Hoe blij moeten bedrijven zijn met de komst van IoT-apparatuur?

Het Internet of Things (IoT) is overal. Wereld­wijd zijn er momenteel circa 15 miljard verbonden apparaten in omloop. Het is misschien ietwat kort door de bocht, maar je zou kunnen zeggen dat dit gelijk staat aan miljarden kansen om een cyber­aanval uit te voeren. Waar­schijn­lijk herinnert u zich nog wel het nieuws uit 2016 over de duizenden IoT-camera’s die werden besmet door de Mirai-malware om vervol­gens te worden omgevormd tot een reus­achtig botnet waarmee promi­nente websites en inter­net­dien­sten werden platgelegd.

Zal 2017 het jaar zijn waarin we te horen krijgen van de eerste aanval waarbij het IoT is ingezet om bedrijfs­ge­ge­vens te stelen? Dit is zonder meer een reëel risico. Het is nu tijd om na te gaan hoe we onze processen, beleids­re­gels en tech­no­logie kunnen verbe­teren om voor een veiliger en produc­tiever gebruik van verbonden apparaten te zorgen.

Hoewel er volop voor­beelden van zakelijke IoT-toepas­singen te vinden zijn, vormt consu­men­ten­ap­pa­ra­tuur de werke­lijke motor achter deze tech­no­lo­gi­sche trend. We kopen alles van opslag­voor­zie­ningen tot wearables. Al deze apparaten zouden naar de werkplek kunnen worden meege­nomen en met het bedrijfs­net­werk worden verbonden.

Het zakelijk gebruik van het IoT

Er zijn tal van solide business cases voor IoT-toepas­singen aan te wijzen, zoals het vergroten van de persoon­lijke en zakelijke effec­ti­vi­teit van werk­ne­mers. We kennen inmiddels het fenomeen van verbonden koffie­zet­ap­pa­raten die nooit zonder koffie komen te zitten en printers en lampen die met het netwerk zijn verbonden. Er is nu echter ook sprake van inte­gra­ties van het IoT met planning- en e‑mailtoepassingen. Voor­beelden zijn verga­der­ka­mers die on demand beschik­baar zijn en bedrijfs­ac­tiva die van IoT-tags zijn voorzien om just-in-time bestel­pro­cessen mogelijk te maken.

Al deze apparaten hebben toegang tot het netwerk nodig, en veel ervan ook tot het internet voor confi­gu­ra­tie­doel­einden en gege­vens­op­slag in de cloud. IoT-appa­ra­tuur kan het bedrijfs­net­werk daarmee aan gevaren bloot­stellen. Een geïn­fec­teerd koffie­zet­ap­pa­raat kan hoogstens wat frus­tratie wekken onder werk­ne­mers die aan een caffe­ï­ne­stoot toe zijn, maar de besmet­ting kan zich ook naar de rest van het netwerk verspreiden en alle bedrijfs­ge­ge­vens bloot­stellen aan een gerichte aanval.

Bij het ontwerpen van de infra­struc­tuur voor zakelijke IoT-toepas­singen is het belang­rijk dat de IoT-appa­ra­tuur van meet af aan als een bevei­li­gings­ri­sico wordt benaderd. Waar een laptop of tablet op diverse niveaus bescher­ming tegen malware biedt, kunnen we er niet auto­ma­tisch vanuit gaan dat hetzelfde ook voor IoT-apparaten geldt. Het is van cruciaal belang voor gebrui­kers om inzicht te verwerven in de manier waarop deze apparaten toegang tot het internet zoeken, welke services absoluut nodig zijn en welke niet meer dan een leuk extraatje vormen, en hoe (vaak) de apparaten van bevei­li­ging­sup­dates worden voorzien. Het is zaak om grip te blijven houden op IoT-appa­ra­tuur binnen het netwerk en het IoT niet de controle over het netwerk laten overnemen.

Persoonlijke IoT-apparaten

We zijn allemaal dol op onze persoon­lijke IoT-apparaten. Ze zijn leuk, cool en hebben de toekomst. Deze apparaten zijn naar alle waar­schijn­lijk­heid onschuldig en leveren ons soms persoon­lijke voordelen op. Feit is echter dat ze met cloud-diensten verbonden zijn, en zonder de juiste bevei­li­gings­in­stel­lingen zouden ze het bedrijfs­net­werk aan bedrei­gingen kunnen bloot­stellen. Cyber­cri­mi­nelen zouden bijvoor­beeld social engi­nee­ring-tech­nieken kunnen inzetten om een gerichte aanval uit te voeren.

