Dispositivi IoT: occhio ai rischi, anche in azienda

della Redazione

I dispositivi IoT sono da tempo una realtà: secondo l’Osservatorio Internet of Things, nel 2021 in Italia è stata registrata una forte crescita del mercato IoT con un aumento del 22% rispetto al 2020, raggiungendo i 7,3 miliardi di euro e superando i livelli pre-pandemia. Attualmente gli oggetti connessi attivi in Italia sono 110 milioni, ovvero più di 1,8 per abitante e non deve stupire visto che rientrano nella categoria tantissime tipologie di dispositivi: videocamere di sorveglianza, router, stampanti multifunzione e smart TV, elettrodomestici connessi. Insomma: i device smart fanno ormai parte del nostro quotidiano. Ma ci sono dei rischi.

Spesso viene infatti sottovalutata la sicurezza di questi dispositivi, trascurando che raccolgono una notevole quantità di dati e che spesso vengono utilizzati all’interno di aziende, smart city, infrastrutture critiche, oltre che nelle case. Secondo un’analisi di Sababa Security, (Primario operatore italiano di cyber security: offre soluzioni per tutelare dal rischio cyber i dispositivi IoT ed è partner di un sistema di monitoraggio, analisi e protezione dei dispositivi OT e IoT, tra cui telecamere IP, elettrodomestici o stampanti, che consente di aggiornare il loro firmware e di modificare le credenziali default con un clic) questi device rappresentano un rischio, in primo luogo, perché sono un punto d’ingresso sulla rete e, se non protetti, potrebbero essere l’anello debole della catena e consentire il passaggio di un potenziale veicolo di attacco nelle aziende e nelle industrie, così come negli ambienti domestici. In secondo luogo, una volta che la sicurezza di questi dispositivi viene compromessa, permettono l’esfiltrazione di dati e informazioni, anche in questo caso, sia in ambito aziendale che domestico. Non vengono quindi condivisi solo dati sensibili, ma anche informazioni sulle abitudini personali che mettono potenzialmente a rischio l’incolumità delle persone. 

Bisogna usarli bene

Purtroppo, i dispositivi IoT, a differenza di altre dotazioni tecnologiche, spesso non vengono monitorati, non possiedono un firmware aggiornato e quindi presentano vulnerabilità sfruttabili dagli attaccanti, non solo per accedere all’infrastruttura, ma anche per compromettere altri device che fanno parte della rete. A rendere più complessa la situazione è il fatto che rientrano tra i dispositivi IoT anche una grande varietà di controlli per gestire o monitorare da remoto apparecchiature come condizionatori, pannelli solari o elettrodomestici, che non sono dotati di protezione cyber perchè comporterebbe un costo più elevato del sistema di controllo stesso. È quindi fondamentale valutare bene il produttore dei dispositivi che si intende acquistare e la tipologia, ma utilizzare dispositivi affidabili non basta: occorre saperli usare con le dovute accortezze, creando un’infrastruttura protetta. 

Awareness 

Uno dei problemi di sicurezza che preoccupa maggiormente le aziende è il crescente numero di dispositivi IoT sconosciuti e non autorizzati presenti in azienda. I team dedicati all’IT e alla sicurezza spesso non sono al corrente della presenza di tali device, di come vengono gestiti sulla rete aziendale né di come influiscono sulla sicurezza complessiva di un’azienda. Ciò rappresenta un ulteriore fattore di rischio, in quanto gli attaccanti potrebbero utilizzare questi dispositivi per persistere sull’infrastruttura del cliente. La sfida di oggi è quindi gestire i dispositivi, mantenerli aggiornati, identificarli, gestirne le identità e gli accessi interni ed esterni e proteggerli. 

Cosa fare in azienda

In particolar modo per le aziende, ci sono alcune azioni fondamentali da intraprendere per tutelare la sicurezza, come ad esempio:

• mantenere un inventario aggiornato di tutti i dispositivi IoT presenti;

• monitorare, se possibile con sistemi automatizzati, le proprie credenziali (per verificare che non siano state compromesse);

• verificare la versione del firmware dei dispositivi e la presenza di eventuali vulnerabilità;

• gestire l’assistenza dei fornitori esterni prestando attenzione agli accessi ai dispositivi ed evitare la condivisione delle credenziali;

• in caso di sistemi obsoleti, pianificare un’eventuale sostituzione.