Proteja Seu Futuro IoT: Impulsionando a Transformação Digital Enquanto Minimiza Riscos

Em apenas alguns anos, a Internet das Coisas (IoT) remodelou radicalmente a forma como vivemos e trabalhamos. Dos gadgets em nossos pulsos e em nossas casas aos edifícios conectados e fábricas inteligentes onde passamos nossas vidas profissionais, ela nos torna mais seguros, felizes e produtivos, ao mesmo tempo em que oferece novas oportunidades de crescimento para organizações. A tecnologia está na vanguarda de uma revolução de transformação digital que já permeia a grande maioria das empresas, ajudando a torná-las mais eficientes, ágeis e centradas no cliente.

No entanto, expansão digital também significa maior risco digital: os números mais recentes revelam aumento de 100% ano a ano em ataques a IoT. A chave para equipes de TI, portanto, é apoiar o crescimento do negócio enquanto minimiza esses riscos cibernéticos através de práticas recomendadas de segurança adaptadas para a nova era conectada.

Ficando digital

A IoT evoluiu muito em um espaço de tempo relativamente curto. A Gartner prevê que haverá 14,2 bilhões de coisas conectadas em uso em 2019, com o total chegando a 25 bilhões até 2021. Com esse volume crescente de dispositivos veio uma explosão de dados. A Cisco estima que a quantidade total de dados criados por todos os dispositivos chegará a 600 Zettabytes por ano até 2020, contra apenas 145 Zettabytes anuais em 2015. Esta é uma quantidade enorme de dados — um único Zettabyte equivale a 1 bilhão de Terabytes.

Por que a IoT começou a permear ambientes de negócios tão completamente nos últimos anos? Uma pesquisa da Forbes Insights com 700 executivos de 2018 ajuda a explicar. Descobriu-se que 60% das empresas estão expandindo ou transformando novas linhas de negócio, um número similar (63%) está entregando serviços novos/atualizados a clientes, e mais de um terço (36%) está considerando novos empreendimentos. Nos próximos 12 meses, quase todos (94%) os entrevistados previam que os lucros cresceriam 5-15% graças à IoT.

Sensores IoT, os dados coletados e enviados para a nuvem para análise oferecem novas oportunidades importantes para aprimorar a experiência do cliente, simplificar processos de negócios complexos e criar novos serviços graças aos insights revelados. Isso pode incluir empresas de utilidades monitorando sinais precoces de vazamentos de água ou quedas de energia, empresas de manufatura melhorando eficiências operacionais no chão de fábrica, e fabricantes de hardware fornecendo novos serviços pós-venda para clientes baseados em manutenção preditiva.

Risco está em todo lugar

O desafio enfrentado por qualquer empresa que intensifica seu uso de sistemas IoT e IoT industrial (IIoT) é que ela terá expandido a superfície de ataque corporativa no processo. Um olhar rápido no documento IoT Attack Surface Areas da OWASP ilustra quantos novos pontos de fraqueza são introduzidos. Eles vão desde os próprios dispositivos — incluindo firmware, memória e interfaces físicas/web — até APIs de backend, sistemas de nuvem conectados, tráfego de rede, mecanismos de atualização e o app móvel.

Um dos maiores riscos para tais sistemas é que eles são produzidos por fabricantes que não têm compreensão adequada das melhores práticas de segurança de TI. Isso pode resultar em fraquezas e vulnerabilidades sistêmicas graves que podem ser exploradas por atacantes, desde falhas de software a produtos enviados com logins padrão de fábrica. Também pode significar que os produtos são difíceis de atualizar e/ou não há programa para emitir patches de segurança.

Tais falhas podem ser exploradas em diversos cenários de ataque. Podem ser usadas para violar redes corporativas como parte de um roubo de dados, ou sabotar processos operacionais-chave — seja para extorquir dinheiro da organização vítima ou simplesmente causar máxima disrupção. Em um cenário mais comum, hackers podem escanear a internet em busca de dispositivos públicos ainda protegidos apenas por senhas padrão de fábrica ou fáceis de adivinhar/quebrar, e recrutá-los para botnets. Este é o modelo usado pelos infames atacantes Mirai e subsequentemente adaptado em muitos outros ataques imitadores. Essas botnets podem ser usadas para uma variedade de tarefas, incluindo negação de serviço distribuída (DDoS), fraude de anúncios e disseminação de trojans bancários.