Het is nu tijd om beleids­re­gels voor het gebruik van IoT-appa­ra­tuur op te stellen en toe te passen. We kunnen ons niet permit­teren om naïef te zijn over het gebruik van deze apparaten. Dit is reeds een realiteit. Gebrui­kers beschikken over persoon­lijke back-upschijven, camera’s, gaming-apparaten en wearables voor fitness-doel­einden. Het is dus van cruciaal belang om ervoor te zorgen dat uw orga­ni­satie goed voor­be­reid en beschermd is. U hebt op de keper beschouwd slechts drie opties tot uw beschikking:

• Verbieden: Het gebruik van IoT-apparaten op het werk in de ban doen: Tenzij u een over­heids­in­stel­ling bent, een bedrijf bent dat niet met het internet is verbonden of een orga­ni­satie die überhaupt nooit het gebruik van persoon­lijke elek­tro­nica heeft toege­staan, is dit waar­schijn­lijk geen prak­ti­sche oplossing. Als het gebruik van IoT-appa­ra­tuur compleet wordt verboden, bestaat de kans dat dit steeds meer in het geniep gebeurt. Werk­ne­mers zullen deze apparaten net buiten het kantoor gebruiken, zoals op de parkeer­plaats of in de receptie. De aparatuur wordt zo volledig aan het zicht onttrokken, maar vormt nog altijd een bedrei­ging. Het compleet verbieden van IoT-appa­ra­tuur zou u op deze manier nog kwets­baarder voor aanvallen kunnen maken.
• Negeren: Het gebruik van IoT-appa­ra­tuur toestaan zonder enige vorm van toezicht: Dat is natuur­lijk struis­vo­gel­po­li­tiek. Hiermee gaat men voorbij aan de realiteit, en dat is uiterst riskant. Het gebruik van om het even welk IoT-apparaat toestaan maakt het onmo­ge­lijk om zicht op alle appa­ra­tuur te houden, en als er een bevei­li­gings­in­ci­dent plaats­vindt, zal het moeilijk te detec­teren zijn. Deze bena­de­ring valt absoluut af te raden.
• Toestaan: Maar gebrui­kers wel goed voor­lichten over de bevei­li­ging: Dit is voor de meeste orga­ni­sa­ties waar­schijn­lijk de beste aanpak. Door het aanbieden van gedegen en regel­ma­tige training die het personeel bewust maakt van de beveiligingsrisico’s, zullen eind­ge­brui­kers in staat zijn om een bepaalde vorm van bevei­li­ging toe te passen (krachtige wacht­woorden, het deac­ti­veren van het beheer van apparaten via het internet). Omdat IoT-apparaten openlijk worden gebruikt, kan men er beter grip op krijgen en ze beter beschermen. Mogelijk is er sprake van enkele apparaten die niet tot het bedrijfs­net­werk worden toege­laten. Die zullen echter de uitzon­de­ring zijn die de regel bevestigt. Werk­ne­mers zullen langzaam maar zeker begrip krijgen voor de noodzaak van beveiliging.

Ik hoop dat ik met dit blog duidelijk heb gemaakt dat IoT van groot nut kan zijn voor bedrijven, maar dat het gebruik ervan niet zonder risico’s is. Juniper Networks wil ervoor zorgen dat iedereen veilig gebruik kan maken van het IoT. Dit is mogelijk door de inzet van bevei­li­gings­tech­no­logie die het netwerk bewaakt en vroeg­tij­dige waar­schu­wingen afgeeft voor cyberrisico’s. En dat is precies wat Juniper Networks Sky ATP doet. Deze geavan­ceerde anti-malwa­reo­p­los­sing maakt deel uit van de next gene­ra­tion firewalls uit onze SRX-reeks. Juniper Networks Sky ATP biedt snellere en accu­ra­tere detectie en herstel van bedrei­gingen dan stan­da­lone bevei­li­gings­ap­pli­ances of firewalls kunnen bieden.

Dus om de vraag ‘Hoe blij moeten bedrijven zijn met de komst van IoT-appa­ra­tuur’? aan het begin van dit blog te beant­woorden: u hoeft in feite geen keuze te maken, omdat het IoT een onstuit­bare ontwik­ke­ling is. Een aspect waarbij u wel een keuze hebt, houdt verband met het beschermen van uw orga­ni­satie tegen de risico’s die met het gebruik van deze apparaten verbonden zijn. Zo voorkomt u dat het IoT synoniem komt te staan aan het ‘Internet of Threats’.