NIST, IoT 디바이스 보안 강화를 위한 제조사 지침 초안 발표

새로운 NIST 권장사항은 IoT 디바이스가 고객에게 판매되기 전에 제조사가 수행해야 할 사이버보안 관련 자발적 활동을 제시합니다.

미국 국립표준기술연구소(NIST)가 IoT 디바이스 제조사를 위한 권장사항 두 번째 초안을 발표했습니다.

여기서 연방 기관은 상용화 전에 수행해야 할 일련의 질문과 평가를 제시하며, 이는 "IoT 디바이스 침해의 빈도와 심각성을 줄이는 것"을 목표로 합니다.

주요 내용은 다음과 같습니다.

• 예상 고객 식별 및 IoT 디바이스의 예상 유스케이스 정의: NIST가 제시한 첫 번째 포인트이며 매우 중요합니다. 디바이스가 무엇에 사용될지, 어디서 사용될지, 무엇에 연결될지 파악함으로써 제조사는 약점을 식별하고 판매 전에 보완할 수 있습니다.

• 고객 사이버보안 목표 조사: 첫 번째 포인트에서 이어지며, 디바이스 출하 전 약점 식별. NIST는 디바이스가 물리적 세계와 어떻게 상호작용할지, 어떻게 접근될지, 누가 모니터링할지, 어떤 데이터를 보유할지, 어떤 규정을 따라야 할지 묻습니다. 캘리포니아가 최근 IoT 보안 주법을 제정했으며, 올해 더 많은 주와 국가가 따를 것으로 예상됩니다.

• 고객 목표 해결 방법 결정: 외부 위협을 파악한 후, 디바이스 제조사는 디바이스 식별, 구성, 데이터 보호, 논리적 접근 제한, 소프트웨어 및 펌웨어 업데이트를 파악해 온보드 보안 강화를 검토해야 합니다.

• 고객과의 소통 접근 방식 정의: 제품 출시 후 제조사는 이슈에 대해 고객과 소통할 수 있어야 합니다. NIST는 정보를 가능한 한 이해하고 접근하기 쉽게 만들 것을 권장합니다.

• 고객에게 전달할 내용과 전달 방식 결정: 구매자들이 가장 우려하는 것 중 하나는 제조사가 지원을 중단하면 디바이스가 모든 기능을 잃는 것입니다. NIST는 제조사가 지원을 얼마나 오래 제공할지, 지원 종료 후 디바이스가 어떤 기능을 가질지 고객에게 명확히 알릴 것을 권장합니다.