安全保障能力。
• 数据生命周期管理：明确数据的收集、使用、共享、验证和保护流程。
• 技术防护措施：采用先进的安全技术，如物理层防克隆功能（PUF）。
• 用户隐私保护：在数据收集和使用过程中，确保不侵犯用户隐私，防止数据被滥用或泄露。

风险评估与应对

• 风险评估必要性：企业需评估数据泄露的潜在影响及成本，制定相应的防御措施。
• 道德与法律问题：企业需考虑数据收集的伦理边界，确保符合GDPR、HIPAA等法规。
• 客户知情权：制定清晰、具体的服务条款，使客户了解其数据如何被使用。

行动建议

• 明确IoT设备的安全责任归属，避免模糊地带。
• 定期检查设备和网络的安全性，更新防护措施。
• 建立全面的数据管理策略，包括存储、传输和销毁。
• 加强员工和管理层的安全意识，确保全员参与安全实践。
• 与云服务提供商和合作伙伴共同制定安全标准，确保数据安全。

专家观点

• Tim Hahn：IBM物联网安全杰出工程师，强调企业需关注IoT设备的全面安全性，尤其是云平台和终端设备。
• Hiroshi Yamamoto：IBM全球电子行业首席技术官，指出IoT系统互联带来的风险，并建议企业采取主动措施应对。

结论

电子行业必须从传统的IT安全模式向更全面的IoT安全模式转变，确保在设备、数据和网络层面均具备足够的防护能力。同时，企业需关注道德与法律问题，制定清晰的策略，提升客户信任度，并与合作伙伴共同构建安全生态。安全不是单一部门的责任，而是全公司必须共同努力的事业。