[[414125]]

GDPR已進(jìn)入第三個(gè)年頭，遵守歐盟數(shù)據(jù)隱私條例仍然是組織需要解決的重要問(wèn)題，尤其是在物聯(lián)網(wǎng)(IoT)方面。

此外，隨著遠(yuǎn)程工作目前成為常態(tài)，以及個(gè)人設(shè)備隨后大規(guī)模集成到組織網(wǎng)絡(luò)中，影子物聯(lián)網(wǎng)將被企業(yè)中的個(gè)人廣泛部署。作為新的新冠肺炎工作場(chǎng)所合規(guī)性政策的一部分，即將到來(lái)的返回辦公室也將帶來(lái)大量物聯(lián)網(wǎng)設(shè)備，這些設(shè)備可能會(huì)安裝在網(wǎng)絡(luò)中。

數(shù)字化轉(zhuǎn)型導(dǎo)致了這些連網(wǎng)設(shè)備的爆炸式增長(zhǎng)。但是，盡管它們?yōu)樘岣邩I(yè)務(wù)生產(chǎn)力和增加連接性提供了巨大的機(jī)會(huì)，但它們也為數(shù)據(jù)保護(hù)和 GDPR 合規(guī)性帶來(lái)了新的挑戰(zhàn)。其中一些設(shè)備(例如醫(yī)療設(shè)備)可能會(huì)收集大量需要保護(hù)并受 GDPR 約束的個(gè)人數(shù)據(jù)。

GDPR 隱私設(shè)計(jì)

GDPR的隱私設(shè)計(jì)和安全設(shè)計(jì)側(cè)重于物聯(lián)網(wǎng)制造商和設(shè)備本身設(shè)計(jì)的合規(guī)性。此外，英國(guó)境內(nèi)的所有物聯(lián)網(wǎng)服務(wù)提供商和制造商都必須遵守《消費(fèi)者物聯(lián)網(wǎng)安全實(shí)踐準(zhǔn)則》中概述的以下原則：

• 不能有默認(rèn)密碼
• 實(shí)施漏洞披露策略
• 保持物聯(lián)網(wǎng)軟件的更新
• 安全存儲(chǔ)憑據(jù)和敏感數(shù)據(jù)
• 安全通信，即遠(yuǎn)程管理和控制，必須加密
• 通過(guò)最小特權(quán)原則最小化暴露的攻擊面
• 確保軟件完整性
• 確保個(gè)人數(shù)據(jù)受到保護(hù)
• 監(jiān)控系統(tǒng)遙測(cè)數(shù)據(jù)
• 讓消費(fèi)者可以刪除自己的數(shù)據(jù)
• 使設(shè)備的安裝和維護(hù)變得容易
• 驗(yàn)證輸入數(shù)據(jù)

但是，這些指南給物聯(lián)網(wǎng)設(shè)備的制造商帶來(lái)了負(fù)擔(dān)。企業(yè)自己可以做些什么來(lái)遵守 GDPR? 上面的許多原則都適用。

發(fā)現(xiàn)數(shù)據(jù)保護(hù)盲點(diǎn)

當(dāng)今組織需要解決數(shù)據(jù)保護(hù)盲點(diǎn)，以確保合理的安全性，以保護(hù)消費(fèi)者的私人數(shù)據(jù)并滿(mǎn)足最低級(jí)別的網(wǎng)絡(luò)安全要求。

盡管大多數(shù)數(shù)據(jù)安全標(biāo)準(zhǔn)要求組織確保技術(shù)是安全的和最新的，但這對(duì)大多數(shù)人來(lái)說(shuō)是一個(gè)挑戰(zhàn)。盡管它們是業(yè)務(wù)運(yùn)營(yíng)的關(guān)鍵部分，但連網(wǎng)設(shè)備的范圍很廣，而且經(jīng)常運(yùn)行過(guò)時(shí)的系統(tǒng)。它們的規(guī)模和多樣性，以及網(wǎng)絡(luò)連接能力帶來(lái)了風(fēng)險(xiǎn)——每臺(tái)設(shè)備都是潛在的攻擊媒介，必須保護(hù)其免受網(wǎng)絡(luò)攻擊和潛在漏洞的侵害。

為了最大限度地降低這些風(fēng)險(xiǎn)并滿(mǎn)足 GDPR 數(shù)據(jù)合規(guī)性和監(jiān)管閾值，組織必須開(kāi)發(fā)一種全面的方法來(lái)保護(hù)所有設(shè)備。這些包括：

• 發(fā)現(xiàn)和清點(diǎn)每一臺(tái)設(shè)備：確保您知道并能夠分析網(wǎng)絡(luò)中的每一臺(tái)物聯(lián)網(wǎng)設(shè)備是實(shí)現(xiàn)安全的第一步。
• 了解可能泄露的風(fēng)險(xiǎn)和個(gè)人數(shù)據(jù)：為了遵守 GDPR，必須了解設(shè)備是否存在數(shù)據(jù)泄露風(fēng)險(xiǎn)(例如，運(yùn)行過(guò)時(shí)的操作系統(tǒng)、支持弱密碼或證書(shū)，或者設(shè)備本身有 PII 數(shù)據(jù))。
• 了解設(shè)備在網(wǎng)絡(luò)中做什么：建立基線(xiàn)并了解設(shè)備通信模式有助于您了解個(gè)人數(shù)據(jù)的處理或存儲(chǔ)位置。例如，雖然醫(yī)療設(shè)備本身可能具有 PII，但與云中服務(wù)器通信的 IP 攝像頭可能在云中存儲(chǔ)數(shù)據(jù)。
• 監(jiān)控異常通信：此最佳實(shí)踐是關(guān)于識(shí)別已經(jīng)發(fā)生的潛在危害，例如與惡意域的通信，以便您可以在過(guò)程中阻止數(shù)據(jù)泄露。
• 易受攻擊設(shè)備的分割：實(shí)時(shí)發(fā)現(xiàn)、監(jiān)控和行為分析是第一步。安全團(tuán)隊(duì)還可以使用人工智能和自動(dòng)化來(lái)主動(dòng)分割現(xiàn)有基礎(chǔ)設(shè)施上易受攻擊的物聯(lián)網(wǎng)設(shè)備;這使得能夠?qū)υO(shè)備進(jìn)行適當(dāng)?shù)脑L(fǎng)問(wèn)，同時(shí)限制網(wǎng)絡(luò)安全攻擊和潛在的數(shù)據(jù)保護(hù)漏洞。

通過(guò)利用自動(dòng)化和正確的工具，安全團(tuán)隊(duì)可以提高對(duì)物聯(lián)網(wǎng)風(fēng)險(xiǎn)的可見(jiàn)性，識(shí)別受GDPR約束的設(shè)備，并保護(hù)它們免受潛在的數(shù)據(jù)泄露。

讓我們慶祝 GDPR 周年紀(jì)念日，以此提醒大家數(shù)據(jù)和連網(wǎng)設(shè)備所需的最佳實(shí)踐。