自从"物联网"成为专业术语以来，已经过去了近二十年，但是我们仍然在追问一个同样的问题："保护数以亿计的物联网设备的安全，究竟是谁的职责？"考虑到这一市场的最新进展，有人可能认为我们现在已经搞清楚了其中的答案，但事情并非如此简单。

　　从设备安全到行业标准

　　尽管物联网安全长期以来一直是热门的讨论话题，但是它正变得越来越重要，越来越具有挑战性。

　　首先，由操作技术（OT）独自负责保护物联网安全的日子已经一去不复返，其通常"通过隐匿性来实现安全"，即在物理上将产品操作、工业网络与企业网络和互联网隔离起来。虽然企业已经意识到需要将IT与OT整合起来，推动新的使用案例，在网络和应用之间实现开放的数据流，从而支持更好的业务决策、降低成本、减少复杂性，但IT与OT实践之间的诸多差距正成为新的攻击面。

　　其次，网络不法分子越来越多地将物联网作为目标。研究显示，向物联网设备发起的DDoS（分布式拒绝服务）攻击正呈现上升趋势。例如，Mirai僵尸网络病毒已经感染了数十万物联网设备，这让它们有能力协同发起大规模网络攻击。

　　再次，对于物联网而言，每个垂直领域对涉及核心或关键任务基础设施的安全要求都不尽相同。例如，在公共事业领域，美国政府近期强制将第五版NERC CIP（北美电力可靠性委员会关键基础设施保护）标准作为网络安全标准，而医疗行业则按照HIPPA要求保护数据的安全。

　　虽然企业IT、首席安全官和各国政府在物联网安全中发挥着核心作用，但要对关键性安全、数据保护和隐私等一系列要求达成共识，这是每个人，尤其是行业的责任。

　　从设备到行业标准

　　设备和安全厂商对物联网生态系统都起着非常关键的作用。

　　在2016年一系列重大的消费级物联网攻击事件发生后，不仅政府开始考虑相应法规，越来越多的厂商和设备制造商也终于开始对物联网安全进行相应的投资。

　　与此同时，物联网厂商开始合力制定关于物联网安全的标准、互操作性和相关认证。

　　IETF、工业互联网联盟（IIC）安全工作组和IEEE等机构正在积极地开发和探索物联网安全架构、标准和方法，以确保由不同品牌、型号和类型组成且相互连接的物联网系统的网络安全。这将有助于公司在开发和部署自己的物联网解决方案时降低风险。

　　与传统的IT环境相比，物联网环境更加分散、多元化，并且规模也更加庞大。这些独特的挑战让所有参与者的工作更加复杂。这为我们引出了保护物联网安全的下一道防线--你的职责。

　　最佳业务实践

　　随着厂商开始重视物联网安全挑战并接受互操作标准，不同行业的公司也必须要将保护物联网安全、防范潜在的灾难性网络攻击作为自身工作的一部分。关键的策略是获取网络、网络端点、物联网设备和云基础设施的可视性。

　　列出接入网络的设备和系统清单：

　　安全团队通常只能参考被管理的设备快照视图或过时的列表。如果可能的话，让设备搜索能够自动准确地知道：哪些设备正在运行哪些操作系统，并迅速发送补丁，堵上已知漏洞。此外，还要对集中平台进行投资，这些平台能够整合所有的物联网创新，提供可视性和安全性，并从不同系统之间的数据共享中获得新的价值。

　　实时监测和漏洞检测：

　　对能够密切监测网络流量、检测攻击者、追踪物联网设备与网络上和其他设备交互方式的解决方案进行调研。如果一部分物联网设备正在扫描其他设备或是可预见的流量模式发生了变化，那么，这些都是恶意行为的明显征兆。例如，如果一部HVAC系统正在与销售点（POS）系统通信，或是POS竟然向云端发送数据，那么，我们需要迅速标记并关闭这一行为。

　　执行基于网段和角色的访问控制：

　　确保只有经过授权的人、机器或进程可以访问特定类别的设备或数据流。HVAC没有任何理由被允许可以与POS对话，不是吗？为了阻止这种情况发生，应该将这些系统隔离在一个独立的网段内，并评估网段策略，定期测试其有效性。

　　对员工进行培训，让安全意识成为一种文化：

　　无论员工的岗位是什么，他们都应当成为抵御威胁的第一道防线。就像物联网本身，安全教育并非一劳永逸的事情。IT和物联网均面临的另一个问题是60%的安全威胁源自内部。1/4的违规事件为无意识操作，包括点击钓鱼邮件中的链接和给为未经授权的人敞开大门。

　　尽管这些最佳实践将有助于确保物联网的安全，但是公司必须在物联网安全方面采取一个基于策略的综合性方案，将数据、设备和物理安全整合在一起，这是一条底线。随着每年数以亿计的新设备上线，为了保护物联网系统的安全，我们将采取打破边界或"通过隐匿性来实现安全"的防御方式。如果我们想享受互联系统带来的所有便利，那么每个人都需要清楚并承担起自己相应的责任。

　　请仔细思考，你在保护物联网安全中的职责究竟是什么？

　　作者：Maciej Kranz为思科系统公司战略创新部副总裁，全球物联网顶级专家，同时也是《纽约时报》畅销书《构建物联网世界(Building the Internet of Things)》的作者。
 

责任编辑：刘沙