Shadow IoT: come proteggere la rete aziendale dai dispositivi IoT non autorizzati

Hai mai sentito parlare di Shadow IoT? 

Oggi i dispositivi intelligenti che si connettono ad internet – quali videocamere, orologi o televisori – fanno ormai parte della quotidianità di ognuno di noi. 

Il problema è che la maggior parte delle volte non ci rendiamo conto non soltanto della loro presenza, ma soprattutto dei rischi legati alla sicurezza e alla privacy. Queste minacce sono pericolose sia nel privato che all’interno dei contesti aziendali. 

Conoscere questi strumenti nel dettaglio è fondamentale per la sicurezza della tua azienda. Ecco tutto quello che c’è da sapere! 

Shadow IoT: cos’è

Con il termine Shadow IoT si indicano dei sensori o dispositivi che vengono collegati alla rete senza ricevere una formale autorizzazione dal reparto IT. Questo significa che sono elusi i controlli di sicurezza che servono ad impedire accessi indesiderati alla rete aziendale.

Quali sono i dispositivi IoT che possono danneggiare l’azienda

Ogni volta che in azienda un dispositivo si collega alla rete internet, bisognerebbe richiedere l’autorizzazione dal reparto IT. La segnalazione della sua presenza in rete è utile ad avviare dei controlli che verificano la sicurezza di progettazione del dispositivo, oltre che gli accessi ed i parametri usati per la connessione alla rete aziendale.

Ecco una lista di dispositivi IoT che potrebbero costituire una minaccia per l’azienda:

• Stampanti wireless: sprovviste di sistemi di protezione contro virus o malware oppure configurate in modo scorretto, le stampanti potrebbero permettere ai criminali informatici di raggiungere i dispositivi connessi alla rete o di ottenere il controllo da remoto sul flusso di stampa;
• Assistenti digitali e vocali: se non configurati in modo corretto, possono veicolare e raccogliere informazioni e dati riservati delle aziende – se ci pensi, sono dei veri e propri microfoni sempre attivi; 
• Telecamere di sorveglianza: la semplicità d’accesso dei dispositivi che non vengono configurati correttamente, li rende un bersaglio facile per generare attacchi di tipo DDoS;
• Smart TV: sono spesso installate nelle sale conferenze e possono diventare un obiettivo degli hacker che, grazie all’installazione di semplici applicazioni, le trasformano in microfoni. Così possono ascoltare le riunioni e ottenere dati riservati.
• Sensori IoT industriali: utili per consentire alle macchine industriali di comunicare tra loro. Questi sensori rendono vulnerabile la rete a cui si collegano. 

Shadow IoT: quali rischi

In alcuni casi è letteralmente impossibile riuscire a monitorare tutti i dispositivi IoT che si collegano alla rete aziendale. Senza poi considerare che grazie ad App facili e intuitive, anche la configurazione è davvero alla portata di tutti e all’accensione del dispositivo partono programmi autoinstallanti che rendono il processo di collegamento molto semplice.

Per questo motivo, piuttosto che avviare la procedura per l’autorizzazione al collegamento del dispositivo – attendendo quindi la disponibilità del reparto IT -, il più delle volte si procede autonomamente convinti di non arrecare alcun danno all’azienda. Invece, anche il dispositivo più innocuo può trasformarsi in una porta di accesso per i malintenzionati, che possono:

• registrare conversazioni private e sensibili;
• rubare i dati;
• danneggiare la reputazione aziendale;
• interrompere un servizio;
• arrecare danni fisici a strutture.

I dispositivi IoT sono così pericolosi per l’attenzione che nella fase di progettazione dei device viene dedicata alla sicurezza. Quando sono molto economici o datati, i dispositivi non sono sottoposti all’identificazione e all’eliminazione delle vulnerabilità. Ciò significa che non hanno funzionalità specifiche per la cybersecurity. 

Shadow IoT e dispositivi IoT: come tutelare la rete aziendale

Prima di richiedere l’intervento da parte del team IT, è importante soffermarsi sul processo di autorizzazione del collegamento che è tipico dei dispositivi IoT. Generalmente, in azienda queste procedure richiedono passaggi che coinvolgono più reparti, aumentando in modo significativo il tempo che intercorre tra la richiesta e l’effettivo collegamento del dispositivo IoT.

Snellire la procedura e stabilire un protocollo IoT di approvazione rapido, sarebbe un incentivo perfetto per i dipendenti che a fronte di passaggi rapidi non si assumerebbero rischi inutili.

Passando invece alla parte tecnica, gli esperti di cyber security consigliano di focalizzarsi sui dispositivi e sulle connessioni privilegiando un approccio end-to-end dove le operazioni di controllo vengono eseguite nei nodi terminali adeguatamente protetti.

Per contrastare i rischi legati alle connessioni IoT sulla rete dell’azienda, il reparto IT dovrebbe:

• prestare attenzione ai parametri sulla sicurezza all’interno della fase di configurazione e gestione dei dispositivi;
• programmare una ricerca proattiva dei dispositivi IoT Shadow in modo tale da rilevare precocemente le intrusioni e prevenire i rischi;
• creare processi di autenticazione più severi e implementare applicazioni dedicate alla sicurezza dei dispositivi IoT;
• proteggere la connessione tra i dispositivi e i dati elaborati e archiviati nel cloud.

Dispositivi IoT: quali caratteristiche dovrebbero avere per ridurre il rischio di accessi indesiderati

I device IoT dovrebbero essere:

• Secure-by-default: contiene le impostazioni di configurazione sicure e predefinite. Per adattarsi alle esigenze aziendali, le configurazioni possono essere modificate anche in sede da parte di un tecnico IT;
• Secure-by-design: i dispositivi IoT dovrebbero essere progettati con i requisiti funzionali e il codice idoneo alla sicurezza informatica.

Dall’altra parte, anche le aziende dovrebbero formare i dipendenti affinché sappiano come creare ID e Password che siano sicure, impostare correttamente le credenziali e attivare l’autenticazione a due fattori per una maggiore sicurezza.

In generale, migliorare la sicurezza dei dispositivi IoT è un impegno condiviso da parte di dipendenti, imprese e produttori.