Start Empfohlen Warum Unternehmen auf viel mehr IoT-Geräte vorbereitet sein müssen

Warum Unternehmen auf viel mehr IoT-Geräte vorbereitet sein müssen [Q&A]

29
0


Internet der Dinge

Es wird erwartet, dass es bis 2025 mehr als 70 Milliarden verbundene Geräte geben wird, was bedeutet, dass die Möglichkeit für Hacker, verbundene Geräte zu infiltrieren und in Netzwerke zu gelangen, viel größer wird.

Wie können sich Unternehmen also auf diesen Zustrom vorbereiten, ihre Mitarbeiter schulen und vorankommen, um ihre kritischen Daten vor Cyberkriminellen zu schützen, die immer daran interessiert sind, ihre Taktiken und Strategien zu aktualisieren? Wir sprachen mit Jonathan Langer, CEO des Spezialisten für Gerätesicherheit im Gesundheitswesen Medigate herausfinden.

BN: Wie gut sind Unternehmen angesichts des erwarteten Zustroms neuer vernetzter Technologien darauf vorbereitet, ihre Netzwerke mit all diesen Geräten, die ständig damit verbunden sind, abzusichern?

JL: Da die explosiven Zahlen kein Staatsgeheimnis sind, würden wir alle gerne davon ausgehen, dass Wirtschaftsführer aktiv die Skalierbarkeit ihrer Infrastrukturen überprüfen. Nicht nur in Bezug auf die verwaltete Kapazität, sondern auch in Bezug auf die sichere, verwaltete Kapazität. Es besteht ein echter Bedarf an branchenübergreifenden Sicherheitsführern, einen vollständigen Stopp einzulegen und sich über die jüngsten Fortschritte bei der Endpunkttransparenz zu informieren, denn Transparenz ist eine wesentliche Grundlage. Nicht einmal die Vordenker der Branche halten sich an eine aktualisierte, allgemein gültige Definition, also haben wir hier ein Problem. Meiner Erfahrung nach vertrauen viele Menschen solchen Entwicklungen immer noch nicht, selbst wenn sie darauf hingewiesen werden, wie die neuesten passiven und aktiven Überwachungslösungen „synergisiert“ wurden, um sicher und effektiv detaillierte Geräteprofile, Sicherheitsstatus und Nutzungsdaten bereitzustellen. Bemerkenswert ist, dass einige die Erfassung der Daten sogar als problematisch ansehen, was möglicherweise zu mehr Arbeit für bereits angeschlagene Mitarbeiter führt. Inzwischen entdecken die Early Adopters auf dem Markt, wie dieselben Daten bestehende Arbeitsabläufe (Personen und Systeme) verbessern und Möglichkeiten zur intelligenten Skalierung aufzeigen. Es ist bemerkenswert, wie solche Meinungsverschiedenheiten über etwas so Grundlegendes wie Sichtbarkeit bestehen können. Wir wissen, dass verbundene Geräte nicht im Hinblick auf Sicherheit entwickelt wurden, und daher wissen wir, dass ihre Schnittstellen anfällig sind. Um diese Schwachstellen in angemessenem Umfang zu beheben, benötigen wir einen kontinuierlichen Einblick in die Details, die es uns ermöglichen, sofortige Maßnahmen zu ergreifen. Ohne sie drehen wir unsere Räder weiter.

BN: Wie können Unternehmen Cyberkriminellen einen Schritt voraus sein und ihre Netzwerke angesichts der neuen Hacking-Methoden und -Taktiken schützen, die mit der neuen Technologie einhergehen?

JL: Es geht eigentlich um Sichtbarkeit, allerdings basierend auf der oben beschriebenen deutlich erweiterten Definition. Das Wissen, dass ein Gerät existiert – oder sogar sein Typ – reicht nicht aus. Erforderlich sind detaillierte Fingerabdrücke/Profile aller angeschlossenen Geräte, Kenntnisse der jeweiligen Arbeitsabläufe, betrieblichen Anforderungen und deren Nutzung. Mit anderen Worten, das ist mehr als Marke, Modell, MAC und IP-Adresse. Es bedeutet Seriennummern, Standorthistorien, Kenntnisse über eingebettete Software, Kommunikationsprotokolle und kontinuierliche Überwachung auf Firmware-Ebene. Wie korrelieren Sie ansonsten eine Bedrohung für Ihre Umgebung? Wie patchen Sie eine Schwachstelle? Wenn Sie in dieser Hinsicht über Sichtbarkeit nachdenken, können Sie verstehen, warum branchenübergreifende Allzwecklösungen zu kurz kommen und/oder warum sich unser Unternehmen ausschließlich dem Gesundheitswesen widmet.

Ebenso können Sie verstehen, wie grundlegende Sicherheitsmaßnahmen wie die Netzwerksegmentierung in endlosen Bereitstellungszyklen verstrickt sind, anstatt „abgeschlossen“ und kontinuierlich verbessert zu werden. Ich spreche die Frage der Netzwerksegmentierung an, da wir zu sehen beginnen, dass fortschrittliche, granulare Instanzen so optimiert werden, dass die potenziellen Auswirkungen einer Verletzung pro Design tatsächlich minimiert werden. Unterm Strich können Sicherheitsexperten nicht um einen Snapshot in der Zeit herum bauen. Sie müssen um Fähigkeiten herum aufbauen, die einen kontinuierlichen, detaillierten und korrelativen Überblick über interne Fähigkeiten, Risiken und externe Bedrohungen liefern. Da die Automatisierung in diesen Bereichen erfolgreich eingeführt wird, blicke ich positiv.

BN: Wie sollten Unternehmen Sicherheitspersonal schulen, um neue Sicherheitsprotokolle für neue Technologien zu verstehen?

