Segurança de Dispositivos IoT: Comprar ou Construir? Protegendo seu Negócio de Ameaças Cibernéticas

A Internet das Coisas (IoT) oferece muitas atrações para pequenos e médios fabricantes (PMMs) que podem querer integrar IoT em suas instalações e operações, ou que buscam entrar no mercado de IoT com produtos inovadores. O espectro de produtos IoT disponíveis é amplo e cresce continuamente. Ao aventurar-se nas águas da IoT, é útil estar preparado para as potenciais armadilhas de cibersegurança, seja na forma de implicações para a gestão de riscos organizacionais ao introduzir IoT no ambiente, ou considerações para design e suporte de produtos ao entrar no mercado como fornecedor. O programa de Cibersegurança para Internet das Coisas do NIST está trabalhando para fornecer as informações que os PMMs precisam para navegar nessas águas potencialmente turbulentas.

IoT e Gestão de Riscos

Antes de instalar termostatos inteligentes para manter seus funcionários confortáveis, adicionar cafeteiras inteligentes nas salas de descanso para mantê-los cafeinados ou implantar a tecnologia mais recente de Sistema de Controle Industrial (ICS) em seu ambiente de produção, é importante reconhecer as implicações potenciais. Você pode ter um programa robusto de segurança da informação para sua TI tradicional, mas essas ferramentas, processos e procedimentos provavelmente exigirão adaptação quando a IoT for introduzida. Algumas das maneiras pelas quais a IoT é diferente incluem:

• Interação com o mundo físico. Dispositivos IoT são equipados com sensores que coletam informações de seu ambiente ou atuadores que fazem objetos do "mundo real" se moverem ou mudarem. A detecção pode gerar muitos dados potencialmente sensíveis, então saber o que é coletado e para onde vai é importante. Um atuador comprometido poderia permitir que um adversário causasse uma interrupção significativa — pense no que poderia acontecer se você não souber quem está comandando suas fechaduras inteligentes.
• Desafio às práticas convencionais de gestão de TI. Dispositivos IoT são frequentemente "caixas pretas" que obscurecem seu funcionamento interno e não podem ser equipados com agentes ou consultados da mesma maneira que servidores, desktops ou firewalls. Como resultado, práticas comuns de gestão de TI podem se mostrar ineficazes com IoT. Esses desafios de gestão podem se multiplicar rapidamente se você estiver implantando dispositivos IoT "em escala".
• Falta de recursos comuns de cibersegurança e privacidade. Dispositivos IoT frequentemente não têm suporte para registro e monitoramento, suporte para atualização de dispositivos para abordar vulnerabilidades recém-identificadas, ou capacidades criptográficas necessárias para proteger informações sensíveis que geram ou processam. Não se pode assumir que esses dispositivos possuam as mesmas capacidades de cibersegurança que dispositivos de TI na mesma rede.

PMMs adotando IoT em seus ambientes precisam estar preparados para enfrentar esses desafios. Se entrando no mercado de IoT como fornecedor, entender esses desafios pode ser uma oportunidade para desenvolver um produto que ofereça uma melhor experiência ao cliente.

Gerenciando seu Risco de Segurança IoT

Ao adotar tecnologia IoT em sua organização, PMMs devem planejar enfrentar esses desafios com vista a três objetivos:

1. Proteger a segurança do dispositivo IoT para garantir que o produto esteja totalmente sob o controle do proprietário, e não esteja sendo explorado por atores externos para obter acesso à rede do PMM ou participar de uma botnet.
2. Proteger a segurança dos dados para que dados gerados por dispositivos IoT não sejam expostos ou alterados enquanto armazenados nos dispositivos, transferidos pela rede ou transmitidos para um serviço baseado em nuvem usado para fornecer aspectos das capacidades do produto.
3. Proteger a privacidade dos indivíduos, estando atento à possibilidade de informações sensíveis à privacidade serem capturadas ou criadas por produtos IoT, e ciente de para onde esses dados podem viajar.

Esses objetivos são articulados na NISTIR 8228, Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy Risks, e podem ser difíceis de alcançar com produtos IoT atualmente disponíveis. Para organizações que estão aplicando o NIST Cybersecurity Framework (CSF) ou definindo seus requisitos de segurança usando controles NIST SP 800‑53, a NISTIR 8228 identifica uma gama de desafios que dispositivos IoT apresentam para alcançar os fins que o CSF e a SP 800‑53 pretendem. Por exemplo, o controle SI-2, Remediação de Falhas, da SP 800‑53 não pode ser satisfeito por dispositivos IoT que não têm capacidade de atualizações seguras de software/firmware. Da mesma forma, muitos dispositivos IoT não podem ser analisados de maneira necessária para satisfazer a subcategoria CSF DE.CM-8: Varreduras de vulnerabilidade realizadas.

A consideração dos três objetivos identificados acima deve ser levada em conta na seleção de produtos IoT, bem como em como eles são gerenciados, pois as capacidades de segurança dos dispositivos IoT contribuem para atingir os requisitos gerais de segurança dos sistemas nos quais os dispositivos são integrados.

Melhorando a Postura de Segurança de seus Produtos IoT

Se você está se aventurando na criação de produtos IoT, a conscientização sobre desafios de cibersegurança pode ajudar a orientar sua abordagem para o desenvolvimento e suporte do seu produto. Os três objetivos descritos acima também se aplicam ao desenvolver um produto IoT. Uma abordagem cuidadosa ao desenvolvimento com esses objetivos em mente resultará em um produto mais gerenciável e mais seguro. Esta abordagem envolve tanto a fase de design e desenvolvimento do produto quanto a fase de suporte uma vez que ele é levado ao mercado, como ilustrado nesta figura da NISTIR 8259, Foundational Cybersecurity Activities for IoT Device Manufacturers.

As linhas de base principais descrevem habilidades do dispositivo e ações de suporte em um espectro de necessidades:

Capacidades Técnicas de Cibersegurança

Capacidades de Suporte Não Técnicas

As atividades de planejamento combinadas com a aplicação das linhas de base técnicas e não técnicas ajudarão os PMMs a desenvolver produtos que são tanto mais seguros quanto melhor suportados, ajudando seus clientes a aproveitar suas inovações em IoT enquanto limitam o impacto em seus desafios de gestão de riscos.

Informações que Podem Ajudar

O programa de Cibersegurança para Internet das Coisas do NIST se envolveu profundamente com a comunidade nos últimos anos e desenvolveu uma rica coleção de orientações sobre desafios de cibersegurança de IoT. Seja você um PMM buscando melhorar operações com a integração de IoT ou entrar no mercado com novos produtos, há muitos recursos e publicações disponíveis para auxiliar seus esforços.

A Cibersegurança para IoT do NIST recebe feedback de fabricantes em iotsec [at] nist.gov sobre nossos rascunhos públicos atuais.