Der kommer i øjeblikket flere og flere krav til IoT-sikkerhed. Det betyder, at man bliver nødt til at komme i gang med at gøre IoT-sikkerhed til en konkurrenceparameter. Et godt sted at starte er at se på, hvor den største risiko er. 

Man kan sammenligne IoT-sikkerhed – eller cybersecurity – med det nødvendige sikkerhedsudstyr i en Formel 1-racer. De ekstra stærke sikkerhedsseler og styrtbøjlen er med til at gøre, at man kan køre endnu hurtigere. 

Det samme gør sig gældende med digitaliseringen af fysiske produkter. Det betyder, at virksomheder, der kobler produkter til nettet, er nødt til at foretage et skift og tage IoT-sikkerhed alvorligt. De kan ikke bare sige, at "det er ikke noget for os". Fordi ellers gør konkurrenterne det bare.

Lige nu ser vi et skift i kraft af, at vi får billigere hardware og billigere kommunikation. Det er blevet meget nemmere at have enheder, der kommunikerer. Det åbner op for rapid development, hvor man kan købe noget standard hardware og koble et standard operativsystem på, og så er man ellers i gang.

Udvikling uden mareridt

Det giver konkurrencefordele for nogle virksomheder, der kan koble tjenester på deres produkter. Men er sikkerheden ikke på plads, så åbner de nye muligheder desværre også op for et mareridt af hackede enheder. Vi skulle gerne have en udvikling uden det mareridt.

Et lyskryds i København, der ikke virkede sidste år, fordi det skulle opdateres, er et godt eksempel på, at den fysiske verden bliver digital. Et andet eksempel er Mirai-angrebet, som peakede i 2016.

Her blev hundredvis af kendte hjemmesider utilgængelige for millioner af brugere. Angrebet blev udløst af 2-300.000 inficerede IoT-enheder, som alle på samme tid begyndte at sende forespørgsler til de her tjenester, som så ikke kunne følge med. 

Det var første gang, at man så et denial-of-service-angreb i så massiv skala. Det kom hovedsageligt fra routere, IP-kameraer og videooptagere, som er interessante, fordi de sidder på et ret godt forbundet internet og god strømforsyning. Begge dele var medvirkende til, at angrebet lykkedes, også fordi det er billig konsum-elektronik uden særlig meget sikkerhed.

Angrebet var ikke særlig sofistikeret. Dem, der havde lavet angrebet, havde taget 68 kombinationer af brugernavne og kodeord. Et af dem var 123456! Det er jo lidt trist, fordi det gør, at IoT til tider får det her image med at være fuldstændig usikkert. 

Hvad skal man så gøre?

Netop dårlige passwords topper den top ti-liste, som OWASP har lavet over problemer med IoT-produkter. 

Derfor skal man som virksomhed først og fremmest fokusere på, hvor der er størst risiko. Engelske IoT Security Foundation har lavet en guide til risikoanalyse for IoT-produkter, som man bør kigge på.

Det er en lettilgængelig guide og tjekliste, som giver mulighed for at se, hvilket niveau af sikkerhed, der er nødvendigt. Sandsynligheden er selvfølgelig større, hvis kompetencerne og motivationen er større. Men hvis systemets styrke er stor, er der selvfølgelig mindre risiko for, at der sker noget.

Den risikobaserede tilgang kan være en god måde at få snakket om de her impacts på tværs af organisationen. For det er vigtigt huske, at det ikke kun er en teknisk disciplin, som en eller anden ingeniør kan håndtere, uden at han eller hun har ledelsens opbakning.

Klumme: De første skridt mod brug af it-outsourcing 

Klumme: Vi skal sætte mennesker før teknologien, ikke kunstig intelligens over alt