Disse kan stamme fra behovet for å kontrollere tilgangen til finansielle systemer (for eksempel Sarbanes-Oxley-lovgivningen), beskytte kredittkortinformasjon (fra PCI DSS-standarden), for å beskytte kritisk infrastruktur (som NERC, CIP, ANSSI kritiske infrastrukturstandardene eller FDA 510 (k) preliminære innleveringer). Tilsvarende for OT (operational technology), er det en rekke OT-forskrifter som kan være aktuelle for IoT-systemer som:

• Cybersikkerhet med ISA 99
• IEEE PC37.240
• Sikkerhetsintegritetsnivå (SIL-Safety Integrity Level)
• Beskyttelse av kritisk infrastruktur (CIP-Critical Infrastructure Protection)
• Kritisk infrastruktursikkerhet (CIS-Critical Infrastructure Security)
• Gjeldende god produksjonspraksis (CGMP-Current Good Manufacturing Practices)
• Utslippskontroll med Miljøvernbyrået (EPA-Environmental Protection Agency) og marin forurensning (MARPOL-Marine Pollution)
• Anleggsstandarder med energi-prestasjoner i bygningsdirektivet (EPBD-Energy Performance of Building Directive) og motoreffektivitet med minimum energiytelsesstandarder (MEPS - Motor Efficiency with Minimum Energy Performance Standards)

Sikkerhetsstandarder veileder og håndhever et felles nivå av sikkerhetskapabilitet for en bransje. Etterlevelsen av en standard krever å gjøre tiltak for å oppnå den etterspurte harmoniseringen, og unngå økonomiske eller andre bøter for avvik fra standardens krav. Standarder styrer sjelden implementeringer, så selv om en løsning er i samsvar med standarden, betyr det ikke at sikkerhetsresultatet er optimalt. Videre kan designavveininger være nødvendige mellom nivåer av etterlevelse og kostnader, eller enkel betjening og vedlikeholdbarhet.

Tilgjengelighet, integritet og konfidensialitet

Målet med å sikre IoT-systemer er å imøtekomme deres krav til tilgjengelighet, integritet og konfidensialitet. De identifiserte truslene, sårbarhetene og risikoreduserende tiltakene bør stå i samsvar med et akseptabelt risikonivå. Sikkerhetsstandarder er ment å veilede en organisasjon om beste sikkerhetspraksis, men det innebærer ikke at organisasjonens produkter vil være frie for sårbarheter eller at de er umulig å utnyttes av angripere.

Ideelt sett bør sikkerhetsimplementeringer også oppdateres med jevne mellomrom for å tilpasse seg nyoppdagede trusler, og eventuelt revurdere standardens etterlevelse. Dessverre kan sikkerhetsoppdateringer være umulige eller for kostbare. Drifts- og sikkerhetsfunksjoner har tradisjonelt vært tett koblet i industrisystemer, derfor kan oppdateringer, oppgraderinger eller feilrettinger kreve resertifisering i henhold til forskriftene (f.eks. IEC 61508 eller ISO 138491), og med direkte inkludering av relevante sertifiseringsorganer.

Forholdet til det europeiske maskindirektivet 2006/42/EC

Et eksempel er utfordringen knyttet til sikkerhetsoppdateringer for enheter som må være i samsvar med det europeiske maskindirektivet 2006/42/EC. Etter desember 2009 er dette direktivet bindende i alle medlemslandene i EU. Bare maskiner som overholder direktivet kan selges i EU. Produsenter av originalt utstyr (OEM - Original Equipment Manufacturers) er ansvarlige for denne etterlevelsen. De må dokumentere den tekniske sikkerheten til hver maskin og må inkludere denne dokumentasjonen i leveransen. CE-merkingen på maskinen symboliserer produsentens egenerklæring om at alle de essensielle helse- og sikkerhetskravene i de relevante EC-direktivene er oppfylt. Enhver oppdatering, oppgradering eller feilretting av programvaren eller fastvaren som påvirker sikkerhetsaspektene er kun mulig hvis kravene i maskindirektivet etterleves. Hvis ikke blir CE-merkingen ugyldig.

