Tra i tanti effetti collaterali della crisi pandemica, anche la sicurezza IoT trova un suo spazio non certo secondario e non solo perché i dispositivi IoT sono sempre più centrali nei progetti di digitalizzazione del manifatturiero o più in generale delle imprese e perché hanno assunto un ruolo chiave nelle attività di tracciamento e social distancing rese necessarie dai protocolli ministeriali.
In questo caso, a dare una spinta alla crescita degli attacchi originati da dispositivi IoT è stata la perfetta combinazione tra emergenza pandemica e smart working.
È il dato che emerge da una ricerca presentata in questi giorni da Palo Alto Networks, “The Connected Enterprise: IoT Security Report 2021”, frutto di una indagine condotta presso i decisori IT di tutto il mondo, Italia compresa.
Sicurezza IoT: dalla smart home allo smart working, in piena insicurezza
Il dato macroscopico è chiarissimo: il 78% degli intervistati ha segnalato un aumento dei dispositivi IoT non aziendali registrati sulle reti aziendali.
Il punto è capire quali siano questi dispositivi identificati là dove, in teoria, non sarebbero dovuti entrare.
La ricerca di Palo Alto li elenca, in un crescendo di curiosità: lampadine intelligenti, cardiofrequenzimetri, attrezzature da palestra, macchine per il caffè, console di gioco e persino ciotole per animali domestici. In poche parole, tutti i dispositivi connessi che da tempo popolano le nostre case.
Ed è chiaro che la crescita di dispositivi connessi non autorizzati porta con sé rischi non da poco per la sicurezza, essendo i dispositivi stessi veicoli ottimali per gli attacchi ransomware.
Serve consapevolezza
Occorre dunque, e Paolo Alto lo sottolinea in modo chiaro, una presa d’atto chiara e incontrovertibile che non è solo un tema dei responsabili IT e della sicurezza.
“L’adozione dell’IoT è diventata un fattore determinante per il business. Presenta nuove sfide alla sicurezza che possono essere affrontate solo se dipendenti e datori di lavoro condividono la responsabilità della protezione delle reti“, ha infatti sostenuto Ryan Olson, vicepresidente dell’intelligence sulle minacce, Unit 42 di Palo Alto Networks. “I lavoratori remoti devono essere consapevoli del fatto che i dispositivi presenti nelle loro case possono connettersi alle reti aziendali tramite il router domestico. Le aziende devono monitorare meglio le minacce e l’accesso alle reti e creare un livello di segmentazione per salvaguardare i dipendenti remoti e le risorse più preziose dell’organizzazione”.
Non è un caso che quasi la totalità (96%) dei rispondenti abbia sottolineato che l’approccio della propria organizzazione alla sicurezza IoT necessiti di miglioramenti, se non addirittura di una revisione completa (25%).
La situazione Italiana
E l’Italia?
Il nostro Paese ha partecipato all’indagine con 100 decisori IT (sui 1900 totali, da 18 Paesi diversi) provenienti da imprese con oltre 1000 dipendenti.
E tra i Paesi dell’area EMEA, l’Italia, Paese che ha fatto probabilmente il ricorso più intensivo al lavoro remoto, conquista il palmares nella (in)sicurezza IoT: il 92% delle imprese italiane ha rilevato un incremento nel numero di dispositivi IoT connessi alla rete aziendale, seguita per una incollatura (91%) dalla Francia e poi da Spagna (89%), Germania e Gran Bretagna (entrambe 80%).
E all’aumento dei dispositivi connessi ha fatto riscontro anche un incremento degli incidenti di sicurezza IoT (79%) e delle vulnerabilità (86%).
C’è un punto sul quale è tuttavia importante aprire una riflessione.
Dall’indagine emerge come i decisori italiani siano consapevoli dell’aumento dei rischi, abbiano timori concreti rispetto alla tipologia di attacchi di cui potrebbero essere vittime, a partire dalla violazione dei dispositivi di Industrial IoT, passando per attacchi DDoS o breach dei dispositivi IoMT (Internet of Medical Things), ma tutto sommato ritengano di avere piena visibilità sui dispositivi che si connettono alla rete.
“La visibilità è qualcosa di percepito. La percezione è una cosa, ciò che gira in rete a volte è diverso”, sottolinea Mauro Palmigiani, country manager di Palo Alto Networks Italia, Grecia e Malta. Tuttavia, sempre secondo Palmigiani la maggior partne delle imprese sanno come rispondere o comunque si stanno attrezzando per farlo.
Non solo segmentazione: serve un approccio mirato alla sicurezza IoT
Vanno in questa direzione quel 50% di imprese che ha dichiarato di aver segmentato i device IoT su una rete separata da quella utilizzata per i dispositivi primari e le applicazioni aziendali chiave, così come quel 32% che parla già di di micro-segmentazione, con le rispettive zone di sicurezza strettamente controllate.
Appare ormai chiaro a tutti che serve un approccio dedicato alla sicurezza IT, magari creando ambienti dedicati ai dispositivi IoT per i team di sicurezza (56%), attività di risk assessment (54%) e di protezione dalle minacce (52%).
Servono piani di sicurezza IoT per far sì che l’Internet of Things non rappresenti una minaccia, invece che una opportunità.
Tre consigli per gli smart worker, tre consigli per le imprese
Ed è in quest’ottica che da Palo Alto arrivano anche i consigli sia per chi lavora da casa, sia per le imprese.
Per gli smart worker
Per chi lavora da casa il primo consiglio è quello di “entrare in maggiore confidenza” con il proprio router. Se i dispositivi IoT si connettono a Internet tramite il router, si può partire modificando le impostazioni predefinite, dunque crittografando la rete semplicemente aggiornando le impostazioni del router su WPA3 Personal o WPA2 Personal.
Il secondo consiglio è quello di tenere traccia di quali dispositivi sono collegati: in questo caso è possibile accedere all’interfaccia web del router e cercare “dispositivi connessi”, “client wireless” o “client DHCP” per visualizzare un elenco e disconnettere i dispositivi più vecchi non più in uso e disabilitare la gestione remota sui dispositivi in cui non è necessaria.
La segmentazione – ed è questo il terzo consiglio – è un’opzione anche in ambito domestico. In questo caso è possibile creare una rete Wi-Fi “ospite”, sulla quale appoggiare i dispositivi IoT e dunque isolarla dalla rete principale.
Per le imprese
Dal punto di vista delle imprese, la prima raccomandazione è quella di avere piena visibilità su tutti i dispositivi IoT connessi all’azienda, compresi quelli di cui si è e non si è a conoscenza e che dunque non sono stati direttamente autorizzati, e quelli dimenticati.
La seconda raccomandazione è quella del monitoraggio continuo e in tempo reale, che analizzi il comportamento di tutti i dispositivi IoT connessi alla rete per segmentare contestualmente la rete stessa tra dispositivi IT e IoT e i loro carichi di lavoro.
Infine, una strategia di sicurezza IoT dovrebbe allinearsi al principio di Zero Trust per applicare le policy per il controllo degli accessi con privilegi minimi.
