Hoe de IoT Cybersecurity Improvement Act de toekomst van verbonden apparaten vormgeeft - Wat bedrijven moeten weten

Beveiligingszorgen hebben center stage ingenomen in discussies over het Internet of Things (IoT). Een recent onderzoek vond dat bijna 50% van Amerikaanse bedrijven die IoT-netwerken gebruiken een beveiligingsinbraak hebben geleden. De hoge frequentie van incidenten hielp de IoT Cybersecurity Improvement Act van 2017 te ontbranden, een federale wet die, hoewel primair gericht op leveranciers die overheidscontracten zoeken, de facto standaarden voor de hele industrie kan zetten.

De Act's doel is simpel: minimale cybersecurity operationele standaarden vast te stellen voor elk internet-verbonden apparaat dat een federale agentur aankoopt of gebruikt. Onder het voorstel moeten leveranciers diverse vereisten voldoen voordat ze aan de overheid kunnen verkopen:

• Apparaten moeten vrij zijn van bekende kwetsbaarheden en defecten.
• Apparaten moeten regelmatige, geautomatiseerde software-updates ondersteunen.
• Apparaten mogen geen vaste of hardcoded credentials bevatten voor remote administratie, update-delivery of communicatie.

Omdat IoT-apparaten ook alomtegenwoordig zijn in private netwerken, anticiperen regulators en industrieleiders dat vergelijkbare regels buiten federale procurement kunnen worden geadopteerd. De inzet is hoog: Ted Koppel waarschuwde dat een IoT-aanval op het Amerikaanse elektriciteitsnet een landelijke storing kan triggeren, en Israëlische onderzoekers toonden aan dat een gecoördineerde aanval op "slimme gloeilampen" een stadsblok kantoren tot stilstand kan brengen.

Hoog-profiel inbreuken, zoals de DDoS-aanval op DNS-provider Dyn die het bedrijf naar verluidt 8% van zijn bedrijf kostte, illustreren hoe verwoestend IoT-centrische aanvallen kunnen zijn. Terwijl verwachtingen voor regulering stijgen, moeten organisaties proactief hun eigen netwerken beveiligen.

Stappen die elk bedrijf moet nemen

Traditionele beveiligingspraktijken - patching, firewalls, anti-spyware en medewerkerstraining - zijn noodzakelijk maar niet voldoende tegen de unieke dreigingen die IoT met zich meebrengt. De mix van cloud-infrastructuur en fysiek gedistribueerde apparaten eist een verse beveiligingsmindset. Hier zijn concrete acties die u helpen zowel te verdedigen tegen aanvallen als af te stemmen op toekomstige wetgeving:

• Versleutel device-level keys zodat elk unit individueel gemonitord en beheerd kan worden, in plaats van te vertrouwen op een enkele gateway.
• Afgeleide afzonderlijke encryptie-sleutels voor verschillende functies (bijv. authenticatie, data-encryptie, firmware-updates).
• Implementeer regelmatige key-rotatie om het venster van kans voor een gecompromitteerd apparaat te beperken.
• Centraliseer zichtbaarheid en controle zodat u verdachte apparaten direct kunt quarantainen of uitschakelen.
• Adopteer hardware-gebaseerde beveiligingsmodules, die tamper-resistente bescherming bieden die software alleen niet kan evenaren, een strategie onderschreven door analist Patrick Moorhead.

Volgens IDC wordt wereldwijde investering in IoT verwacht $1,4 biljoen (€1,17 biljoen) te bereiken in 2021. Al zijn ongeveer 25 miljard apparaten verbonden, en een Hewlett Packard studie vond dat 70-80% onvoldoende encryptie of wachtwoordbeveiliging heeft. Deze gaten maken ze primair targets voor gesofisticeerde aanvallen, wat de urgentie van robuuste beveiligingsmaatregelen benadrukt.

Door de bovenstaande stappen te adoptieren, kunnen bedrijven veerkrachtige IoT-ecosystemen bouwen die gevoelige data beschermen, kritieke infrastructuur bewaken en het volle economische potentieel van verbonden technologie ontgrendelen.

Auteur: Amir Haleem, CEO van Helium