С бързото развитие на Интернет на нещата (IoT), облачните услуги, мобилните приложения, изкуствения интелект и разпределените системи, сигурната комуникация между устройства и услуги се превръща в критичен елемент на киберсигурността. В този контекст ISO/IEC 27071:2023 предоставя международно призната рамка и препоръки за установяване на надеждни (trusted) връзки между устройства и услуги, базирани на хардуерни механизми за сигурност.

Стандартът е част от семейството ISO/IEC 27000 и допълва други стандарти, свързани с управление на информационната сигурност и киберсигурността.
 
Обхват и цел на стандарта
ISO/IEC 27071 предоставя рамка и препоръки за сигурност, насочени към изграждането на доверие между:

• крайни устройства (IoT устройства, мобилни устройства, индустриални контролери, сървъри);
• услуги (облачни платформи, backend системи, дигитални услуги).

Основната цел е да се гарантира, че:

• устройството комуникира с истинската, легитимна услуга;
• услугата получава данни от авторизирано и некомпрометирано устройство;
• данните са автентични и с гарантирана цялост.

Стандартът не разглежда въпросите, свързани с неприкосновеността на личните данни (privacy), а се фокусира изцяло върху киберсигурността и техническото доверие.
 
Защо криптираният канал не е достатъчен
В практиката често се разчита на протоколи като TLS/SSL, които осигуряват криптиране на комуникацията. ISO/IEC 27071 подчертава, че това не е достатъчно, защото:

• криптираният канал не гарантира, че данните идват от правилното устройство;
• не предотвратява използването на неоторизирани или компрометирани устройства;
• не осигурява доказателство за състоянието на средата, в която работи устройството.

Затова стандартът въвежда концепцията за доверие, базирано на хардуер.
 
Ключови компоненти в ISO/IEC 27071
1. Хардуерен модул за сигурност (HSM) и Root of Trust
В основата на надеждната връзка стои хардуерен корен на доверие (Root of Trust), реализиран например чрез:

• HSM;
• TPM (Trusted Platform Module);
• Secure Enclave / Secure Element.

Тези компоненти защитават криптографските ключове и идентичността на устройството от компрометиране.
 
2. Идентичност на устройства и услуги
Стандартът препоръчва:

• уникална, криптографски защитена идентичност;
• издаване на идентичности от доверени страни (например сертификационни органи);
• използване на PKI инфраструктура.

Идентичността без надежден root of trust се счита за лесно фалшифицируема.
 
3. Взаимна автентикация и установяване на ключове
ISO/IEC 27071 препоръчва взаимна (mutual) автентикация, при която:

• устройството удостоверява услугата;
• услугата удостоверява устройството.

Това предпазва от атаки тип impersonation и man-in-the-middle.
 
4. Дистанционно удостоверяване (Remote Attestation)
Remote attestation позволява на услугата да провери:

• дали устройството работи с доверен фърмуер;
• дали средата не е компрометирана;
• дали средата отговаря на предварително дефинирано доверено състояние преди приемането и обработката на данните.

Този механизъм е ключов за индустриални и IoT среди.
 
5. Цялост и автентичност на данните
Данните, които:

• се събират от сензори;
• се въвеждат от потребители;
• се генерират от алгоритми,

трябва да бъдат маркирани и криптографски подписани, така че тяхната цялост и произход да могат да бъдат проверявани дългосрочно.
 
Приложими сценарии
ISO/IEC 27071 е приложим в широк кръг от случаи, включително:

• IoT платформи и „умни“ устройства;
• индустриални системи и OT среди;
• облачни услуги;
• мобилни приложения с високи изисквания за сигурност;
• системи с критична инфраструктура.

 
Връзка с други стандарти

• ISO/IEC 27001 – управление на информационната сигурност (ISMS);
• ISO/IEC 27002 – контроли за сигурност;
• ISO/IEC 27070 – виртуализирани roots of trust.

ISO/IEC 27071 не е стандарт за сертификация и не съдържа задължителни изисквания, а предоставя насочващи препоръки.
 
Полза за организациите
Прилагането на ISO/IEC 27071 помага на организациите:

• да намалят риска от неоторизирани или компрометирани устройства и данни;
• да изградят доверие в разпределени системи;
• да повишат зрелостта на киберсигурността си;
• да отговорят на изискванията на клиенти и регулатори.

 
ISO/IEC 27071 предоставя ясен и структуриран подход за изграждане на доверие в съвременни, разпределени дигитални системи. За организации, които разчитат на автоматизиран обмен на данни между устройства и услуги, стандартът е ключов инструмент за повишаване на устойчивостта и сигурността на техните платформи.
 

ISO/IEC 27071:2023 Киберсигурност. Препоръки за сигурност за установяване на надеждни връзки между устройства и услуги