Waarom IoT-apparaten een cyberdreiging zijn: Beveilig uw bedrijf vandaag nog

Het internet of things biedt bedrijven een ongekend niveau van zichtbaarheid en controle over hun supply chains. Maar het opent ook de deur naar potentiële verlammende cyberaanvallen.

Een nieuwe studie van het Ponemon Institute onthult een scherpe toename in datalekken veroorzaakt door onbeveiligde, derde-partij IoT-apparaten. En het suggereert dat top beveiligingsexperts niet genoeg doen om ze te stoppen.

De derde jaarlijkse studie van het instituut over derde-partij IoT-risico's heeft als ondertitel 'Bedrijven weten niet wat ze niet weten.' Inderdaad, onwetendheid over de gevaren van cyberaanvallen lijkt de kwetsbaarheid van veel bedrijven te hebben vergroot. IoT-gerelateerde inbreuken zijn met ten minste 26 procent gestegen sinds 2017, volgens de studie. (Het aantal kan nog hoger zijn, merken de auteurs op, omdat de meeste bedrijven zich niet bewust zijn van elk onbeveiligde apparaat of applicatie op hun terreinen dat afkomstig was van derde-partij leveranciers.)

Op een moment dat datalekken endemisch worden, lijkt cyberbeveiliging geen bijzondere hoge prioriteit te zijn voor veel bedrijven - tenminste niet als het gaat om het investeren van middelen in dat gebied. Toezicht door topmanagement is met name tekortschietend. Volgens de studie hebben minder dan de helft van de raadsleden van bedrijven programma's goedgekeurd die bedoeld zijn om derde-partij risico's van cyberaanvallen te reduceren. Slechts 21 procent begrijpt de aard van dat risico volledig, en is 'hoog betrokken' bij de beveiligingsmaatregelen die nodig zijn om het aan te pakken.

Als het aankomt op het anticiperen van cyberrisico's, lijkt de heersende houding een van fatalisme. De studie vond dat 87 procent van respondenten geloofde dat hun eigen organisaties een cyberaanval zullen ervaren veroorzaakt door onbeveiligde IoT-apparaten of applicaties in de komende 24 maanden. En 84 procent verwacht een datalek binnen diezelfde tijdsperiode.

De nieuwste versie van de studie is gebaseerd op 600 gekwalificeerde respondenten en ongeveer 450 unieke bedrijven, volgens Larry Ponemon, medeoprichter van het Ponemon Institute. In wat hij een 'eclectische maar interessante steekproef' noemt, namen experts in IT, databescherming, derde-partij technologie en regulering deel.

'Derde partij' betekent de volledige reeks leveranciers, aannemers, kanaalpartners en interne affiliaties van buiten de eigen IT-omgeving van een bedrijf, merkt Charlie Miller op, senior adviseur van het Shared Assessments Program, een eenheid van The Santa Fe Group die gespecialiseerd is in het beoordelen van derde-partij risico's.

Externe IoT-apparaten nemen doorgaans de vorm aan van sensoren, slimme apparaten, printers, camera's, nest thermostaten, voice-geactiveerde persoonlijke digitale assistenten - kortom, alles wat elektronica bevat en in staat is om verbinding te maken met het netwerk van een bedrijf.

Ondanks deze panoplie van onbeveiligde technologie, waarvan vel door middel van werknemerspersoonlijke apparaten in het netwerk worden geïntroduceerd, ziet het management het niet als een groot risico, zegt Ponemon. Miller voegt toe dat het probleem erger wordt door een enorme toename in het aantal IoT-apparaten dat in de afgelopen jaren de markt is binnengekomen.

Elk van die apparaten heeft een uniek IP-adres en vertegenwoordigt een potentieel kwetsbaarheidspunt door waar hackers of cyberdiefen toegang kunnen krijgen tot proprietaire data. Voordat er enige van hen in het netwerk wordt toegelaten, moeten bedrijven precies begrijpen wat de apparaten bedoeld zijn te doen, welke soorten data ze bedoeld zijn te verzamelen, en hoe die informatie zal worden overgedragen.

'Al die dingen zijn fundamentele concepten die nog niet gekristalliseerd zijn in deze enorme IoT-ruimte,' zegt Miller.

Geconfronteerd met deze aanvalsgolf, waarom zijn bedrijven niet meer proactief in het voorkomen ervan? Ponemon suggereert dat het probleem ligt in een gebrek aan accountability binnen organisaties. Bovendien zijn IoT-apparaten verleidelijk gemakkelijk te gebruiken, met eigenaren die weinig gedachten spenderen aan hoe ze de bedrijfsbeveiliging in het geding kunnen brengen.

Miller ziet enkele tekenen van verlichting bij beveiligingsteams en organisaties. Bepaalde industrieën zoals medische apparaatfabrikanten zijn meer gefocust op het probleem dan anderen, grotendeels omdat ze zware regulering onderworpen zijn. (De Food and Drug Administration heeft bijvoorbeeld 'strenge regels over apparaten die in mensen geïmplanteerd worden,' zegt Miller.) Nieuwe wetgeving zoals de California Consumer Privacy Act dwingt handelaren af op het gebruik van consumentendata voor marketingdoeleinden. Daarnaast richten wetgevers zich op fabrikanten met maatregelen die hogere niveaus van ingebouwde beveiliging voor IoT-apparaten zouden vereisen. (Bijvoorbeeld het verbieden van het gebruik van makkelijk te kraken standaardwachtwoorden, die veel gebruikers vergeten te wijzigen.)

Andere inspanningen om cyberbeveiliging op te scherpen worden gespeerd door organisaties als het National Institute of Standards and Technology, wiens standaarden wereldwijd geaccepteerd zijn, en de Monetary Authority of Singapore, de centrale bank van dat land. Vier van de vijf aanbevelingen van de laatste voor het verbeteren van beveiliging zijn opgenomen in de Ponemon-studie.

'U moet begrijpen welke apparaten u binnen uw eigen organisatie heeft, en toestaat dat door derden worden gebruikt,' zegt Miller. 'En u moet ervoor zorgen dat de manier waarop de apparaten zijn aangesloten, gesegmenteerd is van uw productieafdeling. Dus als er een inbraak is, is er isolatie tot een niet-productie segment van uw netwerk.'

Onderwijs is van cruciaal belang, zegt Ponemon, benadrukkend dat bewustzijn van cyberrisico's moet lopen van elke individuele werknemer tot in de directie, alsmede naar externe supply-chain-partners en klanten.

Miller zegt dat bedrijven use cases moeten uitvoeren voordat ze committen tot het gebruik van IoT-apparaten, om het potentieel voor misbruik te bepalen. Bijvoorbeeld, monitoringssystemen in moderne auto's zouden hackers in staat stellen om het voertuig op afstand te overnemen. 'De transportindustrie kijkt hier zeer serieus naar,' zegt hij.

Uiteindelijk komt het neer op waakzaamheid aan de kant van de gebruiker. 'Cyberhygiëne is de verantwoordelijkheid van het individu,' zegt Ponemon. 'Dat is cruciaal. Het gaat niet alleen om IoT - het gaat om alles.'