Tieferer Einblick in die Entwicklung von Produkt-Cybersicherheit für OEMs

In den letzten Monaten hatte ich mehr Gespräche als je zuvor mit Produktteams, Ingenieuren und Sicherheitsverantwortlichen, die alle unter dem gleichen Druck stehen: Wie kann man mit dem Tempo der Veränderungen im Bereich der IoT Schritt halten, ohne die für die Einführung neuer Produkte erforderliche Innovation zu bremsen?

From new IoT regulations and rising consumer security expectations to increasingly sophisticated cyberattacks on smart devices, the challenges are real, and they’re growing. That’s exactly why we updated our 10 Steps to IoT Security eBook. Not just to refresh the content, but to give OEMs actionable guidance, grounded in today’s reality. 

🔍 Was gibt's Neues?

This recently updated edition is your guide for building secure, compliant, and future-ready products. The updated edition:

• Reflects new threat models: Firmware, software supply chains, and device identities are now prime targets.
• Covers evolving standards and expectations: What was acceptable 3 years ago isn’t today.
• Addresses engineering challenges: From crypto-agility to OTA updates in resource-constrained environments.
• Adds deeper guidance on scaling securely: Because what works for 10 devices won’t cut it for 10,000.
  
  

Vor diesem Hintergrund habe ich fünf Kernprioritäten zusammengestellt, auf die sich jeder OEM konzentrieren sollte, um mit der Integration von Security by Design zu beginnen - und zwar noch heute. Legen wir los.

🛠️ Security by Design

1. Aufbau einer Zero-Trust-Architektur mit PKI für das IoT

Die Grundlage für digitales Vertrauen liegt in der Public Key Infrastructure (PKI), und es ist von entscheidender Bedeutung, die Root of Trust (RoT) frühzeitig im Entwicklungsprozess festzulegen. Es gibt einige Überlegungen, die zu berücksichtigen sind, z. B. hardware, software oder hybride RoT, sowie Designelemente, wie z. B. Schlüssel- und Algorithmustypen.

Kurz gesagt, es ist wichtig, sich im Vorfeld Gedanken über die Designentscheidungen zu machen, da dies der Ausgangspunkt für die Einrichtung einer Produktsicherheitsplattform für die Geräte ist, die Sie jetzt und in Zukunft entwickeln.

2. Implementierung von sicherer Bereitstellung und Lebenszyklusmanagement

Sobald die RoT eingerichtet ist, kann ein sicheres Verfahren für die anfängliche Gerätebereitstellung festgelegt werden. In der Regel wird für jedes Edge-Gerät ein Geburtszertifikat in Form eines X.509-Zertifikats ausgestellt, das die unveränderliche Identität des Geräts darstellt. Es gilt für die gesamte Lebensdauer des Geräts, um seine Herkunft und Authentizität nachzuweisen.

Operational certificates can also be issued to devices that are used by an end customer to ensure runtime trust and establish secure TLS connections over time.  It’s also critical to have a robust certificate lifecycle management process in place to manage identities over time.

3. Schutz von Firmware und OTA-Updates

Firmware over the air updates are common, but it’s essential to make sure that you have implemented a process for secure code development, including initial signing, auditing, and remote updatings. This prevents malware from being installed on the devices you have sold to customers, and ensures that you have a proper record of all signing operations in the case of an audit.

4. Krypto-Agilität und Zukunftssicherheit einbauen

NIST has announced that RSA and ECC algorithms will be deprecated by the year 2030, and therefore product OEMs need to think about how to update cryptography that is inside field devices, especially if the devices are still under warranty, or will need to be operational past this impending deadline.

There is an opportunity for connected products to also adopt quantum-safe algorithms. Although integration depends on hardware and software constraints, it’s crucial – especially in certain industries – to factor this into the development of current product lines to ensure long-term security and resilience.

5. Zuweisung der Sicherheitseigentümerschaft über den gesamten Produktlebenszyklus

Die Produktsicherheit liegt nicht nur in der Verantwortung einer Person oder eines Unternehmens. Es handelt sich um eine Kombination mehrerer Beteiligter, die mit einem kohärenten Plan zusammenkommen, vom Komponentenhersteller über den Produkt- oder Lösungsintegrator bis hin zum Betreiber oder Endkunden.

Die Gewährleistung einer hohen Sicherheit von IoT während des gesamten Produktlebenszyklus erfordert eine klare Verantwortlichkeit in jeder Phase. Die Industrie oder regionale Regulierungsbehörden spielen ebenfalls eine Rolle bei der Bereitstellung von Leitlinien, um den Standard für vernetzte Geräte anzuheben, insbesondere für solche, die unsere kritische Infrastruktur und unsere Lebensqualität schützen.

Die IoT entwickelt sich schnell - bleiben Sie nicht zurück

Security by Design ist nicht mehr nur eine Best Practice - es ist die Grundlage für eine starke IoT . Beginnen Sie mit diesen fünf Prioritäten und nutzen Sie das aktualisierte eBook als praktischen Leitfaden, um Ihre Sicherheitsvorkehrungen für vernetzte Produkte zu verbessern.

👉 Download the newly revised 10 Steps to IoT Security eBook and take your first step toward building more secure, resilient devices.