Navigieren auf dem Stand der IoT Sicherheit, um digitales Vertrauen aufzubauen

Digitales Vertrauen ist eine wesentliche Voraussetzung für die Sicherheit aller vernetzten Dinge, von vernetzten Herzschrittmachern und Druckern bis hin zu Transportmitteln und kritischen Infrastrukturen. Und da die Nutzung dieser IoT Geräte weiterhin explosionsartig zunimmt, war es noch nie so wichtig wie heute, Trends im Bereich des digitalen Vertrauens zu verstehen.

With that in mind, Keyfactor and Vanson Bourne partnered on a report, Digital Trust in a Connected World: Navigating the State of IoT Security, which draws insights from 1,200 survey responses from two unique perspectives – those who design and manufacture connected devices/products (OEMs) and those who deploy and operate connected devices/products within their organization.

Ready to dig into the data? Ellen Boehm, SVP of IoT Strategy and Operations at Keyfactor, and Mitch Mershon, Product Manager for Emerging Markets at Keyfactor, sat down to discuss key findings from the report, including trends in IoT device identity and management, the prevalence and impact of security breaches, and the impact of industry standards on product development. Read on for a recap of their conversation, or click here to watch the webinar.

Schaffung von digitalem Vertrauen: Trends im IoT Geräte- und Identitätsmanagement

First and foremost, it’s essential to start with the building blocks of digital trust: Every machine needs an identity, and every identity must be managed.

Traditionally, we think about identity management from the enterprise perspective, meaning server racks, laptops, and other devices on a corporate network. But we now live in a world of smart, connected devices that extend everywhere and to everyone, and each of those IoT devices needs an identity because each one represents an attack vector.

These modern devices can also be very complex, in some cases even a machine of machines. Think about a car or a plane – each has many different components with its own operational networks that can connect to the corporate network. In these cases, we have a machine with multiple identities inside it with its own broader identity that connects into a system.

So, how exactly does all of this work? First, you have manufacturers, designers, and developers that make an IoT device, whether a wind turbine, a train, a drone, or anything else. These OEMs handle efforts like security design, testing, certification, and identity provisioning. Once the device is produced and sold, it’s deployed into a facility such as a factory, hospital, or utility grid, where operators take over and manage service deployment, device health monitoring, and end-of-life decommissioning. Fortunately, both teams’ budgets for IoT device security will continue to increase year over year. According to our report, leaders expect a 45% increase in the next five years, which shows that IoT security is a priority investment for companies because they understand the risks it can have on the business if done incorrectly. However, 52% of that budget could be at risk if it needs to be diverted to handle cleanup after the fact, such as in the case of an outage or a compromise. This is notable because cyber attacks are on the rise.

Die Risiken verstehen: Häufigkeit und Auswirkungen von Sicherheitsverletzungen bei Geräten IoT

Sicherheitsverletzungen nehmen zu, und niemand ist davon ausgenommen: Nahezu jedes Unternehmen war bereits von einem Cyberangriff betroffen, und die, die es noch nicht waren, werden es wahrscheinlich in naher Zukunft sein. Tatsächlich gaben 89 % der Umfrageteilnehmer an, dass die Produkte ihres Unternehmens IoT in den letzten 12 Monaten einem Cyberangriff ausgesetzt waren, und 69 % gaben an, dass sie in den letzten drei Jahren eine Zunahme der Angriffe auf IoT Geräte festgestellt haben.

Der Grund für diesen Anstieg: IoT wird überall genutzt: Die Umfrageteilnehmer berichten, dass die Nutzung von IoT in den letzten drei Jahren um 20 % zugenommen hat. Mehr Geräte bedeuten mehr Identitäten (sowohl umfassendere Identitäten für jedes Gerät als auch alle Identitäten für die darin enthaltenen kleineren Maschinen), wodurch sich die Zahl der Angriffsvektoren vervielfacht. 

For example, manufacturing used to be a tight, close-knit system, but now all the new machinery is connected with different sensors within each unit. Each of those sensors, plus the machinery at large, is an attack vector. Or consider the case of supply chain management, where one company talks to another and another and another, creating a chain. In both cases, operators must ensure they can trust every single identity and communication along the way to secure against attacks, even from seemingly innocent devices like an HVAC unit.

Und die Kosten für diese Angriffe sind nicht zu verachten:

• $236,000 is the average cost that companies have paid as a result of a breach in the past year because their IoT devices were able to leak data or someone was able to get in through a device into the network. Considering that number is from one year, it’s easy to imagine how that starts to add up over time.
• $2.3 million is the average cost for a certificate outage on a manufacturing line, meaning if a connected device tries to call a server, but the certificate is invalid, the factory line can no longer produce until the issue is fixed.

Es geht auch nicht nur um Geld. Laut den Befragten gehören zu den größten Sorgen nach einem Cyberangriff die Schädigung des externen Rufs, der Verlust von Kundendaten, der Vertrauensverlust der Mitarbeiter in das Unternehmen, Geldstrafen und Umsatzeinbußen.

