Warum ist das Internet der Dinge so schwer zu sichern?

Der Zugang zu Echtzeitdaten ist für Business Intelligence von großem Wert. Stellen Sie sich vor, ein Roboterarm an einem Fließband könnte Ihnen mitteilen, wie viel Energie er verbraucht, wie lange er für seine Arbeit braucht oder wann er gewartet werden muss.

From pacemakers to self-driving cars, devices that were previously siloed are getting connected to the internet. This offers a great deal of value to users and can even save lives in the case of medical devices. But with the added value of interconnectivity comes much greater risk.

Theoretically, the Internet of Things (IoT) infrastructure can be even more secure than that of servers and workstations, as manual processes are often the most vulnerable part of a cloud-based infrastructure. 

Da es sich jedoch um eine neue Technologie handelt, die sich explosionsartig entwickelt, kann die Sicherheit von IoT Geräten ein bewegliches Ziel sein, da neue Technologien, Vorschriften, Anwendungsfälle und Bedrohungen auftauchen. Und es steht viel auf dem Spiel, denn die potenziellen Folgen einer Datenpanne, bei der medizinische Geräte, Militärausrüstung, Privatfahrzeuge oder große öffentliche Versorgungseinrichtungen gefährdet sind, könnten lebensbedrohlich sein.

Das Internet der Dinge ist eine neue Welt für traditionelle IT- und Cybersicherheitsexperten. Es gibt viele Möglichkeiten, wie ihr derzeitiges Fachwissen auf diese neue IoT Revolution angewendet werden kann, aber sie werden sich auch einigen neuen Herausforderungen stellen müssen.

Herausforderung 1: Die Anforderungen der Skala erfüllen

Fertigungsmaschinen müssen oft Hunderttausende von Einheiten pro Woche produzieren, jede mit eigenem Zertifikat und eigener Identität. Die Zertifikate müssen so schnell ausgestellt werden, wie die Einheiten vom Fließband kommen. 

Allein die Pflege des Inventars aller ausgestellten Zertifikate, ganz zu schweigen von deren Überwachung und Aktualisierung, ist ein großes Unterfangen, vor allem bei Zertifikaten mit kurzen Lebenszyklen. 

Forty-two percent of enterprises still use spreadsheets to track digital certs manually, and 57% don’t have an accurate inventory of their SSH keys. Consequently, up to 40% of machine identities aren’t being tracked.

Herausforderung 2: Null Vertrauen

Elektronische Steuergeräte (ECUs) für Kraftfahrzeuge, die die Sicherheits-, Antriebs- und Infotainmentsysteme im Fahrzeug steuern, werden in einer weit verzweigten Lieferkette mit mehreren Eintrittspunkten hergestellt, die von einem Bedrohungsakteur ausgenutzt werden könnten. 

Und die Produkte dieser Lieferkette werden in unbekannten Umgebungen eingesetzt, die möglicherweise jahrzehntealte Sicherheitskontrollen verwenden. Die Hersteller können die Sicherheit ihrer Produkte nicht vom Endnutzer abhängig machen, da eine mit dem Produkt verbundene Datenschutzverletzung den Ruf des Herstellers schädigen kann, selbst wenn die Verletzung letztlich auf den Nutzer zurückzuführen ist.

IoT technology must take a Zero Trust approach to security for both human and machine identities. This approach, in which rejecting access is the default and access is only granted based on strict criteria, doesn’t just bolt on security as a feature—it bakes it in as a design element throughout the product lifecycle.

Darüber hinaus muss das Gerät in eine Vielzahl benachbarter Systeme integriert werden, von denen einige möglicherweise nicht die gleichen strengen Sicherheitsstandards einhalten. Vorschriften und Industriestandards sind im Bereich IoT noch im Entstehen begriffen, so dass die Hersteller mit der Herausforderung konfrontiert sind, dass diese Systeme nicht einheitlich sind. Ihre Produkte zu schützen und sie gleichzeitig interoperabel zu machen, kann eine große Herausforderung sein.

Herausforderung 3: Plattformbeschränkungen

Sicherheit ist kaum ein Verkaufsargument für ein IoT Gerät. Auf dem Markt kommt es darauf an, wie gut das Produkt funktioniert, wie energieeffizient es ist, wie viel es kostet usw. IoT Produktverkäufer können den Kunden nicht mehr Geld für ein Produkt abverlangen, indem sie die Sicherheit als Wertversprechen nutzen. Daher müssen die Hersteller darauf achten, dass die Sicherheitsmaßnahmen die Benutzerfreundlichkeit und Effizienz nicht beeinträchtigen.

