英美重视IoT安全,漏洞披露和安全人才培养

yuun · · 64 次点击    
摘要: 美参议员提出《物联网网络安全改善法案》,国政府推出“网络学校计划”,投资2000万英镑培养网络安全人才,美国司法部发布框架 引导企业建立“漏洞披露计划”,美国大选投票机在ebay上出售包含65万选民个人信息。 【全球政策趋势】 美参议员提出《物联网网络安全改善法案》,提高政府设备采购安全门槛。点击查看原文 概要:近日,美国数位参议院议员提出《物联网网络安全改善法案》,希望立法规范联邦政府采购的物联网(以下简称IoT)设备的安全标准,。该法案要求IoT厂商保证出售给政府的装置可修补漏洞,不可使用固定密码,杜绝已知安全漏洞;要求使用IoT的部门清点装置并建立安全要求。 点评:参议员表示,希望通过政府采购“以身作则”,进一步完善整个行业的安全标准,补救“市场失灵”,鼓励在安全性的良性行业竞争。日前,我国工信部也表示,今年将重点聚焦车联网、物联网等新业务和融合领域的网络安全,鼓励企业创新,并将在该领域遴选试点示范企业。足以见得,关注IoT安全要求是全球趋势。国内IoT行业高速发展,终端用户现已达到1.81亿。然而,大多数IoT厂商以电子生产、制造为主体,缺乏网络安全意识与能力。因此,在其发展初期,需同步建设IoT安全监测、预警、威胁共享、快速处置等系列规章及系统,让IoT与安全同步发展。     英国政府推出“网络学校计划”,投资2000万英镑培养网络安全人才。点击查看原文 概要:该计划主要针对14-18岁的青少年,目标是在2021年培养至少5700名网络安全行业的新秀,1000名学生将获得4000英镑的奖学金。该计划为期四年,面向各类基础和专业背景的学生,课程包括线下和线上两种方式,提供编程、加密、数字取证和防御Web攻击等课程。学生可以自行控制线上课程的进度,每周约四小时学时。   点评:安全的本质是人与人的攻防对抗。无论多强大的安全护体系都需要专业人员管理和监控。近期全球网络安全事件频发,安全人才的重要性日益凸显。目前,我国安全人才缺口高达70万,且需求每年递增。《国家网络空间安全战略》和《网络安全法》都对网络人才培养提出了要求,教育部也增设了网络空间安全一级学科。在此基础之上,需要进一步加强学科专业建设,保障资金、师资、教学设备的投入。高校、科研机构和安全行业企业要共同育人,形成人才培养、技术创新、产业发展的良性生态链。 美国司法部发布框架 引导企业建立“漏洞披露计划”。点击查看原文 概要:很多美国企业和机构使用“漏洞悬赏计划”,来发现自身网络和应用程序中的漏洞。司法部为此发布了一个详细的框架,帮助企业设计漏洞披露计划,减少违反相关法律法规的可能性。该框架梳理了企业在设计、管理和实施计划的过程中有哪些注意点,例如明确报告漏洞的形式,接收漏洞报告的联络人,如何处理意外和故意违反该漏洞政策的行为等。   点评:美国的“漏洞披露计划”对我国也有借鉴意义,对于漏洞发现、披露等需要设定必要的国家安全标准与规范,以推进具有安全规范和管理的众测机制成长,一方面集中全国网络安全高手,为广大政府、企事业单位挖掘潜在漏洞风险,一方面有效管理白帽子的行为,让漏洞发现与披漏可以得到统筹管理,形成中国自己的软实力。 【相关安全事件】 美国大选投票机在ebay上出售包含65万选民个人信息。点击查看原文 概要:DefCon峰会上,有安全研究人员公开了一台美国大选后政府拍卖的ExpressPoll-5000 投票机。据称,政府拍卖前未将选民资料删除,因此该机器包含了田纳西州65万选民的个人信息(姓名,生日,家庭住址,电话,政党信息、是否缺席投票等等)。目前,有大量类似未经审核的投票机在ebay上被拍卖,最低售价只要几百美金。   点评:美国大选使用“笨重”的投票机的原因之一,是降低大规模黑客入侵的风险。然而,一些州政府对投票机缺乏妥善的管理和基本安全意识,给选民的个人信息安全带来了严重隐患。甚至在有关新闻报道公开后,公众仍然可以在ebay上搜索并购买这些投票机。对于包含个人信息或敏感数据的设备,尤其是政府用设备,需配套相应的全生命周期安全标准,如在丢弃之前应确保销毁有关记录,或在开始就避免明文储存信息,降低数据泄漏风险。  原文链接:http://click.aliyun.com/m/28085/
64 次点击  
加入收藏 微博
添加一条新回复 (您需要 登录 后才能回复 没有账号 ?)
  • 请尽量让自己的回复能够对别人有帮助
  • 支持 Markdown 格式, **粗体**、~~删除线~~、`单行代码`
  • 支持 @ 本站用户;支持表情(输入 : 提示),见 Emoji cheat sheet
  • 图片支持拖拽、截图粘贴等方式上传