IoT-security – Je hebt het in eigen hand

0

Het industriële Internet of Things verandert de manier waarop sensoren en controllers gemaakt en aangesloten worden. De apparaten kunnen bijvoorbeeld steeds meer, en worden steeds intelligenter. Daarnaast vereenvoudigt het gebruik van een netwerkinterface in plaats van directe kabelaansluitingen het installeren van apparaten en het uitbreiden van systemen.

Die nieuwe mogelijkheden en functies brengen tegelijkertijd ook veiligheidsproblemen met zich mee. Een belangrijk gegeven om rekening mee te houden, is dat alles met een netwerk verbonden kan worden in feite een computer is. En deze flexibele apparaten kunnen aangepast worden, zowel met goede als kwade bedoelingen. Elke netwerkverbinding opent een toegangspoort naar het netwerk. Als de netwerkstrategie rond het beveiligen van de randen van het netwerk of op binnenkomend en uitgaand verkeer is gericht, opent elk IoT-apparaat daarmee een potentieel gat in je beveiliging.

Het goede nieuws is dat het Internet of Things beveiligd kan worden, en er technologie beschikbaar is om een robuust, veilig, effectief en krachtig IoT te bouwen. Deze bieden tools als digitale handtekeningen voor software en systemen, gecodeerde communicatie en storage, robuuste authenticatie en veilige mogelijkheden voor het ontwikkelen van software, die door iedereen gebruikt kunnen worden.

Veel IoT-implementaties zijn echter onveilig, en dat is slecht nieuws. Beveiliging is vaak ondergeschikt aan de druk om in korte tijd een rijke set aan functies en groot gebruikersgemak te realiseren. Bedrijven zouden de volgende zaken moeten overwegen bij het bouwen van een veilig IoT.

  • Maak beveiliging een onderdeel van de bedrijfseisen en de aankoopbeslissing. Koop geen systemen of componenten zonder robuuste beveiliging. Stel je beveiliging als een belangrijke eis bij de aankoop, dan motiveert dit IoT-leveranciers om veilige producten te leveren.
  • Overweeg systemen met een lange levensduur voor industriële IoT. Veel industriële IoT-systemen worden 10, 20 of 30 jaar gebruikt en dat brengt verschillende implicaties met zich mee:
    • Het moet mogelijk zijn om alle software op alle apparaten te updaten. De leverancier moet voorzien in mechanismen om software veilig te kunnen updaten en ongeoorloofde wijzigingen te voorkomen. De updates moeten verder via het netwerk gedaan worden, omdat het voor industriële IoT-apparaten niet haalbaar is om de apparaten fysiek te updaten. Er kunnen mogelijk honderden of duizenden apparaten in gebruik zijn, die veelal op ontoegankelijke plaatsen zijn geïnstalleerd.
    • De leverancier moet updates leveren. Een apparaat met een lange levensduur heeft updates nodig voor beveiligingsissues, bug fixes en wellicht om nieuwe functies toe te voegen. Leveranciers kunnen ervoor kiezen om IoT-apparaten voor consumenten, die normaliter een korte levensduur hebben, te vervangen in plaats van de software van bestaande apparaten te updaten. Voor industriële IoT-apparaten is het belangrijk om leveranciers te selecteren die de software van hun producten actief onderhoudt en updatet.
    • De leverancier moet industriestandaarden ondersteunen, wat met name belangrijk is voor netwerkinterfaces. De IoT-apparaten moeten in elk geval de standaard netwerkinterfaces en netwerkprotocollen ondersteunen. Dit is vandaag de dag best uitdagend omdat technologieën zich snel ontwikkelen. Gebruik waar mogelijk open standaarden, zoals ethernet, wifi of bluetooth.
  • Overweeg identificatie, registratie en configuratie van het apparaat. Een IoT-apparaat dat automatisch ingeschakeld, herkend en automatisch geconfigureerd kan worden in het netwerk en het IoT-systeem biedt het grootste gebruikersgemak. Let wel dat dit vaak het geval is bij consumenten IoT-apparaten, maar dat het risico’s met zich mee brengt bij industriële IoT. Je moet een nieuw apparaat kunnen identificeren, authenticeren en valideren om het vervolgens veilig in de IoT-omgeving te registreren. Veilige identificatie, authenticatie en validatie is met name belangrijk voor controllers. Je wilt niet dat er onbekende apparaten aan het netwerk worden toegevoegd.
  • Een industrieel IoT is geen ‘fire and forget’-omgeving. Het moet continu gemonitord worden om de prestaties, de resultaten,  het systeem, de netwerkintegriteit en veiligheid te kunnen garanderen.
  • Het IoT moet actief beheerd worden, omdat apparaten en mogelijkheden doorlopend toegevoegd, verplaatst, aangepast en verwijderd kunnen worden. Als je de uitgebreide mogelijkheden van een IoT-systeem verkent, zul je steeds weer nieuwe dingen ontdekken die je kunt doen met het systeem en de data die het voortbrengt. Plan daarom verandering en evolutie in je systeem, want dit zal zeker gebeuren!

De toekomst van het industriële Internet of Things ligt in jouw handen. De aankoopbeslissingen die je neemt, bepalen of het netwerk veilig, robuust en flexibel is. Worden je beslissingen gedreven door de laagste prijs en de meeste functies, dan kan dit mogelijk vendor lock-in of voortdurende beveiligingsissues als gevolg hebben. Kies daarom verstandig!

Russell Doty, Technology Product Manager, Red Hat

 

Lubbers De Jong
Lubbers De Jong is een Amsterdams adviesbureau dat communicatie en pr inzet als strategische instrumenten voor het bouwen van sterke relaties tussen merken en publieksgroepen. Het bureau is in 1987 opgericht en heeft expertise opgebouwd op het gebied van pr en content marketing voor nationale en internationale technologie- en innovatiebedrijven. Lubbers De Jong werkt onder andere voor Bynder, Red Hat, Infor en Interxion en is sponsor van de Plastic Soup Foundation, Pifworld en TEDxYouth Amsterdam. In 2014 won het bureau de VPRA Dutch PR Award.