Wie Optimierungen der IoT-Lieferkette Sicherheitslücken schließen können

Wenn es um das Internet der Dinge geht, sind herkömmliche Cybersicherheitsansätze schwer zu integrieren und können die Betriebsgeräte nicht schützen. Viele Ansätze für eingebettete Geräte isolieren Systeme, bieten nur einen teilweisen Schutz und nur gegen bekannte Angriffsvektoren. Könnten alle unsere IoT-Sicherheitsprobleme durch eine einfache Optimierung der Lieferkette gelöst werden?

Aus meiner Sicht ja, wenn wir anfangen, über die IoT Supply Chain of Trust nachzudenken. Die IoT Security Foundation prägte im Mai 2016 die Idee, dass die IoT-Sicherheit keinen einzigen Eigentümer hat und alle Anbieter verpflichtet sind, sich um ihre direkten Kunden und das gesamte Ökosystem zu kümmern.

Denken wir etwas praktischer darüber nach. Wenn Sie ein Hersteller sind, wissen Sie in der Supply Chain of Trust, woher Sie Software oder Hardware beziehen, und verstehen die Sicherheit in allem, was Sie beschaffen. Es läuft darauf hinaus, die Verantwortung für jede Sicherheitsebene zu übernehmen.

Das Problem

Mit voraussichtlich mehr als 8 Milliarden IoT-Geräten weltweit im Jahr 2017 – gegenüber 6 Milliarden im Jahr 2016 – laut Gartner ist das Versprechen eines exponentiellen Wachstums enorm. Es ist an einem Punkt angelangt, an dem jedes Unternehmen, unabhängig von seinem Geschäft, der Meinung ist, dass es ein internetfähiges Produkt entwickeln muss.

Das Problem ist, dass sich diese Unternehmen ausschließlich auf die Herstellung ihres Widgets konzentrieren und nicht auf die Teile und Teile, aus denen dieses Widget besteht. Daher die Notwendigkeit einer vertrauensvollen IoT-Lieferkette.

Angenommen, ein Unternehmen möchte ein glänzendes neues Widget mit Wi-Fi-Funktionalität erstellen. Sie erstellen normalerweise keinen Wi-Fi-Chip von Grund auf neu; Sie kaufen einen Chip von einer Firma, die bereits Millionen dieser Chips produziert hat.

Aber dieses Widget-produzierende Unternehmen, das nicht auf Sicherheit spezialisiert ist, nimmt sich nicht die Zeit, die Sicherheitsprotokolle des Chipherstellers zu verstehen und zu testen. Wenn sie sich nicht die Zeit nehmen, um zu verstehen, woher der Chip kommt, die zum Betrieb des Chips erforderliche Firmware und die Anfälligkeit dieses Chips, gehackt zu werden, bauen sie eine sehr unsichere Technologie in ihren Prototypen ein.

Denken Sie an alle Komponenten, die von Drittanbietern erstellt wurden und im endgültigen Widget enden. Ein IoT-Gerät ist nur so sicher wie seine schwächste Schicht.

Natürlich könnten wir den Druck auf die Unternehmen, IoT-Produkte auf den Markt zu bringen, dafür verantwortlich machen, aber leider denke ich, dass dies immer noch auf einen Mangel an guter Cybersicherheits-Governance zurückzuführen ist. Jeder spricht gerne über seine Cyber-Haltung, aber es fehlen uns immer noch regulierte Sicherheitsstandards und eine weit verbreitete Übernahme bestehender Best Practices der Branche für die IoT-Fertigung. Wir wollen mit dem Finger zeigen und nur unser eigenes Risiko abdecken.

Was ist die Lösung?

Die langfristige Lösung:ein Zertifizierungsverfahren. Obwohl viele Branchengruppen an diesen Bemühungen arbeiten, können wir diese Standards kaum erwarten.

Kurzfristig gibt es zwei Ansätze.

Wenn Sie IoT-Geräte für sich selbst oder Ihr Unternehmen kaufen, nehmen Sie sich zunächst die Zeit, um zu recherchieren. Es gibt viele Optionen von seriösen Unternehmen mit guter Sicherheitsbilanz. Berücksichtigen Sie bei der Kostenprüfung die erforderlichen Mittel, wenn Ihr Unternehmen einen Verstoß erleidet, weil ein ungesichertes Gerät in Ihr Netzwerk eingelassen wird.

Zweitens sollten Sie bei der Herstellung von IoT-Geräten die Sicherheit jeder Hardware berücksichtigen, die Sie in Ihr Gerät einbauen. Ein Unternehmen, das dabei hervorragende Arbeit leistet, ist Taser, ein Entwickler, Hersteller und Vertreiber von leitungsgebundenen Elektrowaffen, Körperkameras und Lösungen für das digitale Beweismittelmanagement. Taser stellt ein internes Team von Hardware-, Software- und Sicherheitsexperten zusammen, um alle Produkte zu überprüfen, bevor sie auf den Markt kommen. Diese heterogene Gruppe überlegt, wie sich das Produkt in den bestehenden Produktmix einfügt, stellt die Sicherheit sicher und führt Penetrationstests durch. Die Vorabinvestitionen des Unternehmens stellen sicher, dass die Lieferkette jedes neuen Geräts berücksichtigt wird.

Bis wir Organisationen haben, die IoT-Geräte als „gut“ oder „schlecht“ stempeln, müssen Unternehmen sorgfältig auf die Sicherheit auf allen Ebenen achten.