Унификация подходов к созданию IoT позволила бы унифицировать и методы защиты

Ключевая опасность IoT лежит в области их интеграции с общей инфраструктурой организации, рассказала iot.ru Светлана Гущина, руководитель отдела продвижения продуктов компании «Код безопасности». Доступ IoT-устройств к платежной и транзакционной информации может привести к серьезным информационным угрозам. Ускорить процесс создания надежных инструментов по защите данных в сетях IoT поможет стандартизация технологий и унификация протоколов.

Как применение технологий Интернета вещей меняет подходы к обеспечению информационной безопасности на предприятиях?

Интернет вещей в корпоративном секторе – вещь новая. Службы безопасности с осторожностью относятся к подключению в корпоративный контур новых устройств, поскольку это подразумевает изменение модели угроз и, соответственно, подходов к защите. Сегодня корпорации по большей части находятся на стадии изучения возможностей применения IoT и их ограничений. Большой интерес IoT представляет для исследователей, изучающих безопасность протоколов и возможные «дыры» в ПО, которые могли бы изменить функциональную работу систем.

Какие инциденты, связанные с использованием технологий Интернета вещей, вы считаете наиболее громкими за последнее время?

Недавно на конференции DefCone в Лас-Вегасе исследователи продемонстрировали, как вирус может взять на себя управление термостатом, подключенным к сети Wi-Fi. Подобный инцидент в первую очередь опасен для владельцев «умных домов», которым придется заплатить за разблокировку устройства, с помощью которого злоумышленники могут перегреть или заморозить обитателей дома.

Но гораздо страшнее применение подобных вирусов в промышленных масштабах: в ЦОДах или на производственных предприятиях. Работа ИТ-оборудования и промышленных технологических процессов в гораздо большей степени зависит от стабильности температуры окружающей среды, и серьезные ее колебания приводят к необратимым последствиям. 

К счастью, для эксплуатации такой уязвимости необходим физический доступ злоумышленника к устройству, что при хорошей организации работы системы реализовать очень сложно. Но не стоит забывать, что хакеры для получения доступа к информации все чаще стремятся не обойти средства защиты, а использовать социальный инжиниринг.

В чем вы видите ключевую опасность применения технологий Интернета вещей?

Самый интересный вопрос для злоумышленников - это «где деньги лежат». Соответственно, ключевая опасность технологий Интернета вещей лежит в области их интеграции с общей инфраструктурой организации. Если не ограничить жестко доступ IoT-устройств к платежной и транзакционной информации - это может привести к серьезным информационным угрозам. Сегодня IoT-устройства можно сравнить со смартфонами, применяемыми в организации. Без грамотной настройки ограничений по использованию хранящейся на них информации можно открыть злоумышленникам доступ к конфиденциальным данным компании.

Какие отрасли в большей, а какие – в меньшей степени готовы к использованию технологий Интернета вещей?

Думаю, что в наибольшей степени к применению IoT готовы ритейлеры, для которых новшества в работе, например, ларьков в магазинах, могут серьезно повлиять на интерес аудитории к товарам. Кроме того, такие средства сегодня могут активно применяться в выставочных комплексах с аналогичной целью.

А вот самыми «законсервированными» для IoT являются отрасли тяжелой промышленности, газо- и нефтедобывающие компании, предприятия энергетики. Это связано с тем, что внесение изменений в работу их систем сопряжено с серьезными вложениями и рисками информационной безопасности и работоспособности всей инфраструктуры.

Можно ли утверждать, что предприятия, внедряющие технологии Интернета вещей, в первую очередь думают об обеспечении информационной безопасности?

Внедряя технологии Интернета вещей, предприятия в первую очередь думают об управляемости и повышении скорости внедрения изменений. Заказчиком ИТ традиционно является бизнес, который с помощью новых систем осуществляет автоматизацию и ускорение бизнес-процессов. То же самое происходит и с Интернетом вещей: оперативность управления и мониторинг в первую очередь понятны и нужны бизнесу. Информационная безопасность здесь, как и в традиционных ИТ-системах, играет роль своеобразного тормоза.

Вспомните, как произошло с применением мобильных устройств: при появлении смартфонов и планшетов ТОП-менеджеры первыми захотели получать доступ к корпоративной информации из любой точки. Такая практика моментально распространилась и на других сотрудников, поэтому сегодня корпоративную почту с мобильного читает практически каждый. Специалисты по безопасности, понимая необратимость процесса, лишь пытаются его возглавить. Они внедряют системы управления мобильными устройствами (EMM или MDM) со встроенными механизмами защиты конфиденциальных данных.

Похожая ситуация происходит и с IoT, однако риски информационной безопасности здесь гораздо выше: промышленная эксплуатация оборудования, подключенного к интернету и жизнеобеспечивающим ИТ-системам, может привести к полной остановке работы предприятия. Поэтому в данном случае безопасность становится одним из основных приоритетов для разработчиков средств Интернета вещей, а установка подобного оборудования невозможна без согласования службы безопасности.

На ваш взгляд, поможет ли стандартизация технологий в разработке надежных инструментов для защиты информации в сетях Интернета вещей?

Чтобы ускорить процесс создания надежных инструментов по защите данных в сетях IoT, необходимо унифицировать протоколы взаимодействия между устройствами. Сегодня каждая организация организует обмен по удобному ей протоколу, что в конечном счете усложняет работу разработчиков средств защиты информации (СЗИ). В таких условиях разработчики должны смотреть на каждую отдельную систему, изучать ее угрозы и строить специализированные средства под конкретного производителя, что невыгодно ИБ-вендорам и не позволяет прогнозировать будущие угрозы. Унификация подходов к созданию IoT позволила бы унифицировать и подходы к защите, спрогнозировать уровень защиты предприятия при использовании IoT.

Какие тренды будут определять процессы в сфере информационной безопасности для промышленного Интернета вещей в России в ближайшие два-три года?

Процессы в сфере информационной безопасности для промышленного Интернета вещей напрямую зависят от уровня информатизации отечественных предприятий. Сегодня, к сожалению, не многие компании готовы даже на внедрение систем управления корпоративной мобильностью (EMM или MDM), поэтому о безопасности IoT в большинстве корпораций говорить пока рано. Каждая компания последовательно идет к выполнению целей безопасности. На западе EMM уже является не новшеством, а сформированным рынком в $1,8 млрд (по данным IDC). Когда в России подход к защите мобильных устройств станет общим и понятным компаниям – тогда можно будет говорить об появлении уровня зрелости ИБ на уровне защиты IoT.

Беседовал Виталий Мосеев