Odpovědnost se táhne přes výrobce, integrátory, poskytovatele služeb, vlastníky, administrátory a uživatele, protože bezpečnost zařízení závisí na schopnostech a rozhodnutích distribuovaných napříč produktovým ekosystémem.
Požadavky by měly vycházet z účelu, expozice, dat, fyzických účinků, prostředí, životnosti podpory a důsledků selhání. Spotřebitelské baseline jsou výchozí body; průmyslové, zdravotnické, dopravní či bezpečnostně relevantní systémy mohou potřebovat sektorové inženýrství a assurance.
Klíčové body
Budujte zabezpečitelné produktyPoskytujte identitu zařízení, řízenou konfiguraci, chráněná data a přihlašovací údaje, bezpečné komunikace, minimalizovaná rozhraní, integritu softwaru, proveditelné logování, bezpečná výchozí nastavení a bezpečný reset či mazání.
Podporujte životní cyklusUdržujte znalost komponent, publikujte období podpory, doručujte autentizované aktualizace, přijímejte a reagujte na hlášení zranitelností, komunikujte změny a rizika a umožňujte bezpečný přenos a vyřazení.
Nasazujte obranyschopněInventarizujte zařízení a závislosti, měňte nebezpečná výchozí nastavení, omezujte přístup, segmentujte podle důsledků, monitorujte chování, zachovávejte možnosti obnovy a testujte změny vůči potřebám bezpečnosti.
Důležité omezeníBaseline, štítek, firewall či segmentovaná síť nedokáže kompenzovat každé slabé zařízení či opuštěnou službu. Omezený hardware, nedostupné aktualizace, sdílené přihlašovací údaje, závislost na cloudu a fyzický přístup mohou zanechat reziduální riziko; netestované zadržení či aktualizace mohou vytvořit nebezpečné účinky.