Schutz gegen Cyberangriffe Fünf Mythen der IoT-Sicherheit

Das Internet der Dinge wächst. IDC prognostiziert, dass es 41,6 Milliarden vernetzte IoT-Geräte bis 2025 geben wird. „Es gibt einfach zu viele Geräte und es gibt keine Grenzen“, erklärt Jamison Utter, Senior Business Development Manager for IoT bei Palo Alto Networks.

Was bedeutet das für Unternehmen? Wenn sie im traditionellen Sicherheitsansatz feststecken, ist es an der Zeit, ihre Sicherheitsinitiative neu zu starten, um eine grenzenlose Computing-Umgebung widerzuspiegeln. Das IoT unterscheidet sich sehr von der IT. Es ist wichtig, sich auf das Netzwerk und die gesamte Datenumgebung zu konzentrieren, anstatt auf das spezifische Gerät.

Palo Alto Networks nennt die 5 wesentlichen Mythen der vernetzten Sicherheit und Tipps, wie Unternehmen sie überwinden können.

1: Das IoT ist einfach die nächste Phase der IT-Sicherheit.

Nichts könnte weiter von der Wahrheit entfernt sein. Vernetzte Geräte und Systeme stellen einen stärker dezentralisierten Ansatz für die Computing- und Cybersicherheit dar. Für IT-Teams erfordert die Umstellung auf das IoT einen gewaltigen konzeptionellen Sprung, da sie nicht mehr der Käufer oder Gerätebesitzer sind.

Das Problem ist, dass die IT-Teams versuchen, Tools und Ansätze zu verwenden, die teils veraltert sind. Sie gehen ein Geschäftsproblem als IT-Problem an. Beim IoT geht es nicht um Laptops und Smartphones. Es geht nicht um den Schutz von Benutzernetzwerken. Es ist eine ganz andere Welt, die sich um den Schutz von Geschäftsprozessen und Daten dreht.

Unternehmensleiter, die das IoT wirklich verstehen, erkennen, dass sie die Cybersicherheit vereinfachen können, wenn sie einen eher ganzheitlichen, datenzentrierten Ansatz verfolgen, anstatt alles noch komplexer zu machen.

2: Die IT sollte die Sicherheit des IoT überwachen.

Wenn die IT-Abteilung für die Sicherheit des Internet der Dinge verantwortlich ist, greift sie in der Regel auf konventionelle Werkzeuge, Technologien und Ansätze für diese Aufgabe zurück. Dieser „One-size-fits-all“-Ansatz führt häufig zu enttäuschenden Ergebnissen.

Das IoT geht über die Grenzen konventioneller Computersysteme hinaus. Daten befinden sich auf verschiedenen Geräten innerhalb und außerhalb eines Unternehmens und fließen über viele weitere Berührungspunkte.

Es gibt aber noch ein anderes, manchmal größeres Problem. Da sich das IoT über Teams, Abteilungen und Unternehmen erstreckt, ist es leicht, sich mit einem isolierten Ansatz zur Cybersicherheit abzufinden.

In einigen Fällen können verschiedene Gruppen, die sich mit Sicherheitsfragen befassen, Doppelarbeit leisten oder sogar versehentlich Methoden anwenden, die miteinander in Konflikt stehen – und letztlich ein Unternehmen ungeschützt lassen.

Die Abstimmung zwischen IT- und Cybersicherheits-Teams ist im Zeitalter des IoT sogar noch wichtiger. Dies erfordert eine enge Zusammenarbeit zwischen CIOs, CSOs und CISOs. Man muss wirklich eine Analyse durchführen, all seine Ressourcen identifizieren und verstehen, wie, warum und wo Daten verwendet werden.

Nur dann kann man einen Rahmen entwerfen, der für das IoT optimiert ist. Dies kann die Einstellung oder Umschulung von Mitarbeitern mit den richtigen Fähigkeiten und Fachkenntnissen erfordern.

3: Herkömmliche Sicherheitstools und -strategien werden uns schützen.

Der Burg-und-Graben-Ansatz in der Cybersicherheit kann die IoT-Sicherheit tatsächlich „untergraben“. Malware-Schutz und andere herkömmliche Tools sind zwar immer noch wertvoll, wurden aber nicht für die Verwaltung von Datenströmen über Sensoren, Edge-Umgebungen und moderne Mehrzweckgeräte konzipiert.

Das bedeutet nicht, dass ein Unternehmen diese Schutzmechanismen beseitigen sollte, es muss sie nur anders einsetzen und neue Funktionen hinzufügen, sobald sie verfügbar sind. Dies können zum Beispiel Datenverschlüsselung während der Übertragung oder Tools zur Netzwerküberwachung sein, die erkennen, wann Daten besonders gefährdet sind.

Es könnte auch die Einrichtung separater Netzwerke für verschiedene Arten von Daten sein. Selbst wenn jemand ein Gerät oder ein System hackt, kann es dann passieren, dass er nichts Wertvolles erhält.

