Agentschap Telecom (AT) heeft acht eisen geformuleerd voor fabrikanten van IoT-apparatuur, die de beveiliging verbeteren. Het eisenpakket is tot stand gekomen uit onderzoek dat in opdracht van het AT is uitgevoerd.
Om consumenten beter te beschermen tegen cyberaanvallen moeten standaard fabriekswachtwoorden verboden worden, zo stellen de onderzoekers onder meer. Het installeren van updates moet geautomatiseerd verlopen, fabrikanten moeten beveiligde verbindingen gebruiken en geen onnodige verbindingen toestaan. Ook moeten fabrikanten en aanbieders van slimme apparaten consumenten beter informeren over het veilig gebruiken van slimme apparaten. De acht eisen zijn niet uitputtend maar zorgen samen voor het grootste veiligheidseffect om als basisniveau te verplichten in de EU.
De eisen
- Alle wachtwoorden moeten voldoen aan de standaard NIST SP800-63b Digital Identity Guidelines.
- Na initiële configuratie moeten wachtwoorden uniek zijn voor elk apparaat, of opgegeven zijn door de gebruiker.
- Netwerktoegang tot een apparaat in functionele staat moet alleen mogelijk zijn na authenticatie.
- Het apparaat mag alleen poorten en koppelingen aanbieden die noodzakelijk zijn voor normale en bedoelde functionaliteit.
- Al het netwerkverkeer moet versleuteld en geauthentiseerd worden door middel van gangbare encryptie protocollen, zoals TLS.
- Fabrikanten moeten een update van de programmatuur in apparaten kunnen initiëren. Doormiddel van automatische updates, ofwel door het actief informeren van de eindgebruiker.
- Het apparaat moet de integriteit en authenticiteit van programmatuur controleren alvorens deze te installeren.
- De fabrikant moet duidelijke informatie verschaffen over de verantwoordelijkheden van de eindgebruiker om het apparaat veilig te gebruiken.
Taken voor eindgebruikers
Gebruikers van slimme apparaten kunnen zelf ook al veel doen om hun apparaten minder kwetsbaar te maken voor ongewenste toegang en cyberaanvallen: voer regelmatig updates uit, kies een sterk wachtwoord, deel zo min mogelijk informatie met het apparaat en koppel het apparaat niet onnodig aan een netwerk. Veel apparaten hoeven voor gebruik niet online te zijn.
De acht eisen komen voort uit een literatuuronderzoek uitgevoerd door Bluemark Innovations en Qbit Cyber Security. De eisen verhogen niet alleen de veiligheid van slimme consumentenapparaten, maar kunnen ook op een eenvoudige manier getest en geïmplementeerd worden door fabrikanten.