Sicherheitsaspekte müssen in den gesamten Produktentwicklungs- und -herstellungsprozess eingebettet werden, damit sie nicht zu einem lästigen Beiwerk werden. Wenn die Sicherheit von Anfang an Teil des Arbeitsablaufs ist, d. h. "Security by Design", entstehen weniger Reibungsverluste im Produktfreigabezyklus und die Gewinnspannen werden weniger beeinträchtigt.

Herausforderung 4: Gleichgewicht zwischen Sicherheit und Funktionalität

Security is not usually Job #1 in the design process for manufacturing equipment. Clients mainly care about how well the product works, whether it has all of the capabilities they need, and how much it costs. Giving business leaders the ability to oversee operations across the internet is a huge value driver, but everything a device connects to presents a new risk. Balancing security and interconnectivity has to be on a product designer’s mind to prevent the damage to a company’s reputation a potential data breach could cause.

Dieser Spagat kann schwierig sein, vor allem, wenn die Designphase auf ein agiles oder DevOps-Modell ausgerichtet ist. Designer leben von Veränderung und Innovation, während Sicherheitsverantwortliche Stabilität in Stasis und Vorhersehbarkeit suchen. Designer wollen vielleicht keinen weiteren Koch in der Küche, und Sicherheitsverantwortliche sind vielleicht nicht flexibel genug, um Kompromisse einzugehen.

Herausforderung 5: Einhaltung von Normen

IoT wird in den nächsten Jahren eine Menge Entwicklung erleben. Neue Anwendungsfälle, Technologien und Bedrohungen werden zu neuen Vorschriften führen. Aber wenn die Sicherheit für die Entwickler von IoT nicht oberste Priorität hat, wird die Einhaltung der Vorschriften immer ein Problem bleiben.

Currently, the regulatory environment around IoT security is disjointed. NIST informs regulations in the U.S., but other countries have their own sanctioning bodies and standards. Electric vehicle regulation covers PKI, but those regulations differ from one region to the next. Standards like IEC 62443 are often discussed in comparison to other security standards. California’s SB: 327 law was the first IoT-specific law in the U.S. 

An enterprise releasing a product globally must manufacture that product with security that complies across several regulatory landscapes (e.g., GDPR in Europe, PIPL in China, LGPD in Brazil). These privacy regulations are being expanded to include IoT devices, and some organizations may benefit from specialized consultants who are familiar with all the standards.

Risiken bei der Behandlung von IoT Sicherheit als nachträglicher Gedanke

For most IoT manufacturers, security is not the primary value, but buyers assume that products are secure, and a breach at the device level can diminish customer confidence in a brand and lead to high-profile reputational damage. An aquarium thermometer in a casino allowed a hacker to export 10 GB of undisclosed data out of the country. Breached security cameras gave hackers access to video feeds in Tesla factories as well as jails, police departments, and hospitals. 

On a grander scale, the Stuxnet virus altered the speeds of Iran’s nuclear centrifuges so imperceptibly that humans could not detect the change, bringing the Iranian nuclear program to its knees. 

But it’s not just governments and corporations that can be impacted: from vehicles getting hacked while driving down the highway to home security cameras being compromised to vulnerabilities in IoT pacemakers, cyberattacks on some IoT devices can be directly life-threatening and create fear on the part of consumers.

Aus diesem Grund können ungesicherte Geräte zu saftigen Geldbußen und Strafen durch staatliche Aufsichtsbehörden führen. Im Jahr 2015 gab das HHS Office of Civil Rights (OCR) seinen ersten Vergleich im Zusammenhang mit einer Datenschutzverletzung durch medizinische Geräte in einem Krankenhaus bekannt. 600 Datensätze wurden offengelegt, und das Lahey Hospital & Medical Center zahlte 850.000 US-Dollar. Man könnte argumentieren, dass das OCR eine Botschaft aussendet, um Geräte und Systeme in den Geltungsbereich des HIPAA einzubeziehen.

Der Markt expandiert

The IoT industry is set to explode across several verticals. According to IoT Analytics, the Global IoT market grew over 22% in 2021, and it is projected to keep increasing at that same compound annual growth rate through 2027. 

In dieser relativ neuen Branche gibt es eine Menge Wachstumsschmerzen, und die Unternehmen sind sich nicht sicher, wer für was zuständig ist, wenn es um Sicherheit geht. Die beste Sicherheitslage wird erreicht, wenn Design-, Betriebs- und Sicherheitsverantwortliche erkennen, dass sie alle ein Interesse an der Sicherheit der IoT Geräte haben. Die besten IoT Produkte werden von Herstellern hergestellt, die Sicherheits- und Compliance-Überlegungen von Anfang an in das Gerätedesign einbeziehen.

If you want to dive deeper into the principles of how to secure the Internet of Things, check out our whitepaper Five Guiding Tenets for IoT Security.