IoT-beveiliging – wie is verantwoordelijk?

Vaak worden mensen beschouwd als de zwakste schakel in een beveiligingsketen, omdat ze voor de gek worden gehouden door wachtwoorden te onthullen of wachtwoorden te kiezen die gemakkelijk te ontcijferen zijn. Dit is een misvatting die sommige bedrijfseigenaren of IT-professionals ertoe kan brengen te geloven dat IoT, gezien het bijna totale niveau van automatisering, inherent veilig is. Niets is minder waar, want niets is inherent veilig.

IoT-omgevingen zijn een labyrint van kansen voor cybercriminelen, en dit jaar zal dat labyrint naar verwachting met 15% groeien (jaar-op-jaar) tot 20 miljard apparaten, volgens IHS Markit . Om dat in context te plaatsen, staat het totale aantal unieke mobiele abonnementen wereldwijd op 4,9 miljard (volgens de GSMA ). IoT doet het mobiele P2P-gebruik in het niet vallen in termen van verbindingen en vervolgens in termen van het potentieel voor inbreuken op de beveiliging, zegt Sanjay Khatri, global director of product marketing, Cisco IoT.

De IoT-waardeketen is lang en complex, waarbij elk element zowel essentieel als onderling afhankelijk is. Elke schakel in de keten vertegenwoordigt een potentiële kwetsbaarheid en, net als elke andere industrie, kan geen enkele provider alle IoT-beveiligingskwetsbaarheden dekken.

Dit gefragmenteerde landschap betekent dat IoT-beveiliging een dorp in beslag neemt.

Het IoT-beveiligingsdorp bouwen

De apparaatfabrikant is misschien wel de meest voor de hand liggende keten van de IoT-link. Deze bedrijven zijn niet per se de fabrikant van de 'dingen' die worden verbonden, maar zijn eerder gespecialiseerde fabrikanten van de elementen zoals communicatiemodules en sensoren waarmee de dingen kunnen worden verbonden.

Het vaststellen van de verantwoordelijkheid voor het veiligstellen van de spullen is cruciaal. De partij met technische verantwoordelijkheid kan anders zijn dan de partij die eindgebruikers verantwoordelijk achten. Maar uiteindelijk zal het bedrijf dat zich richt op de eindgebruiker zelf verantwoordelijk zijn, aangezien zij in de vuurlinie zitten als er iets misgaat.

Eindgebruikers zullen waarschijnlijk de hardwareleverancier zien als de verantwoordelijke partij, maar de kans is groter dat er problemen zijn met de software. Ontwikkelaars moeten strikte controles opnemen voor het verifiëren van gebruikerstoegang en IoT-software moet robuuste fraudedetectie- en preventiemechanismen hebben om zowel het apparaat als de gegevens te beschermen.

Er bestaan ​​ook kwetsbaarheden op netwerkniveau, aangezien apparaten verbinding maken met internet via mobiel, wifi, Bluetooth, LPWAN of zelfs satelliet. In het geval van mobiel is er al een bepaald beveiligingsniveau ingebouwd. Mobiele connectiviteit maakt gebruik van wereldwijde standaarden zoals coderingssleutels en coderingsalgoritmen op de simkaart zelf om veilig gegevens te verzenden en ontvangen. Met mobiel IoT kunnen apparaatgegevens ook worden geparseerd in privénetwerken om deze te isoleren van ander netwerkverkeer.

Aanbieders van cloudplatforms zullen ook een cruciale rol spelen bij de ontwikkeling van een volledig functionerend IoT-beveiligingslandschap. Sommige, zoals IBM, Microsoft enSalesforce , zal zich richten op het beveiligen van de gegevens die worden gegenereerd door verbonden apparaten in de cloud. Terwijl IoT-platforms de connectiviteit van geïmplementeerde apparaten zullen beheren, bewaken en beveiligen.

Het apparaat beveiligen

Het risiconiveau van een apparaat hangt af van de context waarin het wordt gebruikt. Beveiligingslagen zoals authenticatie, gebruikerstoegang, applicatietoegang, levenscyclusbeheer van apparaten en gegevensversleuteling moeten allemaal worden overwogen om aangesloten apparaten te beschermen.

