https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1

觀點

物聯網資安,應從產品安全開發流程著手

2021 / 09 / 09
投稿文/ 安華聯網
物聯網資安,應從產品安全開發流程著手
隨著物聯網及智慧家居等應用興起,包括網路攝影機、無線路由器等連網產品安全,已開始被各國政府積極規範,以保障消費者的隱私與住家的網路安全。

產品出廠前即使有資安檢測仍不夠

2016年友訊科技的路由器與網路攝影機面臨來自美國政府的關注,原因起於產品標榜具備先進的網路安全能力,但卻仍發生用戶機敏資料外洩的資安事件,如即時影片或聲音。此一事件讓原本就在產品釋出前有進行資安檢測的友訊,開始進一步檢視可能被忽略的安全環節,最後發現,要降低類似事件發生的風險,就必須從產品安全開發流程的源頭著手;此外,若要以符合法規要求,且讓消費者使用得安心,取得國際級的資安認證更具有說服力。
 
因此,友訊隨即與安華聯網洽談進一步的合作,不僅在產品的安全測試上,而是建立完整的軟體安全開發(Secure Software Development Life Cycle, SSDLC)計畫,從開發源頭將資安納入設計中(Secure by design),並將資安控制措施整合至每一個流程節點上,最後成功取得IEC 62443-4-1的國際證書。

實現產品安全開發生命週期計畫知易行難

在過去的經驗裡,如何落實產品安全開發生命週期上的各項控制措施,對廠商而言才是最重要的課題,因此,將產品安全要求融入組織的資安政策與開發流程中是最重要的,包括產品風險評估(威脅建模)、風險處理及相對應資安要求的測試等作業程序。而友訊與安華聯網共同合作,開始著手導入SSDLC計畫至全公司,自產品規格定義、開案審查、設計、風險評估、測試、驗證到發行與維運部署,透過實例經驗以及顧問諮詢的方式,協助友訊的各部門產出安全開發流程的每個階段應對應產出的結果,以確保每一個安全開發流程環節都有被執行。
  • 跨部門分工合作、建立各個職務的資安意識
    安華聯網從訪談開始瞭解友訊實際的產品開發作業情況,協助制定符合現行產品開發以及SSDLC的作業流程,同時也透過大量的教育訓練與會議討論,確定適合友訊的安全開發流程。在這段期間,友訊與安華聯網分別串接起跨部門的分工與合作,全面施行SSDLC計畫,同時建立起重要的產品EOL(End-of-life)政策,除了考量保護產品使用者的資訊安全外,也透過這個政策的實施,更完整掌握產品的開發計畫與生命週期,解決老舊產品售後問題。除安全開發流程外,針對不同的部門職務角色,安排合適的教育訓練,包括資安意識、安全開發作業、產品安全開發指導方針,建立各個職務角色的資安意識與知識也是此次導入的成功的因素。
     
  • 採用弱點檢測自動化工具,降低產品安全測試成本
    此外,由於友訊的SSDLC計畫實施範圍為全組織,因此面臨到另一個耗時的關鍵活動——產品安全測試。為了縮短產品開發時程、產品上市時間並節省成本,友訊採用了安華聯網所自主研發高度自動化產品SecDevice弱點檢測自動化工具,協助友訊在開發過程中減少人工送測和報告產製時間。SecDevice採用自動化方式,僅須少量的人工介入,並具備快速找問題、自動產出測試報告等特色,對於Fail的測項上有詳細的測試資訊與修補建議,大幅降低修補時間與測試成本,給予測試人員與開發工程師很大的幫助。
透過安華聯網顧問輔導團隊的協助,友訊快速建立並完成產品安全任務編組、制訂開發安全檢視項目、客製化產品資安測項、導入產品安全檢測自動化工具與產品安全事件管理系統等控制措施,並於公司內部奠定了安全開發的基礎。友訊建立的SSDLC各項資安活動如(圖1)所示。
產品安全開發流程輔助系統及連網產品安全弱點檢測工具架構

成功取得IEC 62443-4-1證書

對多數製造商而言,導入軟體安全開發流程的目的,除了可降低風險外,若能取得國際資安認證,更能取信於消費者或買家。而IEC 62443-4-1國際認證,主要就是針對元件供應商所應符合的安全開發生命週期要項,所制定的資安規範,是以SSDLC的方法論(Methodology)為主,並參考ISO 27001與ISO 15408的部分要求,所組成嚴謹的國際資安標準,主要重點要求包含強化產品生命週期安全管理,以及安全更新管理與安全指引說明等。

建立委外廠商管理資安政策,導入產品資安合規自動化平台

由於友訊已完成並實現SSDLC計畫,因此在安華聯網的協助下,6個月內即完成IEC 62443-4-1的導入與取證的作業。在此期間,更進一步建立起完善的委外廠商管理的資安政策,包含安全開發風險評估表、採用弱點檢測自動化工具SecDevice的弱點驗證,降低任何可能影響產品安全的資安風險。此外,由於友訊的產品線廣泛,但維護管理的人力有限,因此在導入產品資安合規自動化平台SecFlow後,能依據產品組件與委外廠商,有效進行開源套件盤點及資安事件追蹤管理,並能即時回覆且進行相對應的處置,大幅加快產品弱點與資安事件的處理時效。
 
經過長時間的耕耘,友訊在2020年完成IEC 62443-4-1的稽核並取得IEC 62443-4-1證書,證明了友訊在產品資訊安全上的決心與努力已達到國際級的水準,而安華聯網也成功透過自身的經驗與自動化產品,協助友訊強化在產品資安上的國際競爭力。
 
隨著新興技術廣泛應用於各產業及消費市場,帶來新商機的同時也會產生更多資安風險,未來雙方將持續投入心力在AI、5G、WiFi 6、邊緣運算等領域的應用安全,保障產品資安,更讓消費者放心。

本文為投稿文章,不代表社方立場。