Почему Незащищенные Потребительские Системы Интернета Вещей Сейчас Являются Серьезной Проблемой Для Бизнеса

Здравствуйте, хабровчане! Первый в России онлайн-курс IoT-разработчика стартует в OTUS в октябре.

Набор на курс открыт прямо сейчас, а потому традиционно делимся с вами переводом материала по теме.

Скорее всего, в большинстве компаний есть хотя бы один сотрудник с уязвимым устройством.

Киберпреступникам достаточно одного.

В потребительской сфере технология Интернета вещей (IoT) уже давно славится своей крайне слабой безопасностью.

Сегодняшние дома наводнены устройствами, подключенными к Интернету, будь то кофемашина с приложением или камера видеонаблюдения, подключенная к Wi-Fi. По данным Statista, в 2020 году на бытовую электронику будет приходиться 63% всех установок IoT-устройств.

Эти устройства могут собирать данные о своих пользователях, которые отправляются обратно поставщикам услуг для улучшения их продуктов.

Производство этих устройств — прибыльный бизнес, и по мере роста спроса потребители все чаще покупают более дешевые и недорогие устройства.

Проблема в том, что их стандарты безопасности обычно довольно мягкие.

До недавнего времени уязвимости и дыры в безопасности потребительского Интернета вещей не были большой проблемой в деловом мире — руководителям, заботящимся о конфиденциальности, просто приходилось протягивать руку, чтобы выключить офисную Alexa во время особенно важной встречи.

Но поскольку к осени ожидается, что только треть работников вернется в офис, дом сотрудника превратился в рабочее пространство; если он переполнен небезопасным Интернетом вещей, это серьезная проблема кибербезопасности.

15% владельцев IoT-устройств до сих пор используют пароли по умолчанию , поэтому весьма вероятно, что в большинстве компаний будет хотя бы один сотрудник с уязвимым устройством — киберпреступникам больше не нужно.

«Большинство IoT-устройств, приобретаемых для дома, относительно дешевы, отчасти потому, что производители не прикладывают особых усилий для их защиты на аппаратном или программном уровне», — говорит Дэррил Джонс, директор по управлению продуктами IoT в ForgeRock. , как специалист по цифровой идентификации, в разговоре с TechHQ. «От плохого управления учетными данными, устаревшей прошивки и избыточных точек доступа, оставленных на потребительских устройствах, до нечастых обновлений безопасности, этим устройствам часто не хватает безопасности с самого начала».

В 2020 году директора по информационной безопасности и их заместители были ошеломлены ростом киберпреступности.

Количество фишинговых писем, воспользовавшихся обстоятельствами карантина, резко возросло, а внезапный переход сотрудников на удаленную работу привел к увеличению количества новых конечных точек, которые необходимо защитить.

Когда предприятия и сотрудники перешли в Интернет, преступники последовали за ними толпами.

При этом только за 2019 год количество кибератак на устройства Интернета вещей увеличился на 300% и, вероятно, будет продолжать расти.

Самым громким примером уязвимости IoT-устройств стала волна DDoS-атак ботнета Mirai в 2016 году, которая в какой-то момент привела к невозможности доступа в Интернет на все восточное побережье США .

Правительство США изначально подозревало, что это дело рук какой-то страны-изгоя, но виновником оказалась сеть из 400 000 скомпрометированных потребительских IoT-устройств , превращенный в оружие недовольным игроком Minecraft. Так почему же бизнес-лидеры были застигнуты врасплох угрозой потребительского Интернета вещей? «Проще говоря, пандемия изменила ситуацию.

Раньше они играли в шахматы, теперь им приходится играть в шашки», — говорит Джонс.

«Уязвимости устройств существовали с самого начала, но огромный рост числа сотрудников, работающих из дома, и постоянный рост их численности из-за пандемии увеличили серьезность проблемы на порядок.

«Хотя директора по информационной безопасности годами работали над безопасностью своих устройств и сетей, эти изменения создают новые проблемы как для руководителей бизнеса, так и для директоров по информационной безопасности».

Джонс предполагает, что обновленные стратегии кибербезопасности для будущего распределенной работы должны учитывать растущие угрозы не только для использования собственных устройств (BYOD), но и для других устройств, принадлежащих сотрудникам, которые могут получить доступ к сети.

«Компаниям следует изучить новые домашние технологии, которые позволяют разделить корпоративную сеть так, чтобы нарушение той части сети, которая содержит потребительские устройства, не поставило под угрозу часть, которая используется для корпоративных целей», — говорит Джонс.

Один из подходов заключается в том, чтобы компании требовали, чтобы для корпоративных устройств создавались только частные сети Wi-Fi. неоднократно продвигался в США.

Правительству также следует установить кодексы передовой практики или, еще лучше, законодательство, когда речь идет о безопасности устройств Интернета вещей.

В прошлом году Финляндия стала первой европейской страной, которая сертифицировала безопасные интеллектуальные устройства, где продукты, соответствующие требуемому стандарту, получают четко различимый знак.

«знак кибербезопасности» .

«Уникальная цифровая идентификация станет новой основой безопасности, поскольку ее можно будет использовать для защиты устройств на рабочем месте, а также существующих или новых устройств дома.

Кроме того, внедрение модели безопасности Zero Trust или CARTA может помочь в этой новой норме, обеспечивая безопасность при каждом взаимодействии и понимание обычного поведения устройства и пользователя для выявления подозрительных взаимодействий», — говорит Джонс.

«Компании также должны принять новую политику корпоративной безопасности и обучения сотрудников, которая требует использования частных сетей, и ограничить использование этих сетей только устройствами, принадлежащими компании».

«Раннее обнаружение вторжений также имеет решающее значение.

Компании должны иметь решения для обнаружения аномалий, в том числе при подключении нового устройства к сети, а также другие решения для мониторинга — конечного, поведенческого, сетевого…»

Теги: #информационная безопасность #Интернет вещей #Большие данные #cio