JL: Cybersecurity ist ein Mannschaftssport und insbesondere Gesundheitssysteme haben eine kurze Bank. Glücklicherweise kann die Praxis der Risikominderung jedoch monetarisiert werden, und das ändert alles. Es versteht sich von selbst, dass Lösungen benötigt werden, die vorhandenes Sicherheitspersonal stärken und installierte Systeme und Prozesse nutzen. Was wir jedoch feststellen, ist, dass die fehlenden Daten, die jetzt erfasst werden, leistungsstarke neue Anwendungsfälle in etablierten Workflows ermöglichen. Diese Daten binden nicht-traditionelle, funktionsübergreifende Stakeholder ein, indem sie ihnen helfen, persönlich relevante operative Verbesserungen vorzunehmen. So haben beispielsweise Sourcing- und Beschaffungsexperten ein natürliches Interesse daran, dass die Nutzungsdetails erfasst werden. HTM-Experten verwenden dieselben Daten, um vorbeugende Wartungsprozesse neu zu erfinden. Es gibt noch viele weitere Beispiele. Der Punkt hier ist, dass diese Kooperationen die Cybersicherheitsinteressen des Unternehmens fördern und wenig bis gar keine Schulung erforderlich ist.

Die Entwicklung von Cybersicherheitsprogrammen kann nicht in einem „IT-Vakuum“ stattfinden. Wenn multidisziplinäre Teams auf einer gemeinsamen, gut orchestrierten Datengrundlage arbeiten, wird die Schulung bestehender Mitarbeiter nicht nur zu einer natürlicheren und intuitiveren Übung, sondern auch die Identifizierung von Personallücken wird schneller und genauer aufgedeckt. Budgets lassen sich besser rationalisieren, da schließlich ROI-getriebene Business Cases zur Begründung herangezogen werden können.

BN: Sind einige Sektoren, beispielsweise das Gesundheitswesen, größeren Risiken durch IoT-Geräte ausgesetzt?

JL: Wenn man bedenkt, dass 40 Prozent der neuen Geräte im Gesundheitswesen eingesetzt werden, lautet die Antwort ja, es steht mehr auf dem Spiel. Nicht alle vernetzten Geräte sind gleich und das Problem der vernetzten Geräte im Gesundheitswesen ist nicht nur eine einzigartige Herausforderung, sondern auch eine einzigartige Dringlichkeit. Gesundheitsdienstleister jeder Größe haben aus verschiedenen branchenspezifischen Gründen eine besondere Dringlichkeit, einschließlich der Tatsache, dass es sich um ein Problem der Patientensicherheit handelt. Und ja, auch die Verbreitung elektronischer Patientenakten (EMRs) und geschützte Gesundheitsinformationen (PHI) sind das lukrativste verfügbare Ziel für böswillige Akteure, da Ransomware-ähnliche Angriffe für ein Krankenhaus verheerende Folgen haben können. Alles hat zu direktem Druck von der FDA und indirektem Druck von anderen Gremien geführt, die weiterhin wiegen. Schon jetzt gilt es, regelmäßig saftige Bußgelder einzuhalten. Zweifellos steht das IoT-Cybersicherheitsproblem des Gesundheitswesens im Mittelpunkt vieler Köpfe, da die Herausforderungen von allen verstanden werden, einschließlich der Patienten.

BN: Können wir erwarten, dass Regierungen und Aufsichtsbehörden weitere Schritte unternehmen, um Sicherheitsstandards durchzusetzen?

JL: Absolut. Aus einer Vielzahl von Perspektiven, einschließlich Verbraucherschutz- und/oder Patientensicherheitsinteressen, sind Regierungen und Aufsichtsbehörden bereits engagiert. Aber hier ist der Haken: Unabhängig davon, wie viel „Sicherheitsdruck“ auf die Gerätehersteller ausgeübt wird, die Haftung wird weiterhin auf ihre Kunden und/oder die Dritten übertragen, die mit der Wahrnehmung einiger oder aller damit verbundenen Verantwortlichkeiten beauftragt sind. Auch hier ist es nicht so, dass die Hersteller nicht, wie ich glaube, eine Rolle bei der Förderung von Sicherheitsstandards spielen würden, aber es kann nicht erwartet werden, dass sie Verantwortung dafür übernehmen, wie ihre Produkte installiert, vernetzt, gewartet usw verteilt und vernetzt sind die operativen Rahmenbedingungen. Im Gesundheitswesen denke ich, dass die Gerätehersteller mit verschiedenen Drittanbietern zusammenarbeiten werden, um Sicherheitsüberprüfungen und -audits durchzuführen, aber ich sehe nicht, dass sie Innovationen gegen sicherheitsbasierte Redesigns eintauschen. Außerdem werden wir uns noch mindestens ein weiteres Jahrzehnt oder länger mit Altgeräten beschäftigen, und angesichts der Verbreitung von Programmen zur Wiederaufbereitung von Medizinprodukten usw sie können die Tischeinsätze für bestimmte Segmente von schlechten Akteuren erhöhen, die Profis werden sich nicht abschrecken lassen. Ich glaube nicht, dass es darum geht, Schritt zu halten, da dies eine reaktive Haltung ist. Ich denke, dass Sicherheitsinfrastrukturen mit einer Haltung aufgebaut werden müssen, die Bedrohungen als proaktiv beherrschbare „Vorgegebenheiten“ behandelt.

Bildnachweis: Jirsak / Shutterstock



Vorheriger ArtikelSo erhalten Sie den dynamischen Desktop von macOS Mojave unter Windows 10
Nächster ArtikeliOS-Apps stürzen dreimal häufiger ab als Android

Kommentieren Sie den Artikel

Bitte geben Sie Ihren Kommentar ein!
Bitte geben Sie hier Ihren Namen ein