Er is vaak een kosten-batenafweging tussen alles beschermen en alles betalen en dit kan behoorlijk uitgesproken zijn voor apparaten waar grote aantallen in gebruik zijn. Bovendien hebben apparaatgegevens verschillende gevoeligheidsniveaus. Inzicht in wat en hoeveel apparaten in gebruik zijn, en het type gegevens dat wordt verzameld, zijn cruciale eerste stappen bij het ontwikkelen van de juiste strategie voor apparaatbeveiliging.

Netwerk- en gegevensbescherming

Als apparaten gateways zijn, vertegenwoordigen netwerken de verbindingssnelwegen waarover gegevens worden getransporteerd naar cloudtoepassingen die IoT-services leveren. Het beschermen van deze snelweg is net zo belangrijk als het beveiligen van apparaten - want hoewel de apparaten veilig zijn, zijn er talloze toegangspunten op elk netwerk. Er zijn talloze opties om een ​​netwerk te beveiligen en de gebruikte strategie hangt af van het type connectiviteit, netwerken en apparaatgebruik.

Draadloze connectiviteit, zoals Wi-Fi of mobiel, en vaste lijnverbindingen hebben elk hun eigen set beveiligingsprotocollen. Apparaatgegevens moeten altijd worden gecodeerd en geparseerd in beveiligde privénetwerken in plaats van openlijk via internet te worden verzonden. Bovendien kunnen gebruikers met netwerkauthenticatie apparaten op zowel het netwerk als applicaties binnen het netwerk verifiëren en autoriseren.

Bewolking

IoT komt voort uit het verbinden van apparaten via beveiligde netwerken met de cloud, daarom kan het belang van robuuste cloudbeveiliging niet genoeg worden benadrukt. Bij het beschermen van de cloudinfrastructuur moeten organisaties rekening houden met zowel digitale als niet-digitale beveiligingspraktijken. Het naleven van normen zoals ISO/IEC 27001 kan een cruciaal onderdeel vormen van een algemene strategie voor het waarborgen van informatiebeveiliging.

Naast het beveiligen van de algehele omgeving, moeten bedrijven gedetailleerde controles krijgen voor de IoT-applicaties zelf, met name met op rollen gebaseerde toegang en detectie van afwijkingen. Met op rollen gebaseerde toegang moeten organisaties identiteitsbeheer en toegangscontrolelijsten implementeren om ervoor te zorgen dat applicaties in de cloud de juiste toegang geven aan de juiste mensen. Anomaliedetectie zorgt ervoor dat het IoT-platform niet alleen afwijkend of verdacht gedrag kan detecteren, maar ook het verhelpen van eventuele afwijkingen kan automatiseren.

De IoT-beveiligingschecklist

Prognoses voor IoT-groei zijn enorm, maar met een enorme beloning komt een enorm risico. Bedrijven in de hele waardeketen moeten een holistische kijk hebben op het veiligheidsdorp, wat natuurlijk makkelijker gezegd dan gedaan is.

Om u te helpen uw IoT-beveiligingsstrategie te focussen, moet u het volgende doen:

• Evalueer de end-to-end identificatie en authenticatie van alle entiteiten die betrokken zijn bij de IoT-service (d.w.z. gateways, eindpuntapparaten, thuisnetwerk, roamingnetwerken, serviceplatforms)
• Zorg ervoor dat alle gebruikersgegevens die worden gedeeld tussen het eindpuntapparaat en de back-endservers versleuteld zijn
• Bewaar en gebruik 'persoonlijke' en gereguleerde gegevens volgens de lokale privacy- en gegevensbeschermingswetgeving
• Gebruik een IoT-connectiviteitsbeheerplatform en stel op regels gebaseerd beveiligingsbeleid op voor onmiddellijke actie bij afwijkend gedrag
• Neem een ​​holistische benadering op netwerkniveau voor beveiliging

De auteur van deze blog is Sanjay Khatri, Global Director of Product Marketing, Cisco IoT