C’è un motivo molto semplice per occuparsi, e preoccuparsi, delle vulnerabilità dell’IoT: 75 miliardi. Questo, infatti, è il numero di dispositivi che utilizzeranno l’Internet of Thing, o IoT appunto, entro il 2025. Per non ritrovarsi falle enormi nei sistemi del prossimo futuro, insomma, occorre prendere provvedimenti fin da ora. Posto il fatto che, già adesso, nel mondo vi sono circa 20,4 miliardi di device dedicati all’IoT, cioè quell’insieme di tecnologie che mettono in rete apparecchi che abitualmente non lo sono. Il problema delle vulnerabilità IoT va affrontato subito.
Vulnerabilità IoT, un problema anche concettuale
La prima vulnerabilità dell’IoT sta tutta qui: non è semplice immaginare che un certo dispositivo adesso sia in rete e cosa questo comporti. Un semplice termostato, messo in rete, consente di impostare la temperatura dell’ufficio o di casa da remoto, ed è indubbiamente utile. Ma un attacco a quel dispositivo consente al criminale informatico, per esempio, di alzare la temperatura di una stanza in estate, costringendo magari ad aprire le finestre e agevolare un accesso fisico all’ambiente. Ecco perché si deve iniziare a pensare a un termostato più come a un PC o uno smartphone, che a un dispositivo a sé stante.
Sicurezza delle reti
Le vulnerabilità dell’IoT sono concettuali, come quella appena citata, ma soprattutto tecniche. E quindi, per proteggerle, occorre affidarsi a tecnica e competenza di professionisti dedicati. La prima, in questo senso, è la sicurezza delle reti. Dato che i dispositivi IoT utilizzano reti per comunicare con il mondo esterno, occorre accertarsi della loro sicurezza sfruttando soluzioni endpoint come antivirus, firewall e, caldamente consigliati, intrusion detection system.
Autenticazione forte
Di fatto, un dispositivo IoT rappresenta un punto di accesso a una rete, dunque deve sottostare a un sistema di autenticazione e accesso alla rete. È importante, per questo, che l’accesso a un dispositivo IoT sia regolato da tecnologie di autenticazione forte, multi-fattore. In questo specifico settore si utilizzano, in particolare, certificati digitali (con scadenza piuttosto breve) e sistemi biometrici. Per la stessa ragione, la comunicazione tra apparecchi IoT e relative app di controllo dovrebbe essere basata su una Public Key Infrastructure.
Il problema delle API
Il problema delle app di controllo è una vulnerabilità IoT da affrontare su più piani. Anche quello dello sviluppo. Spesso e volentieri, infatti, il loro funzionamento passa per chiamate ad API realizzate male e in fretta, e quindi prone alle vulnerabilità. Nel miglior dei casi ci si dovrebbe rivolgere a soluzioni open source per verificare la qualità del codice, ma per abbassare i costi e concentrarsi sul proprio business è meglio puntare su aziende come HWG in grado di effettuare security assessment e rilevare brecce anche a livello di API e di app.
Monitoraggio come forma di difesa
Le vulnerabilità IoT sono complesse da rilevare, per via della grande eterogeneità di dispositivi e tecnologie in gioco. Ed è per questo che il passaggio fondamentale, in una corretta strategia di industrial security, è il monitoraggio attivo dei sistemi aziendali. Grazie al controllo tramite SIEM, e sfruttando i benefici di una moderna anomaly behavior analysis, è possibile rilevare in tempo reale anomalie nell’accesso e controllo di dispositivi IoT. E a quel punto è possibile calibrare gli strumenti di prevenzione sulla base dei dati raccolti.
Per risolvere le vulnerabilità IoT, fondamentale l’aggiornamento costante
Buona parte delle vulnerabilità IoT è di tipo zero-day, per via di tecnologie sviluppate di fretta, sull’onda della crescita esponenziale del mercato, e quindi spesso infarcite di pericolosi bug silenti. Inoltre, il mercato è invaso di prodotti di scarsa qualità, senza alcuna considerazione del concetto di security by design. Ecco, dunque, la necessità di una politica rigida e programmata di aggiornamento dei software. Deve prevedere la continua ricerca e installazione di patch correttive e questo richiede l’utilizzo di appositi team specializzati nell’industrial security.
