Drei IoT Sicherheitsresolutionen zur Umsetzung im Jahr 2024

IoT devices have evolved quite a bit since the first network-connected vending machine was invented in 1982. In 2024, the potential of IoT innovation is nothing short of transformative. 

But along with opportunity comes risk. Each individual connected device presents a potential access point for a malicious actor. At scale — electronic shelf labels deployed by a grocery store chain, or smart boards deployed across a school district, for example — the attack surface swells to an untenable dimension. That’s part of the reason why IoT attacks grew 400% from 2022 to 2023. 

Wenn sie in Geschäftsprozesse eingebunden sind, wie z. B. ein angeschlossener Roboterarm in einer Fabrikhalle, stellt jedes Gerät eine potenzielle Fehlerquelle dar, die zu Ausfallzeiten und Produktivitätseinbußen führen kann.

Many organizations, including device manufacturers and organizations leveraging those devices, aren’t sure where to begin regarding IoT security strategy. That’s why Keyfactor compiled its first-ever global IoT security report, Digital Trust in a Connected World: Navigating the State of IoT Security.

Der Bericht zeigt, wie Unternehmen und Gerätehersteller über die Sicherheit von IoT nachdenken und entsprechende Strategien entwickeln.

Mit Blick auf das Jahr 2024 zeigt der Bericht drei Vorsätze auf, die sie zur Verbesserung der Sicherheit von IoT ergreifen können, unabhängig davon, wo sie sich in ihrer Sicherheitsentwicklung befinden. 

Entschließung 1: Ausfälle von Zertifikaten sollen der Vergangenheit angehören.

Digital certificates play a big part in how IoT devices function. A certificate is built into every device. When that device turns on for the first time, the certificate lets the device know it can trust the manufacturer’s server or API. Note – this is a drastic simplification, as there are many critical functions that are performed through the certificate handshake.

Wenn das Zertifikat jedoch abläuft, weiß das Gerät nicht mehr, worauf es vertrauen kann. Als Reaktion darauf vertraut es nichts mehr und hört im Grunde auf zu funktionieren. 

The State of IoT Security report shows that 98% of organizations experienced a certificate-related outage in the past 12 months. For the average device manufacturer, these outages caused losses of more than $2.25 million. 

Diese Arten von Ausfällen sind Symptome für ein tiefgreifendes Missmanagement der Lebenszyklen von Zertifikaten.

As devices grow in volume and usage, getting a handle on certificate management is crucial. The solution is to centralize certificate management into a single, universal hub, and then automate the discovery, monitoring, revocation, and re-issuance of certificates. 

Lösung 2: Definieren Sie, wie IoT Sicherheit aussieht und was Ihr Unternehmen benötigt.

IoT Schwachstellen können für Unternehmen eine Art blinder Fleck sein. 

Aus dem Bericht IoT geht hervor, dass nur 43 % der Unternehmen glauben, dass sie "so gut wie möglich" vor IoT Angriffen geschützt sind, während 56 % der Befragten der Meinung sind, dass ihre Unternehmen nicht ausreichend sensibilisiert sind und nicht über das notwendige Fachwissen verfügen, um sich auf IoT Angriffe vorzubereiten.

Unternehmen, die sich nicht sicher sind, ob sie ihre IoT Geräte schützen können, sollten sich einen Überblick über den Stand der IoT Sicherheit im Unternehmen verschaffen.

Produktentwickler und -hersteller sollten Richtlinien erstellen, die die Sicherheit bereits zu Beginn des Projekts berücksichtigen, anstatt sie erst am Ende hinzuzufügen. 

IoT devices come with finite resources — power consumption, processing power, budgetary restraints, etc. Considering the security demands at the beginning can inform product design in terms of hardware, chip selection, and other factors, which creates more space for security controls within the limits of the device. 

Unternehmen, die IoT Geräte einsetzen, sollten sich um Transparenz bemühen, indem sie ermitteln, wie viele Geräte sich mit dem Netzwerk verbinden. Von wo aus werden sie verbunden? Wer betreibt sie? Welche Teams verwenden IoT Geräte, und welche Geräte verwenden sie? 

Auf dieser Grundlage können Unternehmen Lücken erkennen und einen Plan zur Verringerung ihrer spezifischen Risiken erstellen. Die Kenntnis dieser Besonderheiten kann bei der Suche nach Anbietern und Partnern helfen, die den größten Nutzen für das Unternehmen bringen.

Sobald Unternehmen die Dynamik ihrer eigenen IoT Landschaft verstehen, können sie Lücken erkennen und einen Plan zu deren Beseitigung erstellen. 

In the 2023 Gartner® 2023 Hype Cycle™ for Digital Identity, organizations can find identity-first best practices to make smarter technology decisions.

