Odpowiedzialność obejmuje producentów, integratorów, dostawców usług, właścicieli, administratorów i użytkowników, ponieważ bezpieczeństwo urządzenia zależy od zdolności i decyzji rozproszonych po całym ekosystemie produktu.
Wymagania powinny wynikać z celu, ekspozycji, danych, efektów fizycznych, środowiska, czasu wsparcia i konsekwencji awarii. Linie bazowe konsumenckie są punktami startowymi; systemy przemysłowe, medyczne, transportowe lub związane z bezpieczeństwem mogą potrzebować inżynierii i zapewnienia specyficznego dla sektora.
Najważniejsze punkty
Buduj produkty możliwe do zabezpieczeniaZapewniaj tożsamość urządzenia, kontrolowaną konfigurację, chronione dane i poświadczenia, bezpieczne komunikacje, zminimalizowane interfejsy, integralność oprogramowania, wykonalne logowanie, bezpieczne domyślne ustawienia oraz bezpieczny reset lub usuwanie.
Wspieraj cykl życiaUtrzymuj wiedzę o komponentach, publikuj okres wsparcia, dostarczaj uwierzytelniane aktualizacje, przyjmuj i działaj na zgłoszenia podatności, komunikuj zmiany i ryzyka oraz umożliwiaj bezpieczny transfer i wycofanie.
Wdrażaj obronnieInwentaryzuj urządzenia i zależności, zmieniaj niebezpieczne domyślne ustawienia, ograniczaj dostęp, segmentuj według konsekwencji, monitoruj zachowanie, zachowuj opcje odtwarzania i testuj zmiany pod kątem potrzeb bezpieczeństwa.
Istotne ograniczenieLinia bazowa, etykieta, zapora sieciowa ani segmentowana sieć nie może zrekompensować każdego słabego urządzenia lub porzuconej usługi. Ograniczony sprzęt, niedostępne aktualizacje, współdzielone poświadczenia, zależność od chmury i dostęp fizyczny mogą pozostawić ryzyko resztkowe; nieprzetestowane izolowanie lub aktualizacje mogą tworzyć niebezpieczne efekty.