Estado de la seguridad del IoT: El presupuesto, el menor de los desafíos

In Keyfactor’s first global IoT security report, respondents revealed that security has shifted in leaders’ minds. They understand the importance of IoT security and have put a budget behind it.

Los presupuestos de seguridad promediaron los $446.015 y se pronosticó que aumentarían un 19% en los próximos dos años y un 45% en los próximos cinco años. 

Sin embargo, las organizaciones tienen dificultades para aplicar su presupuesto de manera efectiva en la prevención de ataques. De hecho, hasta el 52% del presupuesto promedio corre el riesgo de ser desviado para cubrir el coste de las brechas exitosas en dispositivos IoT. 

Consulte el informe: Navegando por el estado de la seguridad de IoT >>

Stakes are rising as legislative bodies set their sights on solving the challenge of IoT security. Governments across the world are calling for product designers and manufacturers to embrace secure-by-design principles in order to better protect critical infrastructure. The Matter standard and NIST’s device labeling program encourage more secure products and give consumers more confidence in making secure purchasing decisions. 

Though these standards have not reached the level of compliance regulation, they indicate where the legislative attitude is headed. Still, the report showed that 98% of organizations experienced a certificate-related outage in the past 12 months. Outages on manufacturing lines cost the average OEM organization $2.25 million.

Entonces, si el presupuesto y la prioridad no son obstáculos, ¿por qué la seguridad de IoT sigue siendo tan difícil de alcanzar? 

Las mayores barreras para la seguridad de IoT

It’s unclear whether security practitioners are hindered more by the wrong tools or by the wrong methods. More than likely, both play a factor.

Una escasez de conocimiento y comprensión

El noventa y cuatro por ciento de las organizaciones norteamericanas coincidieron en que necesitan mejorar la seguridad de IoT. El sesenta y dos por ciento de las organizaciones afirmaron estar "tan protegidas como es posible".

Estas cifras parecen contradictorias, pero juntas indican una conciencia del riesgo y una falta de comprensión sobre cómo las organizaciones pueden mejorar la seguridad para cubrir esos riesgos. 

On the equipment manufacturers’ side of things, 42% of OEMs cited the lack of clarity around best practices to implement security across multiple global manufacturing sites as a top challenge to securing their manufacturing and production lines. They also said their top challenge to securing the IoT devices they manufacture was the inability to quantify the threat impact of third-party IoT devices.

Hay mucho que las organizaciones desconocen en lo que respecta a la seguridad de los dispositivos. Los fabricantes de IoT son expertos en su campo, pero no necesariamente en la seguridad de sus dispositivos. Lo cierto es que, sin una visión de seguridad total de los dispositivos que comience en el diseño inicial y el conocimiento de los hitos tácticos necesarios para lograr esa visión, cualquier avance será un mero disparo en la oscuridad. 

Herramientas inadecuadas

El noventa y cuatro por ciento de los encuestados afirmó que su organización utiliza una solución PKI para emitir identidades digitales y/o gestionar certificados en los dispositivos IoT e IIoT que utilizan y/o fabrican.

A primera vista, esto parece positivo. Las organizaciones, sin duda, están dejando de usar hojas de cálculo para rastrear certificados. Sin embargo, un análisis más detallado revela que las organizaciones aún no son tan sofisticadas en sus herramientas como deberían.

El 27% utiliza únicamente una herramienta interna nativa.

Es probable que estas herramientas sean soluciones desarrolladas internamente que ofrecen automatización, visibilidad y escalabilidad limitadas. Suelen ser más arriesgadas y difíciles de gestionar.

El 44% utiliza una combinación de soluciones internas y de terceros.

This statistic is likely driven by a host of vendor-specific tools that only manage certificates issued by that vendor’s certificate authority. Seeing as the average organization uses nine different CAs, vendor-specific coverage only adds complexity and obscures visibility.

More tools don’t mean more coverage. Certificates — including both those used by IoT devices and those deployed in the IT environment — are best managed through a single, universal hub. Doing so lays the best foundation for automation and gives holistic insight into the state of the certificate landscape across the entire enterprise.

Infraestructura heredada

Forty-one percent of OEMs said they would have to modify their production facilities to incorporate new processes that would enable better security. Meanwhile, 32% of OEMs said they lack the infrastructure to support change at scale, while 30% said they lack the infrastructure to support any change at all.

Manufacturing environments come with their own unique dynamics that make it difficult to modernize systems and implement new processes. These legacy systems are complex, and sometimes there’s a fear of reliance on software that could introduce undesired downtime.

These dynamics may be somewhat intractable. But they can’t remain unknown or unaccounted for. Organizations must create a vision for device security, then seek solutions and vendors who can help execute that vision and enable the flexibility organizations need to thrive in the future. Make no mistake, changes are coming for OEMs. Legacy systems won’t be sustainable forever. New regulations, a changing threat landscape, and security-conscious consumers will force organizations to adapt or perish.

El futuro del IoT

Cada dispositivo IoT individual ofrece a un atacante un punto de entrada potencial a la red de la organización. Los riesgos de la seguridad del IoT van más allá de proteger la reputación de la organización; se extienden a la infraestructura crítica que sustenta nuestro modo de vida.

The IoT world is ripe for innovation, and it shows progress that more leaders are positioning security as a key driver of innovation rather than a barrier to it. As that innovation unfolds, IoT manufacturers and user organizations must make good use of their IoT security budgets and work to understand the state of IoT within their operations.