Uw IoT-toekomst beveiligen: Digitale transformatie drijven terwijl risico's geminimaliseerd worden

In slechts een paar korte jaren heeft het Internet of Things (IoT) de manier waarop we leven en werken radicaal herschreven. Van de gadgets aan onze polsen en in onze huizen tot de verbonden gebouwen en slimme fabrieken waar we onze werkdagen doorbrengen, het maakt ons veiliger, gelukkiger en productiever, terwijl het nieuwe groeikansen biedt voor organisaties. De technologie staat aan de voorhoede van een digitale transformatierevolutie die al de grote meerderheid van bedrijven doorprikt, helpen ze efficiënter, agieler en klantgerichter te maken.

Echter, digitale expansie betekent ook groter digitaal risico: de laatste cijfers onthullen een 100% jaar-op-jaar toename in IoT-aanvallen. De sleutel voor IT-teams is dus om zakelijke groei te ondersteunen terwijl deze cyberrisico's worden geminimaliseerd door best-practice beveiliging aangepast aan het nieuwe verbonden tijdperk.

Digitaal worden

IoT heeft een lange weg afgelegd in een relatief korte tijd. Gartner voorspelt dat er in 2019 14,2 miljard verbonden dingen in gebruik zullen zijn, met een totaal van 25 miljard tegen 2021. Met deze stijgende hoeveelheid apparaten is er een explosie in data gekomen. Cisco schat dat het totale aantal data dat door alle apparaten wordt gecreëerd, 600 Zettabyte per jaar zal bereiken tegen 2020, op van slechts 145 Zettabyte per jaar in 2015. Dit is een enorme hoeveelheid data – een enkele Zettabyte is het equivalent van 1 miljard Terabytes.

Waarom heeft IoT de afgelopen jaren zo volledig bedrijfsomgevingen binnengedrongen? Een Forbes Insights poll van 700 executives uit 2018 helpt verklaren. Het vindt dat 60% van de bedrijven nieuwe bedrijfstakken uitbreidt of transformeert, een vergelijkbaar aantal (63%) levert nieuwe/geüpdatete diensten aan klanten, en meer dan een derde (36%) overweegt nieuwe zakelijke ventures. Over de komende 12 maanden voorspellen bijna alle (94%) respondenten dat winsten zullen groeien met 5-15% dankzij IoT.

IoT-sensoren, de verzamelde data, en verzonden naar de cloud voor analyse bieden grote nieuwe kansen om de klantervaring te verbeteren, complexe zakelijke processen te stroomlijnen en nieuwe diensten te creëren dankzij de onthulde inzichten. Dit kan omvatten nutsbedrijven die monitoren op vroege waarschuwingssignalen van waterlekken of stroomuitval, productiebedrijven die operationele efficiëntie op de shopfloor verbeteren, en hardwarefabrikanten die nieuwe na-verkoopdiensten bieden aan klanten gebaseerd op voorspellend onderhoud.

Risico is overal

De uitdaging voor elk bedrijf dat zijn gebruik van IoT en industriële IoT (IIoT) systemen opschaalt, is dat het het bedrijfs-aanvalsoppervlak heeft uitgebreid. Een snelle blik op het OWASP IoT Attack Surface Areas document illustreert hoeveel nieuwe mogelijke zwakke plekken worden geïntroduceerd. Deze variëren van de apparaten zelf – inclusief firmware, geheugen en fysieke/web-interfaces – tot backend API's, verbonden cloudsystemen, netwerkverkeer, updatemechanismen en de mobiele app.

Een van de grootste risico's voor dergelijke systemen is dat ze worden geproduceerd door fabrikanten die geen adequate kennis hebben van IT-beveiligingsbest-practices. Dit kan leiden tot ernstige systemische zwaktes en kwetsbaarheden die door aanvallers kunnen worden uitgebuit, van softwarefouten tot producten die met fabrieksstandaard-inloggegevens worden geleverd. Het kan ook betekenen dat de producten moeilijk te updaten zijn en/of er geen programma is om beveiligingspatches uit te geven.

Dergelijke fouten kunnen in een verscheidenheid aan aanvalsscenario's worden uitgebuit. Ze kunnen worden gebruikt om bedrijfsnetwerken te binnendringen als onderdeel van een data-diefstalraid, of cruciale operationele processen te saboteren – om geld te extorceren van het slachtoffersorganisatie of simpelweg maximale storing te veroorzaken. In een veelvoorkomend scenario kunnen hackers het internet scannen op publiek-zichtbare apparaten die nog steeds alleen beschermd zijn door fabrieksstandaard of makkelijk te raden/te kraken wachtwoorden, en ze in botnets persen. Dit is het model dat gebruikt werd door de beruchte Mirai-aanvallers en daarna aangepast in veel andere copycat-aanvallen. Deze botnets kunnen voor een verscheidenheid taken worden gebruikt, inclusief distributed denial of service (DDoS), ad-fraude en het verspreiden van banking-trojans.

