Gli oggetti Internet of Things possono essere un problema per le aziende. Specie quelli che stazionano nelle case dei dipendenti in telelavoro: router, stampanti connesse al cloud, ma anche smart speaker, smart Tv, e persino tapis roulant e ciclette, lampadine, lavatrici e distributori di cibo per animali. Con la crisi innescata dal covid, il problema della sicurezza degli oggetti Internet of Things, anche quelli domestici, è balzato agli occhi delle aziende. Quasi superfluo sottolineare come nell’ultimo anno e mezzo lo smart working, prima, e il lavoro ibrido poi abbiano dato il colpo di grazia a quel “perimetro” dell’IT che (complici il cloud e il bring your own device) era già diventato quasi inconsistente.
Nuovi dati di Palo Alto Networks - la seconda edizione di una ricerca condotta da Vanson Bourne su 1.900 decisori IT di aziende di 18 Paesi - fanno luce sui rischi derivanti dall’Internet of Things e sul modo in cui le imprese si stanno attrezzando per reagire. “Rispetto a precedenti ricerche, è emerso che lo scenario dell’IoT è radicalmente cambiato”, ha dichiarato Mauro Palmigiani, country manager Italia, Grecia e Malta di Palo Alto. “Quando viene delocalizzata, la forza lavoro crea nuove connessioni verso la rete aziendale e ciò fa sorgere nuovi vettori per poter raggiungere risorse protette all’interno dell’azienda”.
Tra gli intervistati, il 78% dei responsabili IT ha detto di aver osservato nell’ultima anno una crescita di dispositivi IoT “consumer” collegati alla rete aziendale. E la lista è variegata: dalle lampadine smart ai dispositivi per il monitoraggio del battito cardiaco, dai tapis roulant connessi alle macchine del caffè, dalle console di videogioco ai dispenser di cibo per cani e gatti. Tra i responsabili IT di aziende che hanno oggetti IoT connessi alle proprie reti, l’81% ha la sensazione che le vulnerabilità siano aumentate e il 78% ha effettivamente osservato un incremento degli incidenti legati all’Internet of Things.
C’è una considerazione importante da fare: avere visibilità su quanti e quali siano i dispositivi IoT (business e consumer) collegati a una rete è il primo passo per ridurre il rischio, ma non è sufficiente. Infatti il 97% dei responsabili IT crede di avere visibilità ma una quota quasi analoga (96%) pensa che l’approccio aziendale alla cybersicurezza dell’IoT richieda qualche miglioramento. Un più ristretto 25% addirittura sente la necessità di una completa revisione.
Mauro Palmigiani, country manager di Palo Alto
I rischi dell’IoT nelle aziende italiane
Lo scenario italiano non è più roseo di quello emerso a livello globale. Sui 100 responsabili IT italiani intervistati, il 79% ha notato un incremento degli incidenti di sicurezza IoT (la media Emea è il 75%) e l’86% ha rilevato un aumento delle vulnerabilità (versus 82% della media Emea). Gli incidenti di sicurezza IoT più temuti sono la violazione dei dispositivi di Industrial IoT (spaventa il 57% dei responsabili IT italiani), gli attacchi DDoS (54%) e i breach dei dispositivi IoT medicali (42%).
“La preoccupazione diffusa e la percezione della necessità di incrementare la protezione dell’IoT fotografano il fatto che esista una coscienza del rischio”, ha spiegato Umberto Pirovano, manager Systems Engineering di Palo Alto. “Il rischio poi dipende da molte cose, come dall’esistenza di molti livelli e di tecnologie diverse, non pensate originariamente per funzionare insieme. Le aziende devono farsi carico, con una responsabilità condivisa, dei rischi associati all’Internet of Things in un contesto di smart working. Non possiamo lasciare che le responsabilità siano solo dei dipendenti, perché il posto di lavoro, anche remotizzato, è un asset aziendale. Questo include non solo la postazione tecnologica, il computer, ma anche le connessioni”.
Umberto Pirovano, manager Systems Engineering di Palo Alto
Come ridurre i rischi dello smart working
Una soluzione semplice e veloce al problema delle vulnerabilità intrinseche dell’IoT non esiste. La molteplicità delle tecnologie e dei protocolli in uso, gli errori di configurazione, le vulnerabilità software sfruttabili da chi attacca, la commistione fra oggetti “enterprise” e oggetti “consumer” sono tutti fattori di rischio. Palo Alto, tuttavia, suggerisce cinque buone pratiche da seguire ai lavoratori in smart working e altrettante alle aziende.
Per i primi, i consigli sono di imparare a conoscere il router domestico (per modificae le impostazioni di default e, volendo, per crittografare la rete), tenere traccia dei dispositivi connessi (tramite l’interfaccia Web del router), segmentare la rete domestica creando una rete Wi-Fi “guest” e una da usare per il lavoro, utilizzare l’autenticazione a due fattori e attivare gli aggiornamenti di sicurezza per i software degli oggetti IoT.
Per le aziende, i consigli di Palo Alto sono di ottenere piena visibilità sui dispositivi IoT collegati alla rete, condurre monitoraggi e analisi continue, adottare pratiche Zero Trust per gli ambienti IoT (cioè applicare verifiche continue eliminando qualsiasi “fiducia implicita” concessa a dispositivi o utenti), attivare meccanismi di prevenzione delle minacce e, infine, adottare soluzioni di scoperta e risposta agli attacchi (detection and response) con capacità di analisi comportamentale.