功能 4. 提供資料保護和管理

此功能支援AWS 來自 IoT SRA 最佳實務的最佳實務 8。

功能 4 解決了在整個生命週期保護 IoT 和 IIoT 資料的關鍵需求，從邊緣裝置到雲端儲存和處理系統。它包含健全的靜態資料和傳輸中資料的加密機制，以及建立完整的資料控管實務。

理由

工業系統可以產生、處理和存放大量敏感資訊，包括專屬製造程序、設備效能資料和關鍵操作遙測。未經授權存取或操作此資料可能會導致重大後果，從智慧財產權盜竊到操作中斷和安全事件。實作強大的加密和資料控管實務會直接解決這些風險。它有助於保護寶貴的資訊資產，並有助於確保工業營運的持續性。

安全考量

實作強大的資料保護和控管措施可解決 IoT、IIoT 和 OT 環境中的多種安全風險。主要考量包括未經授權存取存放在 IoT 裝置和邊緣閘道上的敏感資料，以及在裝置和雲端系統之間傳輸期間攔截資料。

修復

資料保護

靜態資料加密：存放在感應器或攝影機等已部署裝置上的資訊可能看起來無害，但當不保證裝置的實體控制時，該資訊可能是未經授權的演員的目標。範例包括消費者相機上的快取影片、工業應用程式中的專屬機器學習 (ML) 模型，以及操作環境的組態資料。對於部署的裝置，最佳實務是盡可能加密所有靜態存放的資料。其中包含：

• 裝置儲存：使用硬體型加密 （可用時） 或強大的軟體加密來加密 IoT 裝置上的本機儲存。

• 邊緣閘道：在邊緣閘道和本機伺服器上實作全磁碟加密。

• 雲端儲存：針對存放在雲端的資料使用 AWS受管加密服務，如 AWS SRA 應用程式帳戶中的 AWS KMS 節所述。

實作機制來清除存放在裝置中的資訊。當裝置重新利用或販售並變更擁有權時，這可能會是必要的。

傳輸中資料加密：加密傳輸中的所有資料，包括感應器和裝置、管理、佈建和部署資料。幾乎所有現代 IoT 裝置都有執行網路流量加密的容量，因此請利用該功能並保護資料平面和控制平面通訊。此實務有助於確保資料的機密性和監控訊號的完整性。對於無法加密的通訊協定，請考慮更接近 IoT 資產的邊緣裝置是否可以接受通訊，並在將通訊傳送到本機周邊之外之前將其轉換為安全通訊協定。

關鍵實務包括：

• 對所有 MQTT 和 HTTP 通訊使用 TLS （即使用 MQTTS 和 HTTPS)。無論網路封包路由路徑為何，無論是否受限於 AWS 骨幹，都建議使用安全通訊。

• 實作適用於 IoT 訊息的安全 MQTT，包括在邊緣。

• 使用 AWS Site-to-Site VPN AWS PrivateLink和 AWS Direct Connect 進行內部部署元件與 之間的安全通訊 AWS。相較於可存取網際網路的 API 端點，這些服務提供更可預測的網路路由或封包封裝。