Por que Dispositivos IoT São uma Ameaça Cibernética: Proteja Seu Negócio Hoje

A Internet das Coisas oferece às empresas um nível sem precedentes de visibilidade e controle sobre suas cadeias de suprimentos. Mas também abre as portas para ciberataques potencialmente devastadores.

O Aumento Alarmante de Violações

Um novo estudo do Instituto Ponemon revela um aumento acentuado em violações de dados causadas por dispositivos IoT de terceiros não seguros. E sugere que os principais especialistas em segurança não estão fazendo o suficiente para detê-los.

O terceiro estudo anual do instituto sobre Risco de IoT de Terceiros tem o subtítulo "Empresas Não Sabem o que Não Sabem". De fato, a ignorância sobre os perigos dos ciberataques parece ter aumentado a vulnerabilidade de muitas empresas. Violações relacionadas a IoT aumentaram pelo menos 26% desde 2017, segundo o estudo. (O número pode ser ainda maior, observam os autores, porque a maioria das empresas não tem conhecimento de todos os dispositivos ou aplicações inseguros em suas instalações que se originaram de fornecedores terceiros.)

A Falta de Prioridade na Cibersegurança

Em um momento em que violações de dados estão se tornando endêmicas, a cibersegurança não parece ser uma prioridade especialmente alta para muitas empresas — pelo menos quando se trata de investir recursos nessa área. A supervisão pela alta gestão é particularmente deficiente. Segundo o estudo, menos da metade dos membros dos conselhos das empresas aprovaram programas destinados a reduzir o risco de ciberataques de terceiros. Apenas 21% compreendem totalmente a natureza desse risco e estão "altamente engajados" nas medidas de segurança necessárias para enfrentá-lo.

Uma Atitude Fatalista

Quando se trata de antecipar o risco cibernético, a atitude predominante parece ser de fatalismo. O estudo descobriu que 87% dos respondentes acreditam que suas próprias organizações sofrerão um ciberataque causado por dispositivos ou aplicações IoT não seguros nos próximos 24 meses. E 84% esperam sofrer uma violação de dados no mesmo período.

A versão mais recente do estudo baseia-se em 600 respondentes qualificados e aproximadamente 450 empresas únicas, segundo Larry Ponemon, cofundador do Instituto Ponemon. Em o que ele chama de "uma amostragem eclética, mas interessante", os participantes incluíam especialistas em TI, proteção de dados, tecnologia de terceiros e regulamentação.

O Que São Dispositivos de "Terceiros"?

"Terceiros" significa toda a gama de fornecedores, contratados, parceiros de canal e afiliados internos de fora do próprio ambiente de TI de uma empresa, observa Charlie Miller, conselheiro sênior do Programa Shared Assessments, uma unidade do The Santa Fe Group especializada em avaliação de risco de terceiros.

Dispositivos IoT externos tipicamente assumem a forma de sensores, dispositivos inteligentes, impressoras, câmeras, termostatos Nest, assistentes digitais pessoais ativados por voz — em suma, qualquer coisa que contenha eletrônicos capazes de se conectar à rede de uma empresa.

O Problema da Conveniência

Apesar dessa panóplia de tecnologia insegura, grande parte introduzida na rede por meio de dispositivos pessoais dos funcionários, a gestão não a vê como um risco enorme, diz Ponemon. Miller acrescenta que o problema é agravado pelo enorme aumento no número de dispositivos IoT que chegaram ao mercado nos últimos anos.

Cada um desses dispositivos tem um endereço IP único e representa um ponto potencial de vulnerabilidade pelo qual hackers ou ladrões cibernéticos podem acessar dados proprietários. Antes de permitir que qualquer um deles seja introduzido na rede, as empresas precisam entender precisamente o que os dispositivos se destinam a fazer, que tipos de dados eles devem coletar e como essa informação será transmitida.

"Todas essas coisas são conceitos fundamentais que ainda não se cristalizaram neste enorme espaço de IoT", diz Miller.

Por Que as Empresas Não São Mais Proativas?

Diante dessa onda de ataques, por que as empresas não estão sendo mais proativas em preveni-los? Ponemon sugere que o problema reside na falta de responsabilização dentro das organizações. Além disso, dispositivos IoT são sedutoramente convenientes de usar, com proprietários dando pouca atenção a como podem estar comprometendo a segurança corporativa.

Sinais de Progresso

Miller vê alguns sinais de esclarecimento entre equipes de segurança e organizações. Certas indústrias, como fabricantes de dispositivos médicos, estão mais focadas na questão do que outras, em grande parte porque estão sujeitas a regulamentações pesadas. (A Food and Drug Administration, por exemplo, tem "regras rigorosas sobre dispositivos a serem implantados em pessoas", diz Miller.) Nova legislação como o California Consumer Privacy Act está reprimindo o uso de dados do consumidor por comerciantes para fins de marketing. Além disso, legisladores estão mirando fabricantes com medidas que exigiriam níveis mais altos de segurança integrada para dispositivos baseados em IoT. (Proibindo, por exemplo, o uso de senhas padrão fáceis de quebrar, que muitos usuários negligenciam alterar.)

Outros esforços para reforçar a cibersegurança estão sendo liderados por organizações como o National Institute of Standards and Technology, cujos padrões são aceitos globalmente, e a Monetary Authority of Singapore, o banco central daquele país. Quatro das cinco recomendações desta última para aumentar a segurança estão incluídas no estudo do Ponemon.

Medidas Práticas de Proteção

"Você precisa entender quais são os dispositivos que você tem dentro de sua própria organização, e está permitindo que sejam usados por seus terceiros", diz Miller. "E precisa garantir que a forma como os dispositivos são conectados seja segmentada do seu departamento de produção. Então, se houver uma violação, haverá isolamento em um segmento não produtivo da sua rede."

A educação é fundamental, diz Ponemon, enfatizando que a conscientização sobre o risco cibernético deve ir de cada funcionário individual até a suíte executiva, bem como para parceiros e clientes externos da cadeia de suprimentos.

Miller diz que as empresas devem realizar casos de uso antes de se comprometerem com o uso de quaisquer dispositivos IoT, para determinar o potencial de uso indevido. Por exemplo, sistemas de monitoramento encontrados em automóveis modernos poderiam permitir que hackers assumissem o controle do veículo remotamente. "A indústria de transporte está analisando isso muito seriamente", diz ele.

No final, tudo se resume à vigilância por parte do usuário. "Higiene cibernética é responsabilidade do indivíduo", diz Ponemon. "Isso é crítico. Não se trata apenas de IoT — trata-se de tudo."