能力 4. 提供数据保护和治理

此功能支持 AWS SRA 物联网最佳实践中的最佳实践 8。

Capability 4 满足了在从边缘设备到云存储和处理系统的整个生命周期中保护物联网和 IIo T 数据的关键需求。它包括针对静态数据和传输中数据的强大加密机制，以及建立全面的数据治理实践。

理由

工业系统可以生成、处理和存储大量敏感信息，包括专有制造工艺、设备性能数据和关键操作遥测。未经授权访问或操纵这些数据可能会导致严重后果，从知识产权盗窃到运营中断和安全事故不等。实施强大的加密和数据治理实践可以直接解决这些风险。它有助于保护宝贵的信息资产，并有助于确保工业运营的连续性。

安全性注意事项

实施强大的数据保护和治理措施可以解决物联网、T 和 O IIo T 环境中的多种安全风险。主要问题包括未经授权访问存储在物联网设备和边缘网关上的敏感数据，以及在设备和云系统之间传输期间拦截数据。

补救措施

数据保护

静态数据加密：存储在已部署的设备（例如传感器或摄像头）上的信息可能看起来无害，但是当无法保证对设备的物理控制时，这些信息可能会成为未经授权的行为者的目标。示例包括消费类相机上的缓存视频、工业应用中的专有机器学习 (ML) 模型以及操作环境的配置数据。对于已部署的设备，最佳做法是尽可能加密所有静态存储的数据。这包括：

• 设备存储：使用基于硬件的加密（如果可用）或强大的软件加密来加密物联网设备上的本地存储。

• 边缘网关：在边缘网关和本地服务器上实现全盘加密。

• 云存储：对存储在云中的数据使用 AWS托管加密服务，如 AWS SRA 应用程序帐户AWS KMS 部分中所述。

实施清除存储在设备中的信息的机制。当设备被重新利用或出售以及所有权变更时，这可能是必要的。

传输中数据加密：加密所有传输中的数据，包括传感器和设备、管理、配置和部署数据。几乎所有现代物联网设备都有能力对网络流量进行加密，因此请充分利用该功能并保护数据平面和控制平面通信。这种做法有助于确保数据的机密性和监控信号的完整性。对于无法加密的协议，请考虑离物联网资产更近的边缘设备是否可以接受通信并将其转换为安全协议，然后再将其发送到本地边界之外。

主要做法包括：

• 所有 MQTT 和 HTTP 通信都使用 TLS（也就是说，使用 MQTTS 和 HTTPS）。无论网络数据包路由路径如何，无论它是否局限于 AWS 主干，都建议使用安全的通信。

• 为包括边缘在内的物联网消息传递实施安全的 MQTT。

• 使用 AWS Site-to-Site VPN AWS PrivateLink、和 AWS Direct Connect 用于本地组件与之间的安全通信 AWS。与可访问互联网的 API 端点相比，这些服务提供了更可预测的网络路由或数据包封装。