Снижение киберрисков IoT: стратегии и страховые решения

За прошлое десятилетие Интернет вещей (IoT) трансформировал каждую индустрию, благодаря быстрым прогрессам в распределенном нетворкинге. McKinsey & Company проектирует, что к 2025 году мир будет владеть 50 млрд нетворкированных устройств — 400% рост от 2010 — и что IoT внесет невероятные US$11 трлн (€10 трлн) в глобальный ВВП.

Пока этот взрывной рост разблокирует новые эффективности для бизнеса, правительств и потребителей, он также вводит свежие кибер-угрозы, требующие проактивной митигации. По мере пролиферации IoT-устройств атакуемая поверхность расширяется, экспонируя индивидуумов и организации к эскалирующим рискам.

Андреа Гальоне, IoT-специалист и Technology Lead в Brit Insurance, и кибер-андеррайтер Бен Мейдмент обсуждают наиболее насущные риски и очерчивают конкретные шаги, которые пользователи, разработчики и страховщики могут предпринять для сагвардинга своих экосистем.

Ключевые риски IoT

Понимание уязвимостей IoT остается эволюционирующей наукой. Часто слабости идентифицируются только после breach, подчеркивая необходимость pre-emptive оценки и робастных защит.

• Потеря данных и нарушения приватности — С 26,66 млрд активных устройств в 2019 и 127 новых подключений в секунду объем генерируемых данных огромен. Этот масштаб усиливает риск экспозиции персональных и клиентских данных, особенно когда GDPR штрафы взбираются до €20 млн и выше.
• Разрыв бизнеса — Цепочки поставок теперь сильно полагаются на IoT для real-time оптимизации. Одиночное скомпрометированное устройство может остановить операции, разъедать выручку и повреждать бренд-доверие.
• Распределенные DDoS-атаки — Скомпрометированные устройства могут быть оруженованы для запуска large-scale DDoS кампаний. В 2016 атакующие задействовали более 25 000 CCTV камер для разрыва DNS сервисов Dyn, сбив высокопрофильные сайты вроде Twitter, Netflix, GitHub и Reddit.
• Кибер-физические угрозы — Злоумышленники могут манипулировать нетворкированными медицинскими устройствами (например, инсулиновыми насосами) или автономными автомобилями, создавая прямой физический вред. FDA 2023 алерт предупредил, что определенные инсулиновые насосы могут быть удаленно захвачены для изменения дозировки.

Стратегии митигации

• Security & Privacy by Design — Производители должны встраивать робастную безопасность с самого начала, а не рассматривать её как afterthought. Непрерывные обновления и патчи критичны для защиты как новых, так и legacy устройств.
• Принятие лучших практик кибербезопасности — End-users — включая индивидуумов, предприятия и публичный сектор — должны внедрять отраслевые стандарты: сильные, регулярно обновляемые креды; real-time мониторинг; и своевременные прошивки обновления.
• Политика и гвернанс — Организации должны относиться к IoT-менеджменту как к традиционному IT, разрабатывая четкие политики, риск-оценки и инцидент-респонс планы, отражающие уникальные характеристики коннектед устройств.

Страхование как слой риск-менеджмента

Кибер-страховщики играют пивотную роль, обучая клиентов, предлагая tailored покрытие и предоставляя pre-incident поддержку. Полисы могут покрывать:

• First-party losses: investigation, recovery, business interruption, reputational rehabilitation, extortion payments.
• Third-party liabilities: settlements, legal defense, regulatory fines.

Топ страховщики, включая Brit, теперь предоставляют value-added сервисы вроде онлайн-порталов с инцидент-респонс шаблонами, риск-асессмент чек-листами и readiness фреймворками — трансформируя страхование из продукта в стратегического партнера.

Авторы: Андреа Гальоне, Technology Lead, Brit Insurance; Бен Мейдмент, Cyber Underwriter, Brit Insurance.