Responsabilitatea se întinde pe producători, integratori, furnizori de servicii, proprietari, administratori și utilizatori, pentru că securitatea unui dispozitiv depinde de capabilități și decizii distribuite în ecosistemul produsului.
Cerințele trebuie să urmeze scopul, expunerea, datele, efectele fizice, mediul, durata de suport și consecințele eșecului. Liniile de bază pentru consumatori sunt puncte de plecare; sistemele industriale, medicale, de transport sau legate de siguranță pot avea nevoie de inginerie și asigurare specifice sectorului.
Puncte esențiale
Construiți produse securizabileFurnizați identitate de dispozitiv, configurație controlată, date și credențiale protejate, comunicații sigure, interfețe minimizate, integritate software, jurnalizare fezabilă, valori implicite sigure și resetare sau ștergere sigură.
Sprijiniți ciclul de viațăMențineți cunoașterea componentelor, publicați o perioadă de suport, livrați actualizări autentificate, primiți și acționați asupra rapoartelor de vulnerabilități, comunicați modificări și riscuri și permiteți transfer și dezafectare sigure.
Implementați defensibilInventariați dispozitivele și dependențele, schimbați valorile implicite nesigure, restricționați accesul, segmentați după consecințe, monitorizați comportamentul, păstrați opțiuni de recuperare și testați modificările față de nevoile de siguranță.
Limitare importantăO linie de bază, o etichetă, un firewall sau o rețea segmentată nu poate compensa fiecare dispozitiv slab sau serviciu abandonat. Hardware-ul constrâns, actualizările indisponibile, credențialele partajate, dependența de cloud și accesul fizic pot lăsa risc rezidual; izolarea sau actualizările netestate pot crea efecte nesigure.