Vulnerabilità e sicurezza della rete aziendale con l’Iot

La sicurezza della rete aziendale, oggi, è messa in difficoltà dai dispositivi dell’Internet of Things (IoT), che sono diventati uno dei principali obiettivi degli attacchi dei cyber criminali. Questo essenzialmente per due motivi: da una parte il loro utilizzo cresce in modo esponenziale, dall’altra il loro livello di sicurezza rimane molto limitato. In alcuni casi è addirittura inesistente. Ampia diffusione e scarsa protezione sono un invito a nozze per chi intende accedere ai dati della rete aziendale aggirando i sistemi di sicurezza.

I dati sono il vero valore dell’IoT

Le aziende promotrici di progetti che hanno portato a un efficace uso dei dispositivi IoT hanno ottenuto notevoli vantaggi in termini di efficienza dei processi aziendali, produttività e riduzione dei costi. Tuttavia, un numero sempre maggiore di organizzazioni sta sfruttando l’IoT come straordinaria fonte di informazioni su come i propri prodotti stanno cambiando la vita di dipendenti e clienti. Questo è dovuto al fatto che il vero valore dell’IoT sta nei dati. Sono infatti le intuizioni che derivano dai dati generati dai dispositivi dell’Internet of Things che si stanno dimostrando di inestimabile valore per i decisori aziendali.

C’è però anche il rovescio della medaglia. Per ottenere tali dati bisogna fare ricorso a un uso massiccio dei dispositivi IoT. Così il rapporto Gartner indica che in media oggi il 30% di tutti gli endpoint connessi alla rete è costituito da dispositivi IoT. E questo numero esclude i device mobili. Ovviamente i 44 miliardi di endpoint IoT che Statista stima ci siano oggi sono destinati a crescere e a triplicare entro il 2025, offrendo in questo modo ai cyber criminali molteplici opportunità di sferrare attacchi. Prova ne è che secondo i dati di Gartner oltre l’80% delle organizzazioni ha già adottato l’Internet of Things e quasi il 25% di queste organizzazioni ha già subito un attacco basato sull’IoT. Ma cosa rende i dispositivi IoT un ottimo mezzo per evitare i sistemi di sicurezza della rete aziendale?

Endpoint (quasi) senza protezione

Le informazioni che si possono ricavare con l’Internet of Things sono ormai parte integrante di molte strategie delle aziende data-driven, che, in linea con i dettami dell’Industria 4.0, hanno puntato sulle opportunità fornite dalla digitalizzazione. Così hanno installato dispositivi IoT in modo massiccio, partendo dall’interno dell’azienda per arrivare all’estremo perimetro dell’organizzazione. Ma il livello di protezione che si può assicurare in-house spesso non è il medesimo che si può avere on the edge, dove una rete wi-fi con una difesa più limitata può favorire il superamento della sicurezza della rete aziendale. D’altro canto, tra le principali vulnerabilità dispositivi dell’IoT troviamo un debole sistema di gestione delle password, che possono essere facilmente individuate da un esperto. Questo metodo è spesso usato per “hackerare” le videocamere, di cui secondo 451 Research nel 2020 ne erano usate 1,1 miliardi solo per motivi di sicurezza fisica, rappresentando quindi altrettanti endpoint aziendali.

Mancati aggiornamenti delle patch di sicurezza

Un altro punto debole spesso sfruttato dagli hacker è la mancanza di un aggiornamento regolare delle patch di sicurezza. Questo è in parte dovuto al fatto che sovente non sono usati processi di aggiornamento automatico, ma anche al fatto che molti device IoT usano sistemi operativi vecchi i quali non hanno più aggiornamenti di sicurezza ormai da tempo. Per esempio, Ordr ha riscontrato che un numero di dispositivi medici compreso tra il 15% 19% utilizzano come sistema operativo Windows 7 o una versione precedente (XP, CE, ME, NT, 98, 97 o addirittura 95). Va quindi da sé che molto di frequente non si può effettuare un’adeguata gestione dei device IoT e questo aspetto, ovvero la scarsa gestione, può mettere in pericolo la sicurezza della rete aziendale anche a causa di un altro problema, lo shadow IoT. Con questo termine si indicano tutti i device IoT usati attivamente e di cui l’IT aziendale non è a conoscenza. La ricerca di Ord ha evidenziato che possono arrivare anche al 15% di tutti i device collegati alla rete aziendale.

Come detto, tutti i dispositivi IoT elaborano e comunicano dati. A tal fine necessitano di app, servizi e protocolli. Ed è proprio qui che si trovano molte vulnerabilità, spesso originate da interfacce non sicure che possono compromettere il dispositivo e i suoi dati. Di solito si tratta della mancanza di autenticazione e autorizzazione del dispositivo, di processi non abbastanza efficaci e di una crittografia debole se non addirittura inesistente.

Quali le soluzioni?