EN 303 645 da ETSI: Os Reguladores Estão Protegendo Adequadamente os Dispositivos IoT?

Em junho de 2020, o Comitê Técnico da ETSI lançou a EN 303 645, uma linha de base abrangente de segurança para dispositivos Internet-of-Things, recebendo elogios da comunidade de segurança da informação.

Alan Grau, vice-presidente de soluções IoT e embarcadas na Sectigo, relata.

O padrão segue uma tendência crescente de legisladores e reguladores reconhecendo a necessidade urgente de proteger dispositivos conectados. A SB-327 da Califórnia, efetiva desde janeiro de 2020, e o "Draft Code of Practice: Securing the Internet of Things for Consumers" de 2019 da Austrália exemplificam governos tomando medidas decisivas.

Quando o Reino Unido anunciou seu próprio framework de IoT em janeiro de 2020, destacou as inadequações de longa data na segurança de dispositivos e a prontidão dos reguladores para abordá-las.

No entanto, a questão permanece: essas leis e padrões são suficientes para salvaguardar os bilhões de dispositivos IoT que povoam nossas casas e empresas?

Como a legislação molda a segurança de IoT

Historicamente, dispositivos IoT operavam atrás de redes proprietárias isoladas protegidas por um perímetro claro. A expansão da Internet vinculou esses sistemas via TCP/IP, criando benefícios de integração sem precedentes para consumidores e empresas. A IDC prevê 41,6 bilhões de dispositivos conectados até 2025 — um crescimento que supera a evolução regulatória.

O alinhamento regulatório ficou para trás dessa expansão rápida. Na busca por produtos de alto volume e custo-efetivo, muitos fabricantes priorizam velocidade de lançamento no mercado em detrimento de autenticação e segurança robustas, deixando dispositivos vulneráveis.

Sem um framework de IoT vinculante, os fabricantes produziram dispositivos com segurança mínima integrada, muitas vezes dependendo de credenciais estáticas que oferecem pouca proteção contra atacantes. Até que a segurança se torne obrigatória, atalhos continuarão a ser tomados. Legislação e governança robustas são essenciais para incorporar a segurança by design, da fabricação ao ciclo de vida do dispositivo.

Progresso e lacunas

Passos progressivos, como a SB-327 da Califórnia, estabelecem um framework claro para ferramentas de segurança e autenticação de próxima geração, visando botnets que expuseram as falhas de práticas anteriores. No entanto, a lei se aplica apenas à Califórnia e carece de aplicabilidade nacional.

A ETSI EN 303 645, desenvolvida através de colaboração entre indústria, academia e governos, oferece um alvo unificado para stakeholders. No entanto, como a SB-327, não é juridicamente vinculante, permitindo que alguns fabricantes adotem práticas de segurança frouxas porque é mais barato ou porque não enfrentam fiscalização.

Para verdadeiramente proteger a IoT, padrões visionários devem ser combinados com uma agenda legislativa que exija um framework de cibersegurança para o desenvolvimento de dispositivos.

Por que a segurança integrada importa

As melhores práticas agora enfatizam que a segurança deve ser incorporada na saída de fábrica. Com cadeias de suprimentos cada vez mais complexas, OEMs devem garantir que cada dispositivo seja seguro desde o momento em que deixa a fundição. A infraestrutura de chave pública (PKI) integrada garante que credenciais não possam ser adulteradas durante a montagem downstream, preservando a integridade ao longo do ciclo de vida.

Cadeias de suprimentos globais — o caso para padrões mundiais

O alcance global da IoT significa que dispositivos são projetados, fabricados e montados através de múltiplas fronteiras, amplificando o risco de lacunas de segurança. Um esforço legislativo coordenado é necessário para proteger dispositivos em cada etapa, salvaguardando propriedade, vida e dados.

O autor é Alan Grau, vice-presidente de Soluções IoT e Embarcadas na Sectigo.