Définition et but

Le Cadre de Conformité de Sécurité IoTSF fournit un ensemble complet de directives de sécurité et de confidentialité pour aider à la création responsable de produits et services IoT. Il est conçu pour être évolutif, permettant une mise en œuvre dans divers secteurs et dans différentes tailles d'organisations. L'objectif principal du cadre est de répondre aux défis de sécurité associés au paysage IoT en pleine croissance et évolution.

Organisme de réglementation

Le cadre est régi et publié par la Fondation de Sécurité de l'Internet des Objets (IoTSF).

Dernière mise à jour

Le Cadre de Conformité de Sécurité IoTSF a été mis à jour pour la dernière fois en décembre 2018.

S'applique à

Le Cadre de Conformité de Sécurité IoTSF est conçu pour être polyvalent et s'applique à toutes les industries utilisant les technologies IoT. Cela inclut, mais sans s'y limiter, la fabrication, les soins de santé, le transport, les villes intelligentes et l'électronique grand public.

Contrôles et exigences

Les contrôles et exigences exacts peuvent varier en fonction de la version et des documents spécifiques. En règle générale, les directives IoTSF couvrent :

• Gouvernance - y compris l'évaluation des risques, la culture de la sécurité et les collaborations avec des tiers.
• Cycle de vie du produit sécurisé - intégrant la sécurité dans toutes les étapes, de la conception, au développement, à la mise hors service.
• Cycle de vie du développement logiciel sécurisé (SDLC) - méthodologies pour garantir la robustesse des logiciels.
• Dispositif sécurisé - protections du matériel, des logiciels et des données.
• Services aux utilisateurs finaux - garantissant la confidentialité et la sécurité des utilisateurs.
• Résilience opérationnelle - y compris la réponse aux incidents et le signalement des vulnérabilités.

Veuillez consulter la documentation officielle de la révision 2 du Cadre de Conformité de Sécurité IoT pour une liste détaillée des contrôles et des exigences.

Type, fréquence et durée de l'audit

Le cadre suggère des auto-évaluations ainsi que des audits par des tiers, en fonction du profil de risque et de la taille de l'organisation. La fréquence des audits est généralement basée sur les risques et peut dépendre de la criticité du système IoT, de son environnement et de toute exigence réglementaire. Les environnements à haut risque peuvent nécessiter des audits plus fréquents.

La durée dépend fortement de la taille et de la complexité du système IoT audité et de la portée de l'audit.