NIST atualiza orientações de segurança para dispositivos IoT

O National Institute of Standards and Technology (NIST) colocou em consulta pública uma versão atualizada das suas orientações de cibersegurança para produtos da Internet of Things (IoT), com o objetivo de refletir os desafios atuais de segurança e apoiar a definição de requisitos para dispositivos integrados nas redes da administração federal dos Estados Unidos.

O documento, denominado “SP 800-213 Revision 1 – IoT Product Cybersecurity Guidelines for the Federal Government: Establishing IoT Product Cybersecurity Requirements”, estará em consulta pública até 24 de agosto.

Segundo o SecurityWeek, com base em informações do NIST, a crescente utilização de produtos IoT obriga as organizações a considerarem estes equipamentos como componentes integrantes dos seus sistemas de informação, devendo ser incluídos nos processos de gestão e avaliação de risco.

A nova versão das orientações atualiza a publicação original, lançada há cinco anos, para responder à evolução do panorama tecnológico, operacional e das ameaças de cibersegurança.

O documento complementa a publicação SP 800-213A, que reúne um catálogo de capacidades de cibersegurança e requisitos não técnicos dirigidos tanto a fabricantes como a utilizadores de produtos IoT.

O instituto sublinha que nem todos os produtos IoT necessitam de implementar o conjunto completo de capacidades descritas no catálogo. “Tal como nem todos os sistemas de tecnologias de informação do Governo Federal utilizam todos os controlos de segurança, também nem todas as capacidades do catálogo são necessárias em todos os produtos IoT”, refere o NIST.

Uma das principais alterações introduzidas nesta revisão passa pela substituição do conceito de dispositivo IoT por produto IoT. Segundo o NIST, esta alteração pretende clarificar a distinção entre o produto e o sistema onde é implementado, garantindo que as organizações consideram todos os componentes envolvidos e dispõem de maior flexibilidade na aplicação dos requisitos de cibersegurança.

O organismo solicita agora contributos da indústria, fabricantes, especialistas e restantes partes interessadas sobre as alterações introduzidas, nomeadamente quanto à clareza dos conceitos utilizados e à sua adequação aos objetivos pretendidos.

Além desta publicação, o NIST recomenda que as organizações consultem outras referências do instituto relacionadas com gestão de risco, incluindo a SP 800-30 Revision 1, dedicada à realização de avaliações de risco, e a SP 800-53 Revision 5, que reúne controlos de segurança e privacidade para sistemas de informação.