Zorgen voor cyberbeveiliging en privacy in IoT-adoptie

Het internet der dingen staat nog in de kinderschoenen, maar naarmate apparaten steeds meer in een netwerk worden opgenomen, beginnen de beveiligingsimplicaties voor bedrijven hoofdpijn te veroorzaken. In tegenstelling tot consumenten vertaalt het 'gehackt worden' van bedrijven zich veel directer in reputatieschade, gederfde inkomsten of zelfs schadevergoedingsclaims.

Het grootste risico voor de online beveiliging van een bedrijf komt van de werknemers, zegt Jack Warner, cyberbeveiligingsexpert bij TechWarn . Slecht opgeleid personeel of een gebrek aan duidelijk IT-beleid stimuleert roekeloos gedrag en onzorgvuldige omgang met gevoelige gegevens. Werknemers zijn zich misschien niet bewust van de functies en risico's van een apparaat, of hebben een aversieve instelling om potentieel schadelijke lekken op te merken.

Meer dan ooit is het voor bedrijven belangrijk om alle kantoorapparatuur te laten beoordelen door een veiligheidsbewust team van engineers. Er moet een duidelijk beleid zijn voor welke gegevens door apparaten mogen worden verzameld en regels waaraan de gegevens moeten voldoen. Dit beleid moet zowel van toepassing zijn op gegevens die worden verzameld door apparaten die eigendom zijn van en geïmplementeerd worden door het bedrijf als voor gegevens die eigendom zijn van werknemers.

Casestudy:gegevens van fitness-app

In november 2017 werd de fitness-app Strava vrijgegeven gegevens verzameld door zijn gebruikers. Ook al waren de gegevens al geanonimiseerd, ze zorgden nog steeds voor veel aandacht toen analisten ontdekten dat de gegevens de locatie van geheime militaire bases onthulden, aangezien soldaten hun fitness-IoT-apparaten droegen tijdens het joggen op de basis, patrouilleren of sporten.

De trainingsroutes schetsten de grootte en locatie van bases, gaven een schatting van het aantal soldaten dat daar gestationeerd is en zelfs wat de ruwe patrouillefrequentie zou kunnen zijn. Het Strava-datalek vormt een enorm veiligheidsrisico voor de operatie van de Amerikaanse strijdkrachten en is volledig zelf toegebracht.

Dergelijke informatie kan ook gemakkelijk een commerciële organisatie schaden. Testlocaties, verkenningslocaties of bezorgroutines zijn misschien wel het goed bewaakte intellectuele eigendom van een organisatie.

Er zijn tal van andere IoT-apparaten die werknemers terloops kunnen gebruiken en die gevoelige gegevens onthullen. Telefoons van medewerkers kunnen hun locatie opnemen en worden gebruikt om foto's te maken. Medewerkers kunnen onbedoeld hun locatie delen via sociale media of een slimme scanner-app op hun telefoon gebruiken om gevoelige gegevens naar pdf te converteren. Wachtwoorden kunnen in de conceptmap van persoonlijke e-mailaccounts worden geplakt, of klantinformatie kan in de persoonlijke contactlijst van een medewerker terechtkomen, van waaruit deze naar verschillende apps wordt geüpload.

Genetwerkte apparaten in kantoren

Wanneer informatiebeveiliging niet vanaf het begin in overweging wordt genomen, kan het typische kantoor al vol staan ​​met apparaten die de privacy niet respecteren en beveiligingslekken veroorzaken. Een drukker kan bijvoorbeeld afgedrukte documenten lang bewaren (of zelfs online uploaden) en luchtreinigers kunnen verzamelde gegevens beschikbaar stellen aan een centrale server.

Zelfs systemen zoals thermostaten, lampen of deursloten hebben vaak netwerkmogelijkheden en kunnen hun gegevens delen met adverteerders of op zijn minst een centrale cloudservice. Dit biedt in ieder geval kansen voor indringers of concurrenten om toegang te krijgen tot bedrijfsgeheimen.

Bedrijfsnetwerken en intranetten

Hoewel we gevoeliger zijn geworden voor openbaar toegankelijke informatie, worden interne databases en netwerken van organisaties nog te vaak als 'veilig' beschouwd. Hier hebben hackers vaak vrij spel en kunnen ze, eenmaal binnen het netwerk, hun bevoorrechte positie gebruiken om verbinding te maken met databases, computers te infecteren met virussen of kritieke apparatuur te saboteren.

Routers behoren tot de meest verwaarloosde apparatuur in kantoornetwerken. Terwijl de apparaten van werknemers regelmatig automatische updates ontvangen en servers een grote zorg zijn, worden routers zelden geïnspecteerd en ontvangen ze geen updates. Toch gaat al het bedrijfsverkeer er doorheen, en iedereen die de router beheert, kan gegevens die naar internet en andere interne apparaten worden verzonden, onderscheppen, misvormen, injecteren of wijzigen.

Een goede VPN-router is niet moeilijk te vinden, maar prijsverschillen tussen modellen kunnen enorm zijn en hun voordeel is niet duidelijk voor de koper en de operator.

Vertrouwen op externe hostingproviders

De grootste bedreiging voor de privacybehoeften van een organisatie is het wijdverbreide gebruik van gehoste services, waaronder e-mail, chat en bestandsbeheer.

Terwijl het een paar jaar geleden nog relatief gebruikelijk was voor ten minste grote organisaties om hun eigen e-mailservers te beheren en documenten op interne servers op te slaan, zijn het tegenwoordig bijna uitsluitend externe cloudproviders. E-mails, chats, documenten, softwarecode:er is bijna niets meer in de kantoren van veel bedrijven.

Een eeuwige strijd

De manier waarop internetdiensten en Internet of Things-apparaten zich ontwikkelen, druist sterk in tegen de privacy- en beveiligingsbehoeften van bedrijven. Tot nu toe is er weinig weerstand of vraag naar meer beveiligingsbewuste diensten.

De meest duurzame strategie voor bedrijven kan zijn om de hoeveelheid informatie die ze van hun klanten verzamelen te beperken en deze informatie samen met hun intellectuele eigendom te hosten op een zelfonderhoudende fysieke infrastructuur in-house.

De auteur van deze blog is Jack Warner, cyberbeveiligingsexpert bij TechWarn

Over de auteur

Jack is een ervaren cyberbeveiligingsexpert met jarenlange ervaring bij TechWarn, een vertrouwd digitaal bureau voor cyberbeveiligingsbedrijven van wereldklasse. Jack is zelf een gepassioneerd pleitbezorger van digitale veiligheid en levert regelmatig bijdragen aan technische blogs en digitale media om deskundige inzichten te delen over onderwerpen als klokkenluiden en cyberbeveiligingstools.