Le autorità USA sottolineano l’importanza della cyber sicurezza integrata nei dispositivi SOHO fin dalla progettazione.
L’urgente necessità di una progettazione orientata alla sicurezza sta diventando una priorità non solo per le aziende ma anche per gli enti di regolamentazione. Di recente, l’agenzia per la sicurezza cibernetica e l’infrastruttura degli Stati Uniti (CISA) e l’FBI hanno messo in rilievo l’importanza di eliminare i difetti nei router SOHO (Small Office/Home Office) fin dalla loro concezione e sviluppo.
La serie di alert “Secure by Design” (SbD), mira a spostare l’onere della sicurezza dai consumatori ai produttori, integrando principi di sicurezza sin nelle prime fasi del design prodotto. Questa iniziativa si è concretizzata in una guida specifica destinata ai fabbricanti di dispositivi SOHO, suggerendo modifiche significative alla configurazione predefinita dei dispositivi e alla gestione delle interfacce web, oltre a promuovere l’automazione delle capacità di aggiornamento.
In aggiunta, CISA e FBI sollecitano i produttori a proteggersi dalle attività del gruppo sponsorizzato dalla Repubblica Popolare Cinese, denominato Volt Typhoon, e da altre minacce informatiche, rendendo pubbliche le vulnerabilità attraverso il programma Common Vulnerabilities and Exposures (CVE) e fornendo una classificazione accurata del Common Weakness Enumeration (CWE).
Il documento invita i costruttori a leggere e implementare le direttive di “Security Design Improvements for SOHO Device Manufacturers”, che si allineano ai tre principi iniziali forniti dalle agenzie:
- Assumersi la responsabilità degli esiti della sicurezza dei clienti.
- Abbracciare la trasparenza radicale e la responsabilità.
- Costruire una struttura organizzativa e un leadership che mirino al raggiungimento di questi obiettivi.
Adottando questi principi nei loro processi di design, sviluppo e distribuzione, i produttori possono prevenire sfruttamenti e compromissioni dei router SOHO. Queste linee guida evidenziano una crescente tendenza verso la consapevolezza e l’adozione di pratiche di cyber security proattive nell’industria tecnologica.