IoT-безопасность — кто несет ответственность?

Многие все еще видят людей как слабое звено в безопасности, но реальность в том, что вся экосистема может быть уязвимой. IoT, с его почти полной автоматизацией, часто ошибочно считается безопасным. Это предположение опасно: ничего в киберпространстве не является изначально безопасным.

IoT-устройства — магнит для киберпреступников, и ландшафт угроз расширяется на 15% год к год к оцененным 20 млрд единицам, по данным IHS Markit. Для контекста, глобальные мобильные подписки сверх 4,9 млрд по GSMA. Огромный масштаб IoT далеко затмевает P2P мобильные соединения, усиливая его потенциал нарушений, отмечает Санджай Кхатри, глобальный директор продуктового маркетинга в Cisco IoT.

Ценностная цепочка длинная и сложная — каждое звено необходимо но взаимозависимо, и каждое представляет потенциальную уязвимость. Никакой единственный вендор не может адресовать каждый пробел, поэтому IoT-безопасность действительно требует деревни.

Строительство деревни IoT-безопасности

Производители устройств — часто специалисты в коммуникационных модулях или датчиках — являются самым видимым звеном. Они не обязательно производители самих «вещей», но они обеспечивают подключенность. Назначение ответственности критично: сторона с техническим контролем может отличаться от того, что конечные пользователи воспринимают как подлежащую ответственности. В конечном счете, фирма, лицезарящая конечному пользователю, несет ответственность, так как она сталкивается с последствиями, если происходит нарушение.

Поставщики железа могут быть восприняты как ответственные, но софт часто является слабым местом. Разработчики должны встраивать строгие контролы аутентификации, и IoT-софт должен включать механизмы обнаружения и предотвращения мошенничества для защиты и устройства, и данных.

Сетевые уязвимости возникают везде, где устройства достигают интернета — через сотовую, Wi-Fi, Bluetooth, LPWAN или спутник. Сотовая уже предлагает базовую линию безопасности с глобальными стандартами, ключами шифрования и SIM-базированным шифрованием, и может сегрегировать трафик устройств в приватные сети. Другие беспроводные протоколы требуют дополнительных сафeguards.

Провайдеры облачных платформ — такие как IBM, Microsoft и Salesforce — играют ключевую роль. Они защищают данные, хранящиеся в облаке, и управляют, мониторят и защищают подключенность устройств.

Защита устройства

Риск варьируется с use-case. Защита устройств требует слоев: аутентификация, контроль доступа пользователя и приложения, управление жизненным циклом и шифрование данных. Торговля стоимостью-выгодой становится яркой при развертывании тысяч единиц, и уровни чувствительности данных отличаются. Знание того, какие устройства в использовании и какие данные они собирают — первый шаг к адаптированной стратегии безопасности.

Защита сети и данных

Когда устройства действуют как шлюзы, сеть становится шоссе, которое несет данные к облачным сервисам. Защита этого канала так же жизненно важна, как защита конечных точек, потому что каждый сетевой слой вводит точки входа для атакующих. Выбор беспроводного (Wi-Fi, сотовая) или проводного подключения диктует требуемые протоколы безопасности. Шифруйте данные в транзите, изолируйте их в приватных сетях и принудительно применяйте сетевую аутентификацию для верификации и авторизации устройств и приложений.

Облачное покрытие

Ядро IoT полагается на безопасные ссылки к облаку, поэтому надежная облачная безопасность непереговорна. Организации должны комбинировать цифровые контролы с физическими сафeguarдами и придерживаться стандартов таких как ISO/IEC 27001 для формирования твердой информационной безопасности основы.

За пределами окружения, гранулярные контролы — ролевой доступ и аномалий-детекшн — необходимы для IoT-приложений. Управление идентичностью и списки контроля доступа должны предоставлять правильным людям правильные разрешения, в то время как детекшн аномалий позволяет платформе замечать подозрительное поведение и автоматизировать ремедиацию.

Чек-лист IoT-безопасности

Рост IoT массивен, и с возможностью приходит риск. Целостный, деревня-стиль подход необходим, но сложен. Для заточки вашей стратегии, фокусируйтесь на:

• End-to-end идентификация и аутентификация для каждой сущности в IoT-сервисе (шлюзы, конечные устройства, домашние сети, роуминг-сети, сервисные платформы).
• Шифрование всех пользовательских данных, обмениваемых между устройствами и бэкенд-серверами.
• Соблюдение локального законодательства о приватности и защите данных при обработке персональных или регулируемых данных.
• Развертывание платформы управления IoT-подключенностью с правила-базированными политиками безопасности, запускающими мгновенные действия на аномальное поведение.
• Целостная, сетевая позиция безопасности.

Автор блога: Санджай Кхатри, глобальный директор продуктового маркетинга, Cisco IoT.