Unternehmen, die durch die Zentralisierung von Geräteidentitäten für Transparenz sorgen, sind besser informiert, wenn sie ihren Ansatz für IoT Sicherheit entwickeln und Richtlinien implementieren, die diese Sicherheit gewährleisten. 

Entschließung 3: Den neuen Vorschriften voraus sein IoT .

Regierungen und Aufsichtsbehörden sind sich einig, dass die Sicherheit von IoT eine gemeinsame Verantwortung ist. Endbenutzer müssen eine grundlegende Sicherheitshygiene einhalten, Unternehmen müssen Tools einsetzen und Systeme entwickeln, die die Sicherheit unterstützen, und Geräteentwickler und -hersteller müssen stärker darauf achten, Geräte zu entwickeln, die von vornherein sicherer sind. 

Dieser Konsens setzt sich langsam aber sicher in der Politik durch. 

• The EU’s Cybersecurity and Cyber Resilience Acts put forth legislative frameworks that, among many objectives, set certification standards for digital and connected devices.
• In June of 2023, the White House directed agencies to prioritize technologies that were secure by design. This falls in line with the pillars of the Biden administration’s broader cybersecurity security strategy released in the spring of 2023. 
• While there is no hard law demanding device security, the Biden administration enacted a cybersecurity labeling program to designate smart products that resist attacks.  
• The Matter standard seeks to standardize smart home devices around a universal protocol, which will cut complexity and enable manufacturers to get products to market faster. The Matter standard strictly lays out security requirements for devices. 

Achtundneunzig Prozent der Befragten in der Studie IoT gaben an, dass Vorschriften einen Einfluss auf ihre Entwicklung von IoT und vernetzten Produkten haben. Es ist nur logisch anzunehmen, dass die Gesetzgebung und Normen den Unternehmen, die vernetzte Geräte verwenden und herstellen, eine größere Verantwortung auferlegen. 

Angesichts der Unvorhersehbarkeit ist die Krypto-Agilität eine gute Voraussetzung für den Erfolg von Unternehmen.

In der Vergangenheit war die Anpassung an neue kryptografische Standards und Algorithmen alles andere als einfach. Mit der zunehmenden Verbreitung digitaler Technologien, maschineller Identitäten und vernetzter Geräte haben sich jedoch Lösungen und Methoden entwickelt, mit denen sich Unternehmen reibungslos an neue Anforderungen anpassen können. 

In the IoT and machine identity context, this is known as crypto-agility. Crypto-agility allows organizations to respond quickly to authentication and certificate issues, manage machine identities at scale, and change out cryptographic algorithms fluidly. 

Da Unternehmen ein offenes Ohr für neue gesetzliche Regelungen haben, sollten sie auch die Krypto-Agilität innerhalb der Organisation fördern. Zusätzlich zur Zentralisierung, Automatisierung und Strategie, die in unseren beiden früheren Entschließungen dargestellt wurden, können Unternehmen einen Fahrplan für die nächste Phase ihrer Entwicklung aufstellen und die Sicherheit enger mit der Innovation verknüpfen.

Die physische und die digitale Welt verbinden - sicher

Für viele Unternehmen ist die Sicherheit von IoT eine Herausforderung mit "unbekannten Unbekannten".

Sobald ein Gerät das Fließband verlässt und an einen Endbenutzer verkauft wird, lässt sich nicht vorhersagen, in welcher Art von Umgebung sich das Gerät befinden wird. Die Gerätehersteller gaben an, dass ihre größten Herausforderungen bei der Sicherung der von ihnen produzierten Geräte darin bestehen: 

1. Die Unfähigkeit, die Auswirkungen der Bedrohung durch Geräte von Drittanbietern zu quantifizieren IoT
2. Mangelnde Sichtbarkeit und Verwaltung der Geräte  

Obwohl die Budgets für IoT Geräte steigen, besteht die Gefahr, dass 52 % dieser Budgets zur Deckung der Kosten für IoT Sicherheitsverletzungen und Angriffe abgezweigt werden. 

Sowohl jetzt als auch in Zukunft können sich Unternehmen keine unzureichende IoT Sicherheit mehr leisten. Sie muss vorrangig behandelt werden. Die Gewährleistung der Produktsicherheit während des gesamten Lebenszyklus ist von entscheidender Bedeutung, um das Risiko neuer Bedrohungen durch neue Angriffsvektoren zu verhindern.

Gartner, Hype Cycle for Digital Identity, 2023, Ant Allan, Nathan Harris, 26. Juli 2023. GARTNER ist eine eingetragene Marke und Dienstleistungsmarke von Gartner, Inc. und/oder seinen Tochtergesellschaften in den USA und international, und HYPE CYCLE ist eine eingetragene Marke von Gartner, Inc. und/oder seinen Tochtergesellschaften und wird hier mit Genehmigung verwendet. Alle Rechte vorbehalten.