Защитите свое IoT-будущее: ведите цифровую трансформацию, минимизируя риски

За всего несколько коротких лет Интернет вещей (IoT) радикально изменил то, как мы живем и работаем. От гаджетов на наших запястьях и в наших домах до подключенных зданий и умных заводов, где мы проводим рабочие жизни, — он делает нас безопаснее, счастливее и продуктивнее, предлагая новые возможности роста для организаций. Технология находится в авангарде революции цифровой трансформации, уже проникающей в подавляющее большинство бизнесов, помогая им стать более эффективными, гибкими и клиентоориентированными.

Однако цифровая экспансия также означает большие цифровые риски: последние цифры раскрывают 100% годовой рост атак на IoT. Ключ для IT-команд — поддерживать бизнес-рост, минимизируя эти кибер-риски через лучшие практики безопасности, адаптированные для новой подключенной эры.

Переход к цифре

IoT прошел долгий путь за относительно короткое время. Gartner предсказывает 14,2 млрд подключенных вещей в использовании в 2019 году, с общим числом 25 млрд к 2021 году. С этим взмывающим объемом устройств пришел взрыв данных. Cisco оценивает, что общий объем данных, созданных всеми устройствами, достигнет 600 Зеттабайт в год к 2020 году, вверх от всего 145 Зеттабайт ежегодно в 2015 году. Это огромное количество данных — один Зеттабайт эквивалентен 1 миллиарду Терабайт.

Почему IoT начал так полностью проникать в бизнес-среду за последние несколько лет? Опрос Forbes Insights среди 700 руководителей 2018 года помогает объяснить. Он обнаруживает, что 60% фирм расширяют или трансформируют новые линии бизнеса, похожее число (63%) доставляют новые/обновленные сервисы клиентам, и более трети (36%) рассматривают новые бизнес-venture. В ближайшие 12 месяцев почти все (94%) респонденты предсказали рост прибыли на 5-15% благодаря IoT.

IoT-датчики, собираемые данные, отправляемые в облако для анализа, предлагают крупные новые возможности улучшить клиентский опыт, упростить сложные бизнес-процессы и создавать новые сервисы благодаря раскрываемым инсайтам. Это может включать коммунальные фирмы, мониторящие ранние признаки утечек воды или отключений электроэнергии, производственные компании, улучшающие операционную эффективность на заводском полу, и производители железа, предоставляющие новые послепродажные сервисы клиентам на основе предиктивного обслуживания.

Риск везде

Вызов, перед которым стоит любая фирма, наращивающая использование IoT и промышленного IoT (IIoT) систем — она расширила корпоративную поверхность атаки в процессе. Быстрый взгляд на документ OWASP IoT Attack Surface Areas иллюстрирует, сколько новых возможных точек слабости вводится. Они варьируются от самих устройств — включая прошивку, память и физические/веб-интерфейсы — до бэкенд API, подключенных облачных систем, сетевого трафика, механизмов обновления и мобильного приложения.

Один из крупнейших рисков для таких систем — они производятся производителями, у которых нет адекватного понимания лучших практик IT-безопасности. Это может привести к серьезным системным слабостям и уязвимостям, которые могут быть эксплуатированы атакующими, от программных дефектов до продуктов, поставляемых с заводскими логинами по умолчанию. Это также может означать, что продукты трудно обновлять и/или нет программы для выпуска патчей безопасности.

Такие дефекты могут быть эксплуатированы в различных сценариях атак. Их можно использовать для проникновения в корпоративные сети как часть рейда на кражу данных, или саботажа ключевых операционных процессов — либо для вымогательства денег у жертв-организации, либо просто для максимального сбоя. В более распространенном сценарии хакеры могут сканировать интернет на предмет публично доступных устройств, все еще защищенных только заводскими дефолтными или легко угадываемыми/взламываемыми паролями, и вербовать их в ботнеты. Это модель, использованная известными атакующими Mirai и впоследствии адаптированная во многих других копирующих атаках. Эти ботнеты могут использоваться для разного: DDoS, ад-фрод, распространение банковских троянов.