In het duister

De moeilijkheid voor IT-beveiligingsteams is vaak zichtbaarheid te krijgen over alle IoT-eindpunten in de organisatie, en sommige gedetecteerde IoT-apparaten kunnen vaak functioneren zonder kennis van de IT-afdeling. Deze shadow IT-factor is op veel manieren de opvolger van de enterprise BYOD-uitdaging – behalve dat in plaats van mobiele telefoons, gebruikers slimme wearables en andere apparaten meenemen die dan verbonden worden met het bedrijfsnetwerk, wat het cyberrisico verhoogt. Overweeg bijvoorbeeld een slimme TV die door aanvallers wordt gehijackt om bestuursvergaderingen te bespioneren, of een slimme waterkoker in een personeelscantine die als hoofdkwartier wordt gebruikt voor een data-diefstalraid tegen het bedrijfsnetwerk.

Erger nog voor IT-beveiligingsbazen is dat ze dit groeiende cyberrisico moeten managen met minder gespecialiseerde professionals om op te roepen. Feitelijk steeg de vraag naar IoT-rollen met 49% in Q4 2018 ten opzichte van de vorige drie maanden, volgens een wervingsgroep.

Regulators halen op

De impact van een grote IoT-gerelateerde cyberdreiging kan ernstig zijn. Datalies, IT-systeemuitvallen, operationele storingen en dergelijke kunnen leiden tot financiële en reputatieschade. De kosten van het onderzoeken en herstellen van een beveiligingsschending alleen kunnen verbodelijk zijn. Een ernstige storing kan een grote investering in IT-personeel overuren vereisen. Regulatorische boetes zijn een ander steeds belangrijker kostenpost om in gedachten te houden. Niet alleen is er de AVG te overwegen voor alle kwesties die klanten- of medewerkerspersoonsgegevens raken, de EU's NIS-richtlijn schrijft ook best-practice beveiliging voor voor bedrijven die in specifieke cruciale industrieën opereren. Beiden dragen dezelfde maximumboetes.

Deze regulatorische toezicht grijpt aan aan beide kanten van de Atlantische Oceaan. Een nieuw voorgesteld wetgevingsstuk in de VS zal het National Institute of Standards and Technology (NIST) verplichten minimum beveiligingsrichtlijnen op te stellen voor IoT-fabrikanten en van federale instanties te verlangen alleen te kopen bij leveranciers die aan deze basisstandaarden voldoen.

Zichtbaarheid en controle

Als dit aangenomen wordt, kan deze VS-wetgeving voortbouwen op een Europese ETSI TS 103 645 standaard, die zelf gebaseerd was op een door de UK-regering voorgestelde code of practice voor de industrie. Het is zeker een geweldige start en zal de industrie hopelijk meer beveiligingsbewust maken, terwijl consumenten en bedrijven gemachtigd worden om de veiligere producten op de markt te zoeken. Maar in realiteit zal het even duren voordat dergelijke stappen doordringen naar de markt, en zelfs dan kunnen organisaties al duizenden onveilige legacy IoT-eindpunten draaien.

IT-beveiligingsteams moeten nu handelen, door verbeterd inzicht in hun IoT-omgeving te krijgen. IT-asset management tools kunnen hier helpen door de allereerste cruciale stap te bieden: zichtbaarheid. Vervolgens zorgen dat apparaat-firmware up-to-date is via geautomatiseerde patch management tools en dat dit proces wordt gemonitord om ervoor te zorgen dat het correct werkt – sommige beveiligingsupdates zijn diep begraven op een vendor-website en vereisen menselijke interventie om ervoor te zorgen dat deze ingeschakeld zijn. Daarnaast moeten IT-teams controleren dat gebruikersnamen/wachtwoorden onmiddellijk worden gewijzigd in sterke en unieke inloggegevens. Nog beter, vervang ze door multi-factor authenticatie. Andere best practices kunnen omvatten encryptie van data in transit, continue netwerkmonitoring, identiteitsbeheer, netwerksegmentatie, en meer. Vergeet ten slotte niet het menselijke aspect van cyberbeveiliging: medewerkers moeten geleerd worden de beveiligingsrisico's van IoT te begrijpen en hoe systemen en apparaten veilig te gebruiken.

Dit is de manier om de meeste waarde te halen uit elke IoT-initiatief, zonder de onderneming onnodig extra risico's te blootstellen. Het duurt maar één ernstige beveiligingsschending om de door innovatie aangedreven groei te ondermijnen die zo vitaal is voor het succes van het moderne digitale bedrijf.