Die Zahlen sprechen für sich: Bis 2035 wird es 1 Billion vernetzte Geräte geben, aber weniger als 4% der neuen Geräte enthalten integrierte Sicherheit. Bedenken Sie, dass Jahre oder Jahrzehnte vergehen werden, bis die heutigen eingebetteten Geräte außer Betrieb genommen werden. Das ist ein Tsunami, der sich anbahnt, und wir gehen davon aus, dass die großen Katastrophen noch vor uns liegen.
Der Silberstreif am Horizont ist zweifach: Erstens, das Bewusstsein wächst rasant. Zweitens gibt es eine Reihe vergleichsweise einfacher Heilmittel.
Dieser Artikel basiert auf Haydn Poveys Eröffnungsrede bei ECS 2018.
Sicherheit ist jedermanns Aufgabe
Allzu oft wird Sicherheit als nachträglicher Gedanke betrachtet. Das Management sieht Sicherheit als Kostenfaktor. Der erste Schritt ist, die Führung eines Unternehmens davon zu überzeugen, dass Sicherheit eine Chance und nicht nur eine Kostenposition ist. Tatsächlich kann Sicherheit ein Alleinstellungsmerkmal sein und einen Mehrwert bieten, für den Kunden bereit sind zu zahlen. Das prominenteste Beispiel dafür ist Apple, das seinen T2-Sicherheitschip intensiv im Marketing einsetzte. Darüber hinaus ist Sicherheit eindeutig die größte Hürde für die Einführung von IoT. Die Beseitigung dieser Hürde wird einen riesigen Markt erschließen.
Es ist nicht nur die Prämie, die Kunden zu zahlen bereit sind. Richtige Sicherheit verhindert auch den Diebstahl von geistigem Eigentum. Während die Behörden bisher einen Schwerpunkt auf Uhren und Handtaschen legten, nimmt der Handel mit gefälschter Elektronik und Ersatzteilen rasant zu.
Zuletzt ist es zwecklos zu versuchen, Sicherheit zu vermeiden: Regulierung kommt von überall!
Sobald das Management Sicherheit annimmt, kann die Organisation folgen. Natürlich muss nicht jeder ein Sicherheitsexperte sein. Vielmehr müssen alle Mitarbeiter geeignete Sicherheitsrichtlinien und -rahmen verstehen.
Echte Rückverfolgbarkeit durch die Lieferkette
Haydn Povey verglich Sicherheit mit Hygiene in der Lebensmittelproduktion: Wir können ein Steak auf unserem Teller bis zur Kuh zurückverfolgen, von der es stammt, und dabei alles von einer ununterbrochenen Kühlkette bis zum Medikationsprotokoll des Tieres abdecken.
Das Gleiche könnte prinzipiell auch mit IoT-Produkten erreicht werden. Tatsächlich sind die Chiphersteller bemüht, die Infrastruktur dafür vorzubereiten. Dies ist jedoch nur möglich, wenn Sicherheit von Anfang an gewährleistet ist. Wir können uns nicht mehr auf Firewalls verlassen, jedes Gerät ist eine Insel mit eigenen Abwehrmechanismen. Es ist schließlich ein asymmetrischer Krieg, der Angreifer muss nur einmal erfolgreich sein.
Sicherheitskodex
Als Beispiel für die Ernte der “tief hängenden Früchte” nannte Haydn Povey die 13 Richtlinien aus den britischen Verhaltenskodex für die Sicherheit von IoT-Geräten für Verbraucher sind relativ einfach zu implementieren. Dies sind:
- Keine Standardpasswörter
- Implementieren Sie eine Richtlinie zur Offenlegung von Schwachstellen
- Software aktuell halten
- Anmeldeinformationen und sensible Sicherheitsdaten sicher speichern
- Sicher kommunizieren
- Angriffsflächen minimieren
- Softwareintegrität sicherstellen
- Stellen Sie sicher, dass persönliche Daten geschützt sind
- Systeme resistent gegen Ausfälle machen
- Systemtelemetriedaten überwachen
- Machen Sie es Verbrauchern leicht, persönliche Daten zu löschen
- Erleichtern Sie die Installation und Wartung von Geräten
- Eingabedaten validieren
Schlussfolgerung
IoT-Sicherheit steht bevor, und das ist eine gute Sache. Anstatt dagegen anzukämpfen, sollten wir sie annehmen. Und das zu tun, könnte uns tatsächlich einen Wettbewerbsvorteil verschaffen und sicherstellen, dass wir kein Opfer werden.
Foto von Jeremy Bishop auf Unsplash
