Hoe tweaks in de toeleveringsketen van IoT beveiligingslacunes kunnen dichten

Als het gaat om het internet der dingen, zijn traditionele cyberbeveiligingsbenaderingen moeilijk te integreren en kunnen operationele apparaten niet worden beveiligd. Veel benaderingen van ingebedde apparaten isoleren systemen en bieden slechts gedeeltelijke bescherming en alleen tegen bekende aanvalsvectoren. Kunnen al onze IoT-beveiligingsproblemen worden opgelost door een simpele aanpassing van de toeleveringsketen?

In mijn gedachten, ja, als we erover beginnen te denken als de IoT Supply Chain of Trust. De IoT Security Foundation kwam in mei 2016 op het idee dat IoT-beveiliging niet één eigenaar heeft en dat alle leveranciers de plicht hebben om voor hun directe klanten en het bredere ecosysteem te zorgen.

Laten we er op een iets meer praktische manier over nadenken. Als u een fabrikant bent, weet de Supply Chain of Trust waar u software of hardware vandaan haalt en begrijpt u de beveiliging van wat u ook koopt. Het komt erop neer dat je eigenaar wordt van elke beveiligingslaag.

Het probleem

Met meer dan 8 miljard IoT-apparaten die naar verwachting wereldwijd zullen worden gebruikt in 2017 – een stijging van 6 miljard in 2016 – volgens Gartner, is de belofte van exponentiële groei bij uitstek. Het is zover gekomen dat elk bedrijf, ongeacht hun bedrijf, denkt dat ze een product met internetverbinding moeten maken.

Het probleem is dat deze bedrijven zich uitsluitend richten op de productie van hun widget, en niet op de onderdelen en onderdelen waaruit die widget bestaat. Dus de behoefte aan de IoT Supply Chain of Trust.

Stel dat een bedrijf een glimmende nieuwe widget met Wi-Fi-mogelijkheden wil maken. Ze zullen meestal niet helemaal opnieuw een Wi-Fi-chip maken; ze kopen een chip van een bedrijf dat al miljoenen van deze chips heeft geproduceerd.

Maar dit widget-producerende bedrijf dat niet gespecialiseerd is in beveiliging, neemt niet de tijd om de beveiligingsprotocollen van de chipfabrikant te begrijpen en te testen. Als ze niet de tijd nemen om te begrijpen waar de chip vandaan komt, de firmware die nodig is om die chip te laten draaien en de gevoeligheid van die chip om te worden gehackt, dan bouwen ze een zeer onveilige technologie in hun prototype in.

Denk aan alle componenten die door derden zijn gebouwd en die in de uiteindelijke widget terechtkomen. Een IoT-apparaat is zo veilig als de zwakste laag.

Natuurlijk kunnen we het de schuld geven van de druk op bedrijven om IoT-producten op de markt te brengen, maar helaas denk ik dat het nog steeds voortkomt uit een gebrek aan goed cyberbeveiligingsbeheer. Iedereen praat graag over hun cyberhouding, maar het ontbreekt ons nog steeds aan gereguleerde beveiligingsnormen en wijdverbreide acceptatie van bestaande best practices in de branche voor IoT-productie. We willen met de vinger wijzen en alleen ons eigen risico dekken.

Wat is de oplossing?

De langetermijnoplossing:een certificeringsproces. Hoewel veel branchegroepen aan deze inspanningen werken, kunnen we niet wachten op deze normen.

Op korte termijn zijn er twee benaderingen.

Ten eerste, als u IoT-apparaten voor uzelf of uw onderneming koopt, neem dan de tijd om uw onderzoek te doen. Er zijn veel opties van gerenommeerde bedrijven met een goede staat van dienst op het gebied van beveiliging. Houd bij het onderzoeken van de kosten rekening met de benodigde middelen als uw bedrijf te maken krijgt met een inbreuk door een onbeveiligd apparaat op uw netwerk toe te laten.

Ten tweede, als u IoT-apparaten maakt, overweeg dan de beveiliging van elk stuk hardware dat u in uw apparaat inbouwt. Een bedrijf dat dit uitstekend doet, is Taser, een ontwikkelaar, fabrikant en distributeur van geleide elektrische wapens, lichaamscamera's en oplossingen voor digitaal bewijsbeheer. Taser stelt een intern team van hardware-, software- en beveiligingsexperts samen om alle producten te controleren voordat ze op de markt komen. Deze diverse groep overweegt hoe het product zal worden geïntegreerd in de bestaande productmix, zorgt voor beveiliging en voert penetratietests uit. De investering vooraf van het bedrijf zorgt ervoor dat er rekening wordt gehouden met de toeleveringsketen van elk nieuw apparaat.

Totdat we organisaties hebben die IoT-apparaten als 'goed' of 'slecht' bestempelen, moeten bedrijven ijverig zijn om op elke laag beveiliging in te bouwen.