No escuro

A dificuldade para equipes de segurança de TI é frequentemente obter visibilidade sobre todos os endpoints IoT na organização, e alguns dispositivos IoT detectados muitas vezes operam sem o conhecimento do departamento de TI. Este fator de shadow TI é, em muitos aspectos, o sucessor do desafio corporativo BYOD — exceto que, em vez de celulares, usuários trazem wearables inteligentes e outros aparelhos que então se conectam à rede corporativa, aumentando o risco cibernético. Basta considerar uma smart TV sendo sequestrada por atacantes para espionar reuniões de diretoria, por exemplo, ou uma chaleira inteligente em uma cantina de funcionários usada como cabeça de praia para lançar um ataque de roubo de dados contra a rede corporativa.

Pior ainda para chefes de segurança de TI é que eles têm que gerenciar esse risco cibernético crescente com menos profissionais qualificados à disposição. De fato, a demanda por funções de IoT disparou 49% no Q4 2018 em relação aos três meses anteriores, segundo um grupo de recrutamento.

Reguladores alcançam

O impacto de qualquer grande ameaça cibernética relacionada a IoT pode ser severo. Perda de dados, interrupções de sistemas de TI, disrupção operacional e similares podem levar a danos financeiros e de reputação. O custo de investigar e remediar uma violação de segurança sozinho pode ser proibitivo. Uma interrupção séria pode exigir grande investimento de fundos em horas extras de equipe de TI. Multas regulatórias são outro custo cada vez mais importante a ter em mente. Não apenas há o GDPR a considerar para quaisquer questões que afetem dados pessoais de clientes ou funcionários, a Diretiva NIS da UE também exige melhores práticas de segurança para empresas que operam em setores críticos específicos. Ambas carregam as mesmas multas máximas.

Esta supervisão regulatória está se estendendo em ambos os lados do Atlântico. Uma nova proposta de legislação nos EUA exigirá que o Instituto Nacional de Padrões e Tecnologia (NIST) estabeleça diretrizes mínimas de segurança para fabricantes de IoT e exija que agências federais comprem apenas de fornecedores que atendam a esses padrões de base.

Visibilidade e controle

Se aprovada, esta legislação dos EUA poderia bem se basear em um padrão europeu ETSI TS 103 645, que por sua vez foi baseado em um código de prática proposto pelo governo do Reino Unido para a indústria. Certamente é um ótimo começo e esperançosamente impulsionará a indústria a ser mais consciente de segurança, enquanto capacita consumidores e empresas a buscar os produtos mais seguros no mercado. Mas na realidade, levará um tempo para que tais medidas filtrem até o mercado, e mesmo então as organizações já podem estar rodando milhares de endpoints IoT legados inseguros.

Equipes de segurança de TI devem agir agora, obtendo melhor visão de seu ambiente IoT. Ferramentas de gerenciamento de ativos de TI devem ajudar aqui, fornecendo o primeiro passo fundamental: visibilidade. Em seguida, garantir que o firmware do dispositivo esteja atualizado via ferramentas automatizadas de gerenciamento de patches e que este processo seja monitorado para garantir que está funcionando corretamente — algumas atualizações de segurança estão enterradas no site do fornecedor e requerem intervenção humana para garantir que foram habilitadas. Além disso, equipes de TI devem verificar se quaisquer nomes de usuário/senhas são imediatamente alterados para credenciais fortes e únicas. Melhor ainda, substituí-los por autenticação multifator. Outras melhores práticas podem incluir criptografia de dados em trânsito, monitoramento contínuo de rede, gerenciamento de identidade, segmentação de rede e mais. Por fim, não se esqueça do aspecto humano da cibersegurança: funcionários devem ser ensinados a entender os riscos de segurança associados à IoT e como usar sistemas e dispositivos com segurança.

Este é o caminho para obter o máximo valor de quaisquer iniciativas de IoT, sem expor a empresa a riscos extras desnecessários. Basta uma violação de segurança séria para minar o crescimento impulsionado por inovação tão vital para o sucesso do negócio digital moderno.