Como ajustes na cadeia de suprimentos da IoT podem fechar lacunas de segurança

Quando se trata da Internet das Coisas, as abordagens tradicionais de cibersegurança são difíceis de integrar e não podem manter os dispositivos operacionais seguros. Muitas abordagens de dispositivos embarcados isolam os sistemas, oferecendo proteção apenas parcial e apenas contra vetores de ataque conhecidos. Todos os nossos problemas de segurança de IoT poderiam ser resolvidos por meio de um simples ajuste na cadeia de suprimentos?

Em minha mente, sim, se começarmos a pensar nisso como a Cadeia de Confiança de IoT. A IoT Security Foundation cunhou a ideia em maio de 2016, que a segurança da IoT não tem um proprietário único e todos os fornecedores têm o dever de cuidar de seus clientes diretos e do ecossistema mais amplo.

Vamos pensar sobre isso de uma maneira um pouco mais prática. Se você é um fabricante, a Cadeia de Fornecimento de Confiança é saber de onde você está fornecendo software ou hardware e entender a segurança interna de tudo o que você está fornecendo. Tudo se resume a assumir a propriedade de cada camada de segurança.

O problema

Com mais de 8 bilhões de dispositivos IoT previstos para serem usados ​​em todo o mundo em 2017 - acima dos 6 bilhões em 2016 - de acordo com o Gartner, a promessa de crescimento exponencial é eminente. Chegou ao ponto em que todas as empresas, não importando seus negócios, pensam que precisam criar um produto conectado à Internet.

O problema é que essas empresas estão focadas exclusivamente na fabricação de seus widgets, e não nas partes e peças que compõem esse widget. Daí a necessidade da Cadeia de Confiança da IoT.

Por exemplo, digamos que uma empresa deseja fazer um widget novinho em folha com capacidade Wi-Fi. Eles normalmente não criam um chip Wi-Fi do zero; eles vão comprar um chip de uma empresa que já produziu milhões desses chips.

Mas esta empresa produtora de widgets que não é especializada em segurança, não se preocupa em entender e testar os protocolos de segurança do fabricante do chip. Se eles não perderem tempo para entender de onde vem o chip, o firmware necessário para rodar aquele chip e a suscetibilidade desse chip a ser hackeado, então eles estão construindo uma tecnologia muito insegura em seu protótipo.

Pense em todos os componentes que são construídos por terceiros que acabam no widget final. Um dispositivo IoT é tão seguro quanto sua camada mais fraca.

Claro, podemos culpar a pressão sobre as empresas para colocar produtos de IoT no mercado, mas, infelizmente, acho que ainda decorre de uma deficiência de boa governança de segurança cibernética. Todos ficam felizes em falar sobre sua postura cibernética, mas ainda carecemos de padrões de segurança regulamentados e ampla adoção das melhores práticas existentes do setor para a fabricação de IoT. Queremos apontar o dedo e apenas cobrir nosso próprio risco.

Qual é a solução?

A solução de longo prazo:um processo de certificação. Enquanto muitos grupos da indústria estão trabalhando nesses esforços, não podemos esperar por esses padrões.

No curto prazo, existem duas abordagens.

Primeiro, se você estiver comprando dispositivos IoT para você ou sua empresa, reserve um tempo para fazer sua pesquisa. Existem muitas opções de empresas conceituadas com bons registros de rastreamento de segurança. Ao examinar os custos, leve em consideração os fundos necessários se sua empresa sofrer uma violação por permitir que um dispositivo não seguro entre em sua rede.

Em segundo lugar, se você estiver fabricando dispositivos IoT, considere a segurança de cada peça de hardware que você construir em seu dispositivo. Uma empresa que faz um ótimo trabalho é a Taser, desenvolvedora, fabricante e distribuidora de armas elétricas conduzidas, câmeras corporais e soluções de gerenciamento de evidências digitais. Taser cria uma equipe interna de especialistas em hardware, software e segurança para examinar todos os produtos antes de irem para o mercado. Este grupo diversificado considera como o produto se integrará ao mix de produtos existente, garante que a segurança exista e conduz testes de penetração. O investimento inicial da empresa garante que a cadeia de abastecimento de qualquer novo dispositivo seja considerada.

Até que tenhamos organizações carimbando os dispositivos de IoT como "bons" ou "ruins", as empresas precisam ser diligentes em garantir a segurança em cada camada.