7 niedopatrzeń IoT, które mogą spowodować straty w firmie

Marcin Sikorski
Ekspert współpracujący z FPPP

Nieznajomość tematyki bezpieczeństwa może skutkować zakupem wadliwych urządzeń. Uwzględnienie minimalnej wiedzy dotyczącej bezpieczeństwa sprawi, że lepiej zabezpieczymy nasze umowy. Oprócz wiedzy technicznej ważne jest szkolenie z obszarów miękkich, aby uniknąć ataków socjotechnicznych.

Sprzedawcy, którzy oferują rozwiązania z obszaru Internetu Rzeczy IoT (ang. Internet of Things) wyjątkowo mało uwagi poświęcają detalom dotyczącym bezpieczeństwa sprzedawanych produktów. Informacje zwykle są szczątkowe i obarczone licznymi akronimami oraz certyfikatami, które dla osób nieobeznanych nie wnoszą wiele do dyskusji.

W celu zmniejszenia poziomu niewiedzy, ułatwienia dyskusji i zagwarantowania jej najlepszej jakości przedstawiamy 7 obszarów, które należy sprawdzić podczas analizy oferty, zapewniające pewność spełnienia przez produkt wysokich kryteriów bezpieczeństwa.

Proste do odgadnięcia hasła

Dowiedz się, czy produkt i dedykowana aplikacja lub strona internetowa wymuszają zmianę hasła podczas pierwszego uruchomienia. Bardzo często domyślne ustawienia oraz na sztywno przypisane hasła nie ulegają zmianie. Ułatwia to ich odgadnięcie i bezproblemowy dostęp do urządzenia.

Niezabezpieczona sieć

Istotne jest to, aby w naszym otoczeniu nie pojawiły się programy typu botnet, które będą przeciążać i niszczyć zdrową tkankę sieciową. Co należy zrobić, aby tego uniknąć:

• zamknąć wszystkie zbędne porty,
• postawić odrębną sieć smart urządzeń,
• wyłączyć zbyteczne usługi pozwalające na zdalną kontrolę urządzeniami,
• zapewnić stałe wsparcie (w postaci aktualizacji zabezpieczeń) przynajmniej w kilkuletniej perspektywie.

Brak skutecznego mechanizmu aktualizacji

Bez zaznaczonego (wyraźnie zdefiniowanego horyzontem czasowym) okresu wsparcia oraz dobrego mechanizmu aktualizowania oprogramowania, stawiamy nasze bezpieczeństwo pod dużym znakiem zapytania. Potrzebna jest wówczas skuteczna, a jednocześnie prosta metoda, która nie tylko pozwala na aktualizację wersji oprogramowania, jak również na mechanizm anti-rollback (czyli taki, który nie pozwala na nieuzasadnione cofnięcie się do poprzedniej wersji). System powinien być odpowiednio zabezpieczony (np. poprzez użycie cyfrowych podpisów), z jednoczesnym uwzględnieniem walidacji na samym urządzeniu.

Zastosowanie przestarzałych podzespołów

Ważne jest sprawdzenie źródła pochodzenia komponentów, z których zbudowane jest urządzenie, kod i wykorzystywane biblioteki. Należy unikać zastosowania nieznanych lub co gorsze przestarzałych elementów, sprzedawanych przez firmy trzecie. Zwiększa to prawdopodobieństwo użycia znanych luk systemowych. Do ustalenia takiego stanu rzeczy wymagana jest jednak pewna wiedza techniczna.

Niejasna polityka prywatności

Często zdarza się, że producent danego rozwiązania stawia zbieranie danych ponad uzasadnienie ich wykorzystania. Podstawowe założenie stanowi jednak fakt, że Internet Rzeczy opiera swe prawidłowe funkcjonowanie właśnie o zbiór danych i jego obróbkę. Nie oznacza to, że polityka prywatności musi być niejasna. Powinna ona czytelnie wskazywać w jakim zakresie, jakie dane i z jaką możliwością ich usunięcia będą przetwarzane na terenie firmy. Istotne jest również, aby uwzględnić scenariusze przygotowane na wypadek wycieku danych.

W zakresie opisanych scenariuszy oraz polityki prywatności należy uwzględnić m.in.:

• osobę, która zostanie poinformowana o zdarzeniu,
• czas dostarczenia informacji oraz metodę dostarczenia informacji,
• zgodę na gromadzenie danych osobowych przed pierwszym użyciem urządzenia (samo rozpakowanie pudełka nie powinno oznaczać zgody),
• zgodę dotyczącą przejrzystości (udostępnianie danych stronom trzecim),
• fakt, że osoby trzecie podlegają tym samym normom ochrony prywatności, co dostawca usług, a ostateczną odpowiedzialność ponosi usługodawca,
• minimalizację danych w fazie projektowania,
• udostępnianie selektywne – IoT powinno być zaprojektowane tak, aby ułatwić zrozumienie i kontrolowanie udostępniania (jakie dane i na jaki czas),
• ograniczenie dotyczące zatrzymywania danych (żądanie usunięcia lub anonimizacji danych osobowych lub danych wrażliwych, gdy nie są już potrzebne),
• prawo usunięcia danych z samego urządzenia w przypadku zaprzestania użytkowania, utraty lub sprzedaży urządzenia

Wymienione powyżej elementy wymuszają na sprzedawcy dodatkowe mechanizmy opieki nad produktami.

Nieefektywne metody zarządzania urządzeniami

Biorąc pod uwagę tysiące urządzeń i sensorów zainstalowanych w naszych fabrykach należy uwzględnić możliwość prostej i wydajnej metody zarządzania nimi (w tym skalowania i efektywnego monitoringu). Manualne spisywanie wszystkiego w postaci zapisu na kartce lub w Excelu nie jest dobrą praktyką. Zamiast tego wykorzystajmy istniejące systemy do śledzenia zasobów (tzw. IoT Asset Management), które bezproblemowo pomogą nam w tym monotonnym zadaniu. Ewentualnie warto skorzystać z baz danych do zarządzania konfiguracją. Są to konfiguracje w ramach, których możemy śledzić zmiany dotyczące naszych zasobów, oprogramowania i relacji zachodzących między tymi produktami.

Socjotechniki wynikające z braku wiedzy

Czasem największym zagrożeniem są sami pracownicy, którzy są nieświadomi tego, w jaki sposób działa urządzenie. Przez tego typu braki szkoleniowe łatwo jest wykorzystać falę nowych technologii i zamieszanie związane z ich instalacją, aby wyciągnąć poufne dane. Regularne szkolenie pracowników na wszystkich szczeblach na temat tego, jak i w jakim zakresie należy posługiwać się urządzeniami, powinno uchronić nas przed tym niebezpieczeństwem. Nierozprawienie się w porę z technologicznymi mitami może przynieść bardzo niekorzystne efekty. Poświęćmy zatem część funduszy by zaangażować szkoleniowca, który na terenie zakładu przygotuje jednodniowe szkolenie. Ważne jest to, aby jak najwcześniej uzmysłowić zespołowi, że każdy może paść ofiarą, a im szybciej wdrożymy szkolenia i inne działania prewencyjne, tym większa jest szansa, że uda nam się uniknąć takich sytuacji.