iot

Existem diversos componentes críticos de uma estratégia de segurança que ajudam os profissionais de TI a manter seus empregos prevenindo uma violação de segurança. Podemos discutir tópicos como gerenciamento de configuração e aplicação, correção e detecção de ameaças, exemplos de algumas maneiras pelas quais as organizações podem tomar medidas básicas de segurança para evitar as consequências desagradáveis que lemos nas notícias quase todos os dias. Neste post, vamos aprofundar um pouco mais em alguns tópicos que estão abalando o cenário de segurança do ponto de vista de desafios adicionais que a Internet das Coisas (IoT) produz.

IoT – O que é Internet das Coisas? (Internet of things)

Manhã de sábado ensolarada. Você resolve conhecer a nova área de lazer da cidade. Liga seu smartphone, coloca sua pulseira fitness, digita o endereço em seu aplicativo preferido de mapas mas, antes de sair, seu ‘assistente pessoal’, avisa que o trânsito no local está interrompido. Você consulta rapidamente as linhas de ônibus mais próximas no app da empresa responsável pelo transporte público da sua cidade, mas resolve ir a pé até o local – afinal, as linhas estão com atraso.

No caminho até lá, passa na padaria na qual te chamam pelo nome e faz um check-in, publicando nas redes sociais: ‘melhor café da cidade’. Chega na nova área de lazer e caminha por todo o parque, enviando, antes de voltar para a casa, o caminho percorrido e as informações coletadas pela pulseira fitness para seus amigos dizendo: ‘vida saudável é isso’, mas não sem antes passar no supermercado para aproveitar a promoção que chegou via SMS quando estava próximo a ele.

O que esta pequena história (que pode ser SUA história) mostra? Um futuro como no desenho “Os Jetsons” ou um presente em que, cada uma das ações – utilizar o smartphone para navegação, verificar o trânsito, as linhas de ônibus, o check-in e mesmo a promoção – não são somente operações técnicas, mas sim, novas formas de interagir com seu meio e com as pessoas, que modifica a maneira como entendemos e construímos o mundo.

A chamada Internet das Coisas (IoT, na sigla em inglês), termo cunhado por Kevin Ashton, do MIT em 1999, não possui um conceito claro ou único, mas podemos entender como outra forma de descrever uma rede de dispositivos, pessoas ou equipamentos interconectados. Uma vez conectados, os dispositivos podem enviar dados entre si ou para pessoas, que poderão analisar, escolher e manipular os dispositivos remotamente, conforme Coordination and Support Action for Global RFID-related Activities and Standardisation (CASAGRAS).

De maneira sucinta, a anunciada IoT descreve um futuro em que objetos banais – como um relógio ou mesmo sua geladeira – estão conectados à Internet e podem se identificar, bem como se conectar a outros dispositivos, enviando e recebendo informações, permitindo a interação homem-máquina, bem como máquina-máquina.

iot

IoT– Desafios de Segurança

A IoT abre um mundo novo de possibilidades tecnológicas, porém, também abre um campo vasto para a atuação dos criminosos cibernéticos, pois muitas destes itens conectados guardam informações importantes ou abrem caminhos para acesso a informações armazenadas em outros dispositivos do mesmo usuário.

As empresas também vêm aderindo cada vez mais à internet das coisas. Com isso, os departamentos de TI têm sido fortemente desafiados a manter-se atualizados quanto às tecnologias de IoT e para reforçar a segurança online dos dados.

Vejamos alguns dos principais desafios de segurança da internet das coisas em nosso post de hoje:

Falta de expertise

Por serem itens que tradicionalmente não tinham recursos tecnológicos, seus fabricantes ainda não dominam expertises necessárias para garantir a privacidade e a segurança online dos dados que serão processados a partir destes objetos.

Recursos limitados

Os objetos da IoT, geralmente, têm recursos limitados (capacidade de memória e processamento) que impedem a instalação de soluções de segurança tradicionais.

