Книга Интернет вещей. Новая технологическая революция - Мачей Кранц

Сегодня уже все наслышаны об опасениях, связанных с конфиденциальностью клиентов. В мире B2B вопрос конфиденциальности в настоящий момент стоит не так остро, но игнорировать его ни в коем случае нельзя. Недавно я обсуждал эти вопросы на рынках B2B2C с несколькими специалистами по обработке данных. Одной из главных тем были проблемы уровней доступа и согласия на обработку информации – в частности, речь шла о том, как и какими данными делиться, как минимизировать ущерб от их утечки, как их рандомизировать и обезличивать, а также на каком уровне анализировать пользовательские данные, чтобы извлекать из них необходимые сведения, не жертвуя неприкосновенностью личной информации пользователя. В индустрии обсуждаются различные подходы к этим вопросам, включая техники вроде деидентификации и присвоения псевдонимов. В полной мере эти проблемы не будут решены и через много лет после публикации этой книги (если вообще будут решены хоть когда-нибудь), поэтому просто держите руку на пульсе.

В мире B2B главные проблемы конфиденциальности несколько отличаются. Они попадают в одну из следующих категорий:

• Данные сотрудников. Как правило, компании придерживаются следующего правила: вся информация, которую пользователи загружают на принадлежащие компании устройства или в инфраструктуру предприятия, находится под контролем организации. Сотрудники имеют право получать доступ к этим данным и/или осуществлять их мониторинг. Однако это предполагает, что сотрудники разрешают загрузку своих данных на устройства компании или сами загружают их в сети организации. Это сводит проблемы конфиденциальности к необходимости четкой коммуникации правил – сотрудники должны быть знакомы с политиками компании и их следствиями.

• Местоположение данных. Все чаще местоположение данных – физическое и географическое – становится проблемой не только потребительских компаний, но и компаний, работающих в сфере B2B, и даже правительственных организаций. Огромное внимание сегодня уделяется вопросам данных, которые пересекают национальные границы; ведутся споры, стоит ли применять к такой информации другие правила. Ваша архитектура безопасности должна быть достаточно гибкой, чтобы отвечать всем этим требованиям.

• Защита конфиденциальной информации сотрудников. Вы же не хотите, чтобы кто-то украл или раскрыл данные вашей кредитной карты или другую личную информацию. Точно так же и вашим сотрудникам не хочется, чтобы были украдены или раскрыты конфиденциальные сведения относительно их трудоустройства. В связи с этим в бизнес-мире тоже начинают использоваться правила и инструменты для работы с данными, характерные для мира потребителей: ограничивается доступ к данным и возможности их использования. Если вы используете устройства, сеть и инфраструктуру своей организации, информация о вашей деятельности легко доступна. Однако вскоре организациям придется определить и озвучить широкий спектр правил в отношении личных данных персонала: от того, в какой мере работодатель сможет просматривать данные сотрудников и ограничивать доступ к ним, до того, как именно будет защищаться конфиденциальная информация, например размер зарплаты сотрудников. Эти вопросы обсуждаются годами, и теперь организации должны рассматривать их в контексте IoT, больше внимания уделяя правилам в отношении пользовательских данных, содержащихся в корпоративной сети.

Однако отрасль IoT все больше консолидируется вокруг единых стандартов и передовых практик безопасности. Сложный мир стандартов я опишу в следующей главе, но вот несколько примеров: комитеты по горизонтальной стандартизации, такие как Инженерный совет интернета (IETF), Институт инженеров электротехники и электроники (IEEE) и Национальный институт стандартов и технологий (NIST), запустили инициативы, связанные с ключевыми сценариями использования решений по безопасности IoT на ряде существующих и новых вертикальных рынков. Кроме того, ODVA, Международная ассоциация автоматизации (ISA) и другие комитеты по вертикальной стандартизации расширили свои программы безопасности, включив туда современные протоколы и передовые практики информационной безопасности, а также сведения об их интеграции со старыми системами и IoT. Эти организации также уделяют большое внимание образованию, обучению и распространению передовых практик. Недавно Консорциум промышленного интернета (IIC) опубликовал «Рекомендации по безопасности промышленного интернета», куда вошли передовые практики и советы по организации безопасности конечных устройств, коммуникаций, мониторинга и настройки оборудования. Будем надеяться, что этот документ, который стал результатом двух лет усердной работы участников IIC, послужит руководством по обеспечению безопасности в сфере промышленного интернета вещей.