В темноте

Сложность для команд IT-безопасности часто заключается в получении видимости над всеми IoT-эндпоинтами в организации, и некоторые обнаруженные IoT-устройства часто работают без ведома IT-отдела. Этот фактор shadow IT во многих аспектах преемник вызова enterprise BYOD — только вместо мобильных телефонов пользователи приносят умные носимые и другие приборы, которые затем подключаются к корпоративной сети, увеличивая кибер-риск. Просто представьте умный TV, захваченный атакующими для шпионажа за совещаниями совета директоров, или умный чайник в столовой персонала, используемый как плацдарм для рейда на кражу данных против корпоративной сети.

Еще хуже для боссов IT-безопасности то, что им нужно управлять этим растущим кибер-риском с меньшим количеством квалифицированных профессионалов. Фактически, спрос на IoT-роли взлетел на 49% в Q4 2018 по сравнению с предыдущими тремя месяцами, по данным одной рекрутинговой группы.

Регуляторы догоняют

Влияние любого крупного IoT-кибер-угрозы может быть серьезным. Потеря данных, сбои IT-систем, операционные сбои и подобное могут привести к финансовым и репутационным ущербам. Стоимость расследования и устранения нарушения безопасности одной может быть запредельной. Серьезный сбой может потребовать крупных инвестиций в переработку IT-персонала. Регуляторные штрафы — еще одна все более важная статья расходов. Не только GDPR для любых проблем, затрагивающих персональные данные клиентов или сотрудников, но и Директива ЕС NIS также требует лучших практик безопасности для фирм, работающих в конкретных критических отраслях. Оба несут одинаковые максимальные штрафы.

Этот регуляторный надзор приближается с обеих сторон Атлантики. Новый предложенный закон в США потребует от Национального института стандартов и технологий (NIST) разработать минимальные рекомендации по безопасности для IoT-производителей и потребовать, чтобы федеральные агентства покупали только у поставщиков, соответствующих этим базовым стандартам.

Видимость и контроль

Если пройдет, этот американский закон может хорошо построиться на европейском стандарте ETSI TS 103 645, который сам был основан на кодексе практики, предложенном британским правительством для отрасли. Это определенно отличный старт и, надеемся, подтолкнет отрасль к большей осознанности безопасности, усиливая потребителей и бизнес искать более безопасные продукты на рынке. Но в реальности потребуется время, чтобы такие шаги просочились на рынок, и даже тогда организации могут уже запускать тысячи небезопасных устаревших IoT-эндпоинтов.

IT-команды безопасности должны действовать сейчас, получая улучшенное понимание своей IoT-среды. Инструменты управления IT-активами должны помочь здесь, предоставляя важнейший первый шаг: видимость. Далее, обеспечьте актуальность прошивки устройств через инструменты автоматического управления патчами и следите за этим процессом, чтобы убедиться, что он работает правильно — некоторые обновления безопасности зарыты глубоко на сайте вендора и требуют человеческого вмешательства для обеспечения их включения. Кроме того, IT-команды должны проверить, что любые имена пользователей/пароли немедленно изменены на сильные и уникальные учетные данные. Еще лучше — заменить их на многофакторную аутентификацию. Другие лучшие практики могут включать шифрование данных в транзите, непрерывный мониторинг сети, управление идентичностью, сегментацию сети и многое другое. Наконец, не забудьте человеческий аспект кибербезопасности: сотрудников должны обучать пониманию рисков безопасности, связанных с IoT, и тому, как безопасно использовать системы и устройства.

Это путь получить максимальную ценность от любых IoT-инициатив, не exponируя предприятие ненужному дополнительному риску. Всего одно серьезное нарушение безопасности может подорвать инновационный рост, так жизненно важный для успеха современного цифрового бизнеса.