Novas técnicas de ataque

Os criminosos do mundo digital dedicam-se a desenvolver novas técnicas de quebra de segurança de redes, dados e informações e procurar elos fracos da cadeia de recursos de segurança — a fim de realizar invasões, sequestrar dados e realizar ações de extorsão, chantagem ou estelionato com as informações roubadas.

Sistemas e mecanismos de segurança reativos

Normalmente, os cibercriminosos é que dão a dica dos pontos falhos de segurança online quando efetuam ataques bem-sucedidos. A partir daí é que, de forma reativa, os fabricantes e desenvolvedores destes recursos de segurança realizam melhorias para barrar ou detectar invasões ou faz com que as empresas afetadas queiram adquirir recursos que antes não tinham ou não precisavam.

Multiplicidade de possibilidades

Os gestores de TI têm que se certificar de mapear todos os objetos que têm conectividade, instalados ou sendo portados pelos colaboradores, fornecedores e prestadores de serviços em todas as dependências da empresa (locais e remotas), para disponibilizar mecanismos físicos e lógicos de proteção de dados e informações. Precisam ficar atentos para que o sistema de segurança estabelecido e implantado seja integrado, o que amplia seu nível de efetividade.

A internet das coisas está tornando real a junção do mundo físico ao digital, conectando diversas áreas do nosso cotidiano à internet, tornando todos os recursos físicos acessíveis de forma remota aos seus usuários. Para isso, está introduzindo sistemas e mecanismos tecnológicos em objetos diversos, para viabilizar a sua conectividade. Toda esta praticidade gera uma contrapartida desfavorável, com a exposição crescente de dados dos usuários em mecanismos tecnológicos que não dispõem de sistemas de segurança. Sendo assim, os usuários e os gestores de TI devem ficar atentos à segurança online dos dados e informações que processam e transmitem nos dispositivos de IoT.

Portanto, aqui está o problema para organizações de todos os tipos, muitos ainda lutando para enfrentar os desafios de gerenciamento de dispositivos eficazes e segurança no mundo da mobilidade e os fenômenos BYOD. Com o advento da IoT, você como administrador de TI deve inventariar, gerenciar, manter e proteger qualquer número de novos dispositivos heterogêneos. Isso é além dos dispositivos gerenciados tradicionais, sobre os quais você tem controle corporativo de aplicativos e sistemas operacionais. E enquanto esses novos dispositivos são projetados para compartilhar dados críticos e para capacitar a força de trabalho, sua estrutura “inata” também oferece uma maior oportunidade de ataque que afetam a segurança.

Alterando a perspectiva de segurança de TI

Como assim? Para ativar uma conexão com a Internet, cada dispositivo deve ter um sistema operacional incorporado em seu firmware? Infelizmente, este firmware não foi projetado para executar software de segurança e abre os dispositivos para novas oportunidades de invasão. As organizações devem compreender os desafios de segurança extra trazidos por esta demanda de dispositivos inteligentes conectados:

  • Deve ser mantido o inventário preciso de todos os dispositivos conectados
  • Muitas funções de gerenciamento de segurança para dispositivos IoT não podem ser executadas pela rede
  • Todos os dispositivos de rede estão abertos a ataques tais como “negação de serviço distribuídos” – a realidade é que quanto mais dispositivos = mais oportunidades
  • Atualização de firmware pode ser mais difícil e levar muito mais tempo do que atualização do sistema operacional nativo
  • A implementação de configurações de endpoints e o gerenciamento de senhas para dispositivos IoT podem ser desafiadores.
  • Todos os itens acima são adicionados à lista de tarefas de gerenciamento de TI existente, bem como à complexidade do gerenciamento em geral de sistemas e de segurança

Não há dúvida de que a IoT está aqui para ficar e crescerá exponencialmente à medida que mais dispositivos inteligentes entrarem em nossas vidas pessoais e empresariais. Para manter seu ambiente de TI bem gerenciado e o mais seguro possível, essa camada adicional de complexidade e sua proteção deve receber uma avaliação de risco e investimentos consideráveis, além de ser elencada como item de alto risco e crítico na política de segurança, a ser implementada a todos os endpoints.