IoT-beveiliging – Wie draagt de verantwoordelijkheid?

Velen zien nog steeds mensen als het zwakste schakel in beveiliging, maar de realiteit is dat een heel ecosysteem kwetsbaar kan zijn. IoT, met zijn bijna complete automatisering, wordt vaak ten onrechte als veilig aangenomen. Die aanname is gevaarlijk: niets in cyberspace is inherent veilig.

IoT-apparaten zijn een magneet voor cybercriminelen, en het dreigingslandschap breidt uit met 15% per jaar naar een geschatte 20 miljard eenheden, volgens IHS Markit. Ter referentie: wereldwijde mobiele abonnementen tellen 4,9 miljard per GSMA. De schiere schaal van IoT ver eclips de P2P mobiele verbindingen, wat het inbreukpotentieel versterkt, aldus Sanjay Khatri, global director product marketing bij Cisco IoT.

De waardeketen is lang en complex - elk schakel is essentieel maar interdependant, en elk vertegenwoordigt een potentieel kwetsbaarheid. Geen enkele vendor kan elke gap adresseren, dus IoT-beveiliging vereist echt een dorp.

Het IoT-beveiligingsdorp bouwen

Apparaatfabrikanten - vaak specialisten in communicatiemodules of sensoren - zijn het meest zichtbare schakel. Ze zijn niet noodzakelijk de makers van de "dingen" zelf, maar ze maken connectiviteit mogelijk. Verantwoordelijkheid toewijzen is cruciaal: de partij met technische controle kan verschillen van wat eindgebruikers als verantwoordelijk zien. Uiteindelijk draagt het eindgebruikers-gerichte bedrijf de verantwoordelijkheid, omdat het de gevolgen draagt als een inbraak plaatsvindt.

Hardware-leveranciers kunnen als verantwoordelijk worden gezien, maar software is vaak het zwakke punt. Ontwikkelaars moeten strikke authenticatiecontroles inbedden, en IoT-software moet fraudedetectie en -preventie mechanismen incorporeren om zowel apparaat als data te beschermen.

Netwerk-niveau kwetsbaarheden ontstaan waar apparaten het internet bereiken - via cellulair, Wi-Fi, Bluetooth, LPWAN, of satelliet. Cellulair biedt al een basis van beveiliging met wereldwijde standaarden, cipheringssleutels, en SIM-gebaseerde encryptie, en kan apparaatverkeer in private netwerken segregeren. Andere draadloze protocollen vereisen extra bescherming.

Cloud-platformleveranciers - zoals IBM, Microsoft en Salesforce - spelen een cruciale rol. Ze beveiligen data opgeslagen in de cloud en beheren, monitoren, en beschermen apparaatconnectiviteit.

Het Apparaat Beveiligen

Risico varieert met use-case. Apparaten beschermen vereist lagen: authenticatie, gebruiker- en toepassingstoegangscontrole, levenscyclusbeheer, en data-encryptie. Kosten-baten afwegingen worden uitgesproken bij implementatie van duizenden eenheden, en data-gevoeligheidsniveaus verschillen. Weten welke apparaten in gebruik zijn en welke data ze verzamelen is de eerste stap naar een getailleerde beveiligingsstrategie.

Netwerk- en Databescherming

Wanneer apparaten als gateways fungeren, wordt het netwerk de snelweg die data naar cloud-diensten draagt. Deze kanaal beschermen is even vitaal als het beveiligen van eindpunten, omdat elke netwerklag toegangspunten voor aanvallers introduceert. De keuze van draadloos (Wi-Fi, cellulair) of bedraden connectiviteit dicteert de vereiste beveiligingsprotocollen. Data in transit versleutelen, isoleren binnen private netwerken, en netwerkauthenticatie afdwingen om apparaten en applicaties te verifiëren en autoriseren.

Cloud-dekking

IoT's kern steunt op veilige links naar de cloud, dus robuuste cloud-beveiliging is non-negotiable. Organisaties zouden digitale controles met fysieke bescherming moeten combineren en standaarden zoals ISO/IEC 27001 naleven om een solide informatiebeveiligingsfundering te vormen.

Bovenop de omgeving, zijn granulare controles - rol-gebaseerde toegang en anomaliedetectie - essentieel voor IoT-applicaties. Identiteitsbeheer en toegangscontrolelijsten moeten de juiste mensen de juiste permissies verlenen, terwijl anomaliedetectie het platform in staat stelt verdacht gedrag te spotten en geautomatiseerde herstel te activeren.

De IoT-beveiligingschecklist

IoT-groei is massaal, en met kans komt risico. Een holistische, dorp-achtige benadering is essentieel, hoewel uitdagend. Om uw strategie te scherpen, focus op:

• End-to-end identificatie en authenticatie voor elke entiteit in de IoT-service (gateways, eindpuntsapparaten, thuisnetwerken, roaming-netwerken, serviceplatforms).
• Encryptie van alle gebruikersdata uitgewisseld tussen apparaten en backend-servers.
• Naleving van lokale privacy- en databeschermingswetgeving bij verwerking van persoonlijke of gereguleerde data.
• Implementatie van een IoT-connectiviteitsbeheerplatform met regel-gebaseerde beveiligingsbeleid dat direct actie onderneemt op anomaal gedrag.
• Een holistische, netwerk-niveau beveiligingshouding.

De auteur van deze blog is Sanjay Khatri, global director product marketing, Cisco IoT.