Почему IoT-устройства — киберугроза: защитите свой бизнес сегодня

Возможности и риски IoT

Интернет вещей предлагает бизнесам беспрецедентный уровень видимости и контроля над их цепями поставок. Но он также открывает дверь к потенциально парализующим кибератакам.

Результаты исследования Ponemon Institute

Новое исследование Ponemon Institute показывает резкий рост утечек данных, вызванных незащищенными сторонними IoT-устройствами. И оно предполагает, что ведущие эксперты по безопасности не делают достаточно, чтобы остановить их.

Третье ежегодное исследование третьестороннего IoT-риска подзаголовок: «Компании не знают, чего не знают». Действительно, незнание об опасностях кибератак, кажется, усилило уязвимость многих бизнесов. Нарушения, связанные с IoT, выросли минимум на 26% с 2017 года, по данным исследования. (Число может быть еще выше, отмечают авторы, потому что большинство компаний не знают о каждом незащищенном устройстве или приложении на их территории, пришедшем от сторонних вендоров.)

Недостаточное внимание кибербезопасности

В то время как утечки данных становятся эндемичными, кибербезопасность не кажется особенно высоким приоритетом для многих компаний — по крайней мере, когда речь идет об инвестировании ресурсов в эту область. Надзор высшего менеджмента особенно слаб. Согласно исследованию, менее половины членов советов директоров компаний одобрили программы, предназначенные для снижения третьестороннего риска кибератак. Всего 21% полностью понимают природу этого риска и «высоко вовлечены» в меры безопасности, необходимые для его решения.

Фатализм в предвидении киберриска

Когда речь идет о предвидении киберриска, преобладающее отношение — фатализм. Исследование показало, что 87% респондентов верят, что их собственные организации столкнутся с кибератакой, вызванной незащищенными IoT-устройствами или приложениями, в ближайшие 24 месяца. И 84% ожидают утечку данных в том же временном горизонте.

Методология и участники

Последняя версия исследования опирается на 600 квалифицированных респондентов и примерно 450 уникальных компаний, по словам Ларри Понемона, сооснователя Ponemon Institute. В том, что он называет «эклектичной, но интересной выборкой», участники включали экспертов в ИТ, защите данных, сторонних технологиях и регулировании.

Что такое «третья сторона»

«Третья сторона» означает полный спектр вендоров, подрядчиков, канальных партнеров и внутренних аффилированных лиц извне собственной ИТ-среды компании, отмечает Чарли Миллер, старший советник программы Shared Assessments, подразделения The Santa Fe Group, специализирующегося на оценке третьестороннего риска.

Формы сторонних IoT-устройств

Сторонние IoT-устройства обычно принимают форму датчиков, умных устройств, принтеров, камер, термостатов Nest, голосовых активированных персональных цифровых ассистентов — вкратце, всего, содержащего электронику, способной подключиться к сети компании.

Проблема восприятия риска

Несмотря на это множество незащищенной технологий, большая часть которой вводится в сеть через личные устройства сотрудников, менеджмент не считает это огромным риском, говорит Понемон. Миллер добавляет, что проблема усугубляется огромным ростом числа IoT-устройств, вышедших на рынок в последние годы.

Каждое из этих устройств имеет уникальный IP-адрес и представляет потенциальную точку уязвимости, через которую хакеры или киберворы могут получить доступ к проприетарным данным. Прежде чем разрешить их внедрение в сеть, компании должны точно понимать, что именно устройства предназначены делать, какие данные они собирают и как эта информация будет передаваться.

«Все эти вещи — фундаментальные концепции, которые еще не оформились в этом огромном IoT-пространстве», говорит Миллер.

Почему компании не проактивны?

Лицом к лицу с этим натиском атак, почему компании не более проактивны в их предотвращении? Понемон предполагает, что проблема кроется в отсутствии ответственности внутри организаций. Более того, IoT-устройства соблазнительно удобны в использовании, при этом владельцы мало думают о том, как они могут ставить под угрозу корпоративную безопасность.

Признаки просвещения

Миллер видит некоторые признаки просвещения среди команд безопасности и организаций. Определенные отрасли, такие как производители медицинских устройств, более сфокусированы на вопросе, в основном потому, что они подлежат строгому регулированию. (FDA, например, имеет «строгие правила об устройствах для имплантации в людей», говорит Миллер.) Новое законодательство, такое как Закон Калифорнии о конфиденциальности потребителей, зажимает использование потребительских данных ритейлерами для маркетинговых целей. Кроме того, законодатели нацеливаются на производителей мерами, требующими более высоких уровней встроенной безопасности для IoT-устройств. (Например, запрет использования легко взламываемых паролей по умолчанию, которые многие пользователи не меняют.)

Инициаты по ужесточению кибербезопасности

Другие усилия по ужесточению кибербезопасности возглавляют организации вроде Национального института стандартов и технологий (NIST), чьи стандарты приняты глобально, и Монетарного органа Сингапура, центрального банка этой страны. Четыре из пяти рекомендаций последнего по повышению безопасности включены в исследование Понемона.

Практические рекомендации

«Вам нужно понять, какие устройства у вас в организации и которые вы разрешаете использовать вашим третьим сторонам», говорит Миллер. «И вы должны убедиться, что способ, которым устройства подключены, сегментирован от вашего производственного отдела. Так что если будет нарушение, будет изоляция в не-производственном сегменте вашей сети.»

Образование первостепенно, говорит Понемон, подчеркивая, что осведомленность о киберриске должна идти от каждого отдельного сотрудника до исполнительного набора, а также до внешних партнеров цепи поставок и клиентов.

Миллер говорит, что компании должны проводить варианты использования (use cases) перед тем, как коммитить к использованию любых IoT-устройств, чтобы определить потенциал злоупотребления. Например, системы мониторинга в современных автомобилях могут позволить хакерам удаленно взять контроль над транспортным средством. «Транспортная отрасль рассматривает это очень серьезно», говорит он.

В конце концов, все сводится к бдительности со стороны пользователя. «Кибергигиена — это ответственность индивида», говорит Понемон. «Это критично. Это не только про IoT — это про всё.»