Security by Design, een eis voor Internet of Things

Security by Design kan veel problemen voorkomen en zouden we feitelijke moeten afdwingen.

Leveranciers die producten ontwikkelen voor het brede en snelgroeiende gebied van op het internet aangesloten apparaten, moeten veiligheid inbouwen bij het ontwerpen. Ze moeten een beveiligingsbeleid hebben om het verzamelen van data tegen te gaan en gebruikers nuttige meldingen geven en keuzes te bieden over hoe hun data wordt gebruikt, volgens de GDPR (AVG) en de Autoriteit Persoonsgegevens.

We praten veel over de mogelijkheden van van het Internet of Things. Draagbare gezondheidsmonitoren, huishoudelijke apparaten in een netwerk en andere zaken zoals mijn Wifi deurbel. Een waarschuwing is echter op zijn plaats, deze apparaten kunnen een bedreiging vormen voor de privacy van consumenten. Fabrikanten en dienstverleners moeten een adequate beveiliging bieden.

Het lijdt geen twijfel dat het Internet of Things (IoT) ons dagelijks leven gaat veranderen. Het heeft het potentieel om enorme voordelen voor de consument te bieden. Er zijn echter ook aanzienlijke gevolgen voor de privacy en de beveiliging.

De Autoriteit Persoonsgegevens moet op zoek naar bedrijven die tekortschieten met hun beveiligings- en privacybeleid

Het IoT is een hot topic op de CES waar verkopers van over de hele wereld apps en apparaten demonstreren. Die zijn gericht op het bevorderen van gezondheidszorg, energie-efficiëntie en slimme steden, om er maar een paar te noemen. Het is een gebied dat de Autoriteit Persoonsgegevens nauwlettend in de gaten zou moeten houden.

De Autoriteit Persoonsgegevens houdt zich wel bezig met internet, big data, smart TV’s, Cookies en reclame maar over IoT is nog niet veel op de website te vinden. Belangrijkste is natuurlijk het verzamelen van data uit IoT en dat deze data beveiligd is. Over de op zichzelf staande apparaten in data netwerken rept men niet en IoT-leveranciers zouden voorzichtiger moeten zijn dan nu het geval is.

Verbonden apparaten stellen bedrijven in staat om onze anders private activiteiten digitaal te volgen. Deze indringende verzamelwoede van data geeft onvermijdelijk aanleiding tot bezorgdheid over het gebruik van deze data.

Leveranciers moeten Security by Design voor IoT aannemen

Bij de IoT leveranciers moeten we er op aan dringen dat ze een ​​”Security by Design” -benadering te hanteren bij de ontwikkeling van op internet aangesloten apparaten. Experts merken op dat veel van die producten, die goedkoop worden aangeboden en voor een wijdverspreide implementatie bestemd zijn, op dat vlak een uitdaging kunnen vormen. Zo heeft mijn deurbel wel een wachtwoord maar wat het beveiligd en of het te kraken is weet ik.

De kleine apparaten zijn een probleem omdat je slechts beperkte rekenmogelijkheden hebt. Sommigen van deze apparaten zijn bedoeld voor zeer kleine, eenmalige en lichtgewicht acties. Dit maakt ze lastig te onderhouden en een businesscase voor de beveiliging pakt al snel negatief uit.

Sommige waarnemers vinden dat de huidige ontwikkelstrategie van de technische industrie niet langer van toepassing is in een IoT-wereld. Een product snel op de markt brengen en vervolgens patches en andere updates laten volgen kan eigenlijk niet meer. Met name als deze via netwerksystemen in huis en auto’s verschijnen, waar een digitaal beveiligingsrisico snel een fysiek risico opleveren.

Welke beveiligingsregels moeten er m.b.t. Security by Design komen?

Ingebouwde sensoren en andere kleine IoT-apparaten roepen ook een andere uitdaging op. Bedrijven zijn gewaarschuwd om een dataminimalisatiebeleid te implementeren dat de data die ze verzamelen beperkt. De hoeveelheid tijd die data wordt vasthouden moet ze verkorten. Data die niet zijn verzameld of die al zijn vernietigd, kunnen niet in verkeerde handen vallen.

Naast het beleid ten aanzien van dataminimalisatie doet men een beroep op IoT-leveranciers om de manier waarop zij consumenten informeren over het gebruikt en delen van data te verbeteren. Er moeten tools komen waarmee consumenten bepaalde soorten van data verzameling en datadeling kunnen uitschakelen. .

Dit betekent aanvullende regelgeving naast het bestaande ingewikkelde privacywetgeving en de gebruiksvoorwaarden die de leveranciers zelf opstellen. Bedrijven investeren miljarden Euro’s in deze nieuwe industrie. Ze zouden daarbij ook gepaste investeringen moeten doen om de privacy van de consument te beschermen.

Discussieer mee op LinkedIn.