Die Umfrageteilnehmer sind sich einig, dass die Sicherheit von IoT verbessert werden muss (88 %), um sich vor diesen Risiken zu schützen. Allerdings sind 47 % der Befragten der Meinung, dass sie bereits alles in ihrer Macht Stehende tun, um ihr Unternehmen zu schützen. Bei genauerer Betrachtung sind 56 % der Befragten der Meinung, dass ihr Unternehmen nicht über das nötige Bewusstsein und Fachwissen verfügt, um sich auf Cybersecurity-Angriffe über IoT Geräte vorzubereiten. Diese Zahl steigt auf 59 %, wenn man nur die Unternehmen betrachtet, die bereits einen Cyberangriff erlebt haben, verglichen mit 27 % bei den Unternehmen, die noch keinen Angriff erlebt haben.

Fortunately, even though attacks are rising and security is challenging, protection is possible. It requires having complete visibility into IoT devices and their identities, including the ability to quickly find those identities as needed and automate lifecycle management activities so that devices don’t go down and everything stays operational, even as certificates expire or become compromised. It also requires partnering with a company that has the proper expertise in IoT security to fill in potential gaps on the internal team.

Sicherheit von Anfang an einbinden: Die wichtigsten Trends für OEMs zur Übernahme der Verantwortung für die Sicherheit IoT

Wenn man sich die OEMs genauer ansieht, fallen drei Trends auf, wenn es um IoT Sicherheit geht:

1. Security must be at the heart of product design: OEMs understand that having proper security architecture from the beginning of product design is just as important as the electronics, functionality, and the software itself. That’s because if security isn’t done correctly, it becomes impossible to do things like send secure firmware updates remotely, activate new features, or upsell customers. As a result, more manufacturers are considering security from the beginning.

2. Third-party partners provide the expertise to implement security effectively: We’re also seeing more collaboration within the ecosystem as manufacturers realize they don’t need to develop everything from scratch. Now, OEMs are looking to implement best practices from across the field and work with expert partners to implement the best security possible. This approach is also essential as manufacturers think about how technology will change and how they can make their designs flexible enough to be used in the field for 10-15 years. According to respondents, the top reasons to partner with third parties include greater flexibility and cost from a resourcing perspective, the ability to gain complete visibility into hundreds of millions of device identities, and reducing internal workloads around a highly niche skill.

3. Security doesn’t end when the device rolls off the line: Security is not just about what the device looks like when it’s first produced. Rather, OEMs are responsible for security for the entire lifetime of the device. Think about a software update on an iPhone: When a user clicks “install,” the phone first validates that the firmware has a certificate. It does a signature verification before installing anything to know where the update is coming from and that it can be trusted. This ongoing verification is essential to security.

All dies ist besonders wichtig, denn so sehr man sich auch auf ein sicheres Erlebnis vorbereiten kann, es kommt immer wieder zu Sicherheitsverletzungen. Und wenn es auf einem Gerät von IoT zu einer Sicherheitsverletzung kommt, sind mehr als 70 % der Befragten der Meinung, dass zumindest ein Teil der Verantwortung beim Hersteller liegt.

Vor diesem Hintergrund sehen die OEMs ihre Hauptverantwortung (neben vielen anderen) im Lebenszyklusmanagement von Cybersicherheitskomponenten in Produkten. Weitere wichtige Aufgaben sind die gemeinsame Nutzung einer Sicherheits- oder software Materialliste, die Überprüfung von Betriebssystemen und die Bereitstellung von software Updates.

Übernahme von Industriestandards: Die Auswirkungen von Vorschriften auf die Produktentwicklung IoT

Even with all the progress manufacturers and operators are making regarding IoT security, there’s still a lack of clarity around best practices. And that’s mainly due to the fact that regulations vary significantly from one country to another. Keeping up with these standards is another reason why partnering with third-party experts benefits OEMs.

Looking at the big picture, standards are becoming more common and having a much more significant impact on product development. For example, Matter’s open-source connectivity standard for smart home and IoT devices is one of the most recognized standards to come together over the past several years. The automotive industry has also led the way with various regionally-based standards.

Regardless of the industry, many manufacturers must make changes to meet these standards. If they don’t, they either can’t sell their product due to governmental regulations, or they’re missing out on part of the market thanks to consortiums like Matter. The fact that these regulations can now impact sales and market fit – not to mention that end users are starting to expect products to meet specific standards – has forced manufacturers to adjust how they do business, and that trend will only continue.

IoT Die Sicherheit entwickelt sich weiter: OEMs und Anbieter müssen Schritt halten

Der Stand der Sicherheit von IoT hat sich in den letzten Jahren enorm verändert, und wir erreichen jetzt ein neues Risikoniveau. 

As IoT devices become so much more prevalent across the entire world, they’re increasingly becoming attack vectors. At the same time, both manufacturers and users admit that they lack the proper expertise to secure these devices. Already, this situation has led to severe ramifications from breaches that extend well beyond immediate financial impacts, such as reputational damage and audit risks.

Als Reaktion darauf müssen OEMs und Anbieter der Sicherheit von IoT Priorität einräumen, indem sie sie von Anfang an einbeziehen und mit Experten zusammenarbeiten, die dabei helfen können, Wissenslücken zu schließen, ein angemessenes Bewusstsein aufrechtzuerhalten und neue und sich ändernde Standards zu befolgen. Wenn dies geschieht, sind die Unternehmen auf dem besten Weg, sich gegen diese zunehmenden Risiken zu schützen.