Veksten av IoT gjør at etterlevelsen av kravene til cybersikkerhet og sikkerhet blir enda mer utfordrende. Likevel vil nye regulatoriske paradigmer som er skalerbare, og metoder for riktig separasjon av cybersikkerhet, sikkerhet og driftsfunksjoner bane vei for å takle disse utfordringene.

Standarder for industriell automatisering og styringssystemsikkerhet

Den internasjonale elektrotekniske kommisjonen (IEC) publiserer IEC 624435-serien med standarder for industriell automatisering og styringssystemsikkerhet. Serien omfatter konsepter som elektronisk sikkerhet for produksjon- og styringssystemer, og dekker forskjellige typer systemer og anlegg i ulike bransjer.

For tiden består IEC 62443 standardserien av fire grupper.

• Gruppe 1, «Generelt», presenterer en standardisert terminologi, samt modeller, referanser og beregninger som andre grupper i standardserien refererer til.
• Retningslinjer og prosedyrer for opprettelse av effektive sikkerhets-programmer for industriell automatisering og styringssystemer ( IACS- Industrial Automation and Control Systems) diskuteres i gruppe 2, «Retningslinjer og prosedyrer».
• Gruppe 3, «System» dekker cybersikkerhetsteknologier, designmetoder, vurderingsmetoder, sikkerhetskrav og forsikringsnivåer.
• Krav til sikker utviklingslivssyklus for IACS og sikker komponentutvikling er omtalt i gruppe 4, «Komponent».

For eksempel, IEC 62443-2-4, «Krav til sikkerhetsprogram for IACS-tjenesteleverandører» standardiserer sikkerhetsfunksjonene for integrasjons- og vedlikeholdsaktiviteter, slik at eiere kan velge de som er mest passende for nettstedene deres. I tillegg definerer 62443-2-4, 62443-3-1 og 62443-3-3 ulike sikkerhetsnivåer avhengig av angriperens styrke, noe som er verdifullt for systemdesign. Denne standarden er i gang med akkreditering under IEC systemet for samsvarsvurderingsordninger for elektroteknisk utstyr og komponenter (IECEE). Etterhvert kan den bli vedtatt som en sikkerhetssertifisering for sikring av operatørenes forsyningskjeder.

Veiledning om sikkerhetsforbedringer ved industrielle styringssystemer

Nasjonalt institutt for standarder og teknologi (NIST) har publisert NIST SP 800-82 'revisjon 2'. Den gir veiledning om sikkerhetsforbedringer ved industrielle styringssystemer (ICS), inkludert tilsynsstyring og datainnsamling (SCADA) -systemer, distribuerte styringssystemer (DCS) og andre styringssystemkonfigurasjoner som programmerbare logiske styringer (PLC). Kravene til ytelse, pålitelighet og sikkerhet er også adressert. NIST SP 800 -1836 inneholder et rammeverk for vurdering av tingenes nettverk.

Sikkerhetsproblemer på tvers av det elektriske smartnettet

NISTIR 7628, «Guidelines for Smart Grid Cybersecurity, Volume 1», gir veiledning om hvordan sikkerhetsproblemer på tvers av det elektriske smartnettet skal adresseres. NIST opprettet dette dokumentet sammen med «Smart Grid Interoperability Panel - Cyber Security». Det er et tre-volums kompendium som inneholder seksjoner som beskriver risikovurdering og sårbarhetsanalyse, og analyserer sikker informasjonsutveksling for strømnettsystemer.

Sikkerhet og pålitelighet for elkraftbransjen

NERC CIP-standardene, utgitt av NERC (North American Electric Reliability Corporation), har som mål å forbedre sikkerheten og påliteligheten til elkraftbransjen ved å definere revisjonskrav til kritisk infrastrukturbeskyttelse (CIP – Critical Infrastructure Protection). Sikkerhetsveiledning gitt av NERC CIP er hovedsakelig rettet mot automatiseringssystemene som brukes i generatorer og overføringsanlegg. NERC CIP er aktuelt for infrastruktur i USA, Canada og deler av Mexico.

IEEE 1686 cybersikkerhetsstandarden for intelligente elektroniske enheter (IED-er) definerer funksjonene som IED-er skal ha. Dokumentet omfatter tilgang, drift, konfigurasjon, revisjon av fastvare og datainnhenting ved IED.