Untersuchung des Überlebensvorteils bei IoT Angriffen

In dem Maße, wie die Geräte von IoT Einzug in das Leben und die Wohnungen der Verbraucher halten, geraten auch die sensationellen Angriffe von IoT in die Schlagzeilen. 

The Verkada video camera hack gave attackers live views into factories (including Tesla’s), hospitals, jails, and more. A casino got hacked through a connected fish tank thermometer. Researchers remotely took control of a Jeep through a firmware vulnerability.

Während die Vorteile von IoT und vernetzten Geräten nicht hoch genug eingeschätzt werden können, sind die Sicherheitsrisiken von IoT zu einer Top-Priorität für die Akteure des digitalen Vertrauens geworden - also für alle. 

But not everyone is on the same page about the risks, as revealed by Keyfactor’s 2023 report, Navigating the State of IoT Security.

• 89 % der Unternehmen, die IoT betreiben/verwenden, waren im vergangenen Jahr mit Cyberangriffen konfrontiert. 
• 22 % der Unternehmen, die noch keine Angriffe erlebt haben, geben an, dass sie bei der Sicherung ihrer IoT Produkte keine Probleme haben. 
• Von den Organisationen, die Angriffe erlebt haben, sagen jedoch nur 2 %, dass sie keine Probleme haben.

One reading of these stats could assume these organizations have been proactive and effective in securing their IoT devices. However, another reading may suggest survivorship bias — an assumption that an attack could never happen to them. 

Unabhängig davon, ob sie Opfer eines Angriffs geworden sind oder nicht, sollten sich Unternehmen nicht auf ihren Lorbeeren ausruhen, wenn es um die Sicherung von IoT Geräten geht. 

Die Vertrauenslücke

Dem Bericht zufolge ist die Hälfte der Befragten der Meinung, dass es ihrer Organisation an Bewusstsein und Fachwissen fehlt, um sich gegen IoT Angriffe zu verteidigen, während 43 % der Meinung sind, dass sie "so gut wie möglich geschützt sind". Gleichzeitig sind 88 % der Befragten der Meinung, dass ihre Unternehmen die Sicherheit von IoT verbessern müssen.

Dies zeigt, dass die meisten Unternehmen keine Vision für umfassende Sicherheit haben oder wissen, wie sie diese erreichen können. Mit anderen Worten: Sie wissen, dass "so gut geschützt wie möglich" nicht "geschützt genug" ist. Organisationen, die noch nicht Opfer eines Angriffs geworden sind, haben möglicherweise noch blinde Flecken in ihren IoT Sicherheitsstrategien. 

Die steigende Flut

In den letzten drei Jahren meldeten 69 % der Unternehmen, die IoT Geräte einsetzen, eine Zunahme der IoT Angriffe. Im gleichen Zeitraum stieg die Zahl der von ihnen verwendeten vernetzten Produkte um 20 %.

Die Frage nach der Verantwortung ist ein fester Bestandteil der Diskussion. Wer ist schuld an den Anschlägen von IoT ? Wem obliegt die Last, sie zu verhindern? Während 38 % der Befragten sagten, dass der Hersteller des IoT Geräts und der Nutzer gleichermaßen verantwortlich gemacht werden sollten, meinten 47 % der Befragten, dass der Hersteller überwiegend oder vollständig verantwortlich sein sollte. 

Selbst wenn der Gerätehersteller verantwortlich ist, leiden die Benutzerorganisationen. Die Angriffsfläche wächst, und die Angreifer versuchen immer häufiger, über IoT ins Schwarze zu treffen. 

Auch die Kosten steigen.

Bei den Herstellern kostet der Ausfall von Zertifikaten in der Produktion durchschnittlich 2,25 Millionen Dollar. Satte 98 % der Gerätehersteller gaben an, in den letzten 12 Monaten einen solchen Ausfall erlebt zu haben. 

Was heute funktioniert, funktioniert morgen vielleicht nicht mehr oder nicht mehr in großem Umfang. Der Bericht zeigt, dass Unternehmen bei steigender Gerätezahl Unterstützung von Anbietern suchen. Dies zeigt, dass Unternehmen Schwierigkeiten haben, das Wachstum zu bewältigen und mit den neuesten Sicherheitstechnologien Schritt zu halten. 

Druck auf die Einhaltung der Vorschriften

Wenn Angriffe keine Anreize für Unternehmen schaffen, die Sicherheit von IoT zu verbessern, dann wird es die Einhaltung von Vorschriften sein. 

In dem Bericht von IoT gaben 98 % der Unternehmen an, dass Vorschriften die Entwicklung von IoT und vernetzten Produkten beeinflussen. Zum Beispiel: 

• The Matter Standard is an open smart home protocol that encourages interoperability, reliability, and security among smart home devices, mobile apps, and cloud services. 
• UNECE 155/156, ISO 15118, and ISO 21434 provide frameworks for security in the automotive industry.
• IEC 62443 lays out a framework for industrial automation control systems that gives operational technology direction on segmenting networks, implementing the principle of least privilege, and encrypting data.
• IEEE 802.1AR sets the foundation for device security, including device provisioning, boot, software updates, and communication.

Die Einhaltung der Vorschriften ist das absolute Minimum

Whether or not these standards and frameworks make their way into regulations — and which ones, and when — remains to be seen. More likely, consumers and organizations will apply more scrutiny to the connected devices they use. Studies show that security has made its way into the public consciousness.

Unternehmen haben die Möglichkeit, Sicherheit zu einem Unterscheidungsmerkmal auf dem Markt zu machen. Unternehmen täten gut daran, diese Standards als Ausgangspunkt, Kompass und Minimum für die Schaffung von digitalem Vertrauen zu nutzen.