物联网安全服务

物联网设备之所以被部署，是因为它们解决了某个业务问题，比如一个传感器、一个摄像头、一台智能门禁读卡器，而安全往往只是事后补上的环节，甚至根本没人考虑。这类设备出厂时常带有薄弱或硬编码的凭据，补丁更新很少（甚至从不更新），网络访问范围也远远超出实际工作所需。

风险不只在设备本身，而在于设备一旦被攻陷之后能够触及什么。平面网络上一台未打补丁的摄像头，就可能成为进入该网络其他一切的立足点，所以物联网安全既是设备问题，也是网络问题。

我会从哪里入手

第一是资产清点：您无法保护自己不知道已联网的东西，而影子物联网，也就是有人接入却没告诉任何人的设备，极为常见。第二是网络分段：物联网设备应当放在自己的网段内，访问权限严格限定，而不是与您的财务系统处于同一个平面网络。第三是生命周期：由谁负责固件更新、凭据轮换，以及设备到达使用寿命终点或被替换时的退役处理。

评估您已经部署的设备

对于已经投入生产的设备，我会评估它们实际能触及什么、使用什么凭据、固件是否为最新，然后按实际暴露程度而不是设备本身有多“有趣”来排定修复的优先级。隔离网段上的一台智能恒温器，其优先级要比放在核心网络上的楼宇门禁控制器低得多。

如果您的组织持续增加联网设备（大多数组织都是如此），这就不是一次性的项目。值得建立一套常设流程，在设备部署之前而不是之后对新设备进行审查。