Palo Alto Networks meint, dass ein Unternehmen, sobald es vollständig versteht, wie Daten auf einer IoT-Plattform verwendet werden, die richtigen Schutzvorkehrungen zuweisen kann, einschließlich Governance-Modell, Praktiken, Prozessen und Tools. Dies kann von der Endpunkt- und Netzwerküberwachung über Verschlüsselung in Bewegung bis hin zu noch fortschrittlicheren Methoden des maschinellen Lernens und der künstlichen Intelligenz reichen.

KI kann IoT-Geräte in einem Netzwerk finden, einschließlich zuvor verborgener Geräte, sicherstellen, dass sie kritische Updates und Sicherheits-Patches erhalten haben, und andere potenzielle Probleme identifizieren.

Durch maschinelles Lernen können IoT-Geräte auf der Grundlage von Sicherheitsrisiken in Gruppen eingeteilt werden, ohne dass zusätzliche Sicherheitssoftware und manuelle Prozesse erforderlich sind. Dieser Ansatz ermöglicht Risikobewertungen, wann Geräte „normal“ oder „verdächtig“ funktionieren, und hilft bei der Durchsetzung von IoT-Richtlinien.

4: Es dreht sich alles um den Schutz des Geräts.

Die Anwendung des konventionellen IT-Sicherheitsdenkens auf das IoT öffnet eine weitere Falle. IoT-Sicherheit erfordert einen breiteren Ansatz, der Netzwerkauthentifizierung, Konnektivität, Clouds und mehr umfasst. „Es ist an der Zeit, nicht mehr an IoT-Geräte als kleine PCs zu denken. Die meisten dieser Geräte sind einfach und dumm“, sagt Utter.

Tausende oder Zehntausende von IoT-Sensoren und -Geräten machen es unmöglich, jedes einzelne in einem intelligenten Unternehmen, einer Lieferkette oder einer Stadt zu schützen. Es ist zwar wichtig, ein medizinisches Gerät oder ein Auto vor Hackerangriffen zu schützen, aber viele angeschlossene Sensoren und Geräte haben schreibgeschützte Komponenten, die nicht kompromittiert werden können. Folglich müssen sich die IoT-Schutzmaßnahmen in Unternehmen um komplexere Beziehungen zwischen Systemen und Daten drehen.

„Man muss wirklich mit den Grundlagen beginnen“, betont Utter. „Das bedeutet, dass man ein Zero-Trust-Framework schaffen muss.“ In dieser neuen Ordnung des IoT ist das Netzwerk das Ding – und alle Sensoren, Geräte, Systeme und Daten müssen ganzheitlich betrachtet werden. „Durch die Klassifizierung von Daten, die Einrichtung von Zonen und die Erstellung von Whitelist-Anwendungen und -Prozessen ist es möglich, die richtigen Schutzvorrichtungen und Werkzeuge für die richtige Aufgabe zu identifizieren.“

Das bedeutet zum Beispiel, dass man sich von einem traditionellen Modell, bei dem alle Sensoren und Geräte in dasselbe Netzwerk eingebunden werden, entfernen muss. Stattdessen kann ein Unternehmen davon profitieren, wenn es seine Anlagen nach Geschäftsaufgaben, Datensicherheits- und Vertrauensebene organisiert.

Daraufhin gilt es Netzwerkknoten, -abteilungen oder -zonen zu schaffen sowie Tools und Schutzvorrichtungen zu implementieren, die den Sicherheitsanforderungen entsprechen.

5: Die Sicherheitsvorkehrungen der Hersteller sind entscheidend.

Die vorherrschende Mentalität ist, dass Anbieter starke Schutzvorrichtungen in ihre Produkte einbauen müssen. Und wenn es einen Patch gibt, muss der Benutzer ihn nach der Installation in aller Eile installieren.

Leider ist dies ein fehlerhaftes Konzept im Zeitalter der vernetzten Geräte. Das soll nicht heißen, dass Sicherheit nicht in die Produkte eingebaut werden sollte. Es soll nur nicht heißen, dass ein Unternehmen die Sicherheit der Anbieter von IoT-Geräten nicht als primäre Form des Schutzes betrachten sollte.

Da viele Sensoren lediglich „dumme Endpunkte“ sind, die ersetzt und nicht gepatcht werden. Selbst wenn es sich um komplexere Geräte handelt, „setzen die meisten Unternehmen IoT-Komponenten ein und aktualisieren oder patchen diese nie“. Teil des Problems ist, dass Firmware-Patches und -Upgrades bei Tausenden von vernetzten Geräten zu einem Albtraum werden.

Fazit

Die Sicherheit auf dem Gerät wird sehr viel weniger wichtig, wenn Daten- und Netzwerkkontrollen eingerichtet sind. Das IoT erfordert eine umfassendere übergreifende Strategie, die sich über alle Gerätehersteller erstreckt.

Letztendlich muss sich der Schutz des IoT nicht als mühsam erweisen. Er erfordert jedoch das richtige Fachwissen und ein Verständnis dafür, dass der konventionelle Ansatz zur Cybersicherheit angepasst werden muss. Wenn Führungskräfte diese Realität verstehen, so Palo Alto Networks, können sie Entscheidungen und Budgets entsprechend anpassen.