Segurança em IoT. O maior risco é não adaptar-se
*Leonardo Carissimi
Não se deixe enganar: a Internet das Coisas (IoT) não é sobre coisas, é sobre negócios. É certo que a tecnologia atual de IoT ainda tem limitações, tais como vida útil de baterias, largura de banda, alcance de transmissão, interoperabilidade etc. Mas é igualmente certo que a tecnologia disponível hoje já é suficiente para provocar grandes transformações em processos produtivos, produtos, serviços e experiência de clientes.
Um tema em frequente escrutínio nas discussões sobre Internet das Coisas é o da segurança cibernética. Não é um assunto menor. Mas a ciber segurança não deve ser um inibidor da IoT, e sim um habilitador. Pode suportar sua adoção com o aproveitamento de inúmeras ferramentas, melhores práticas e experiências existentes.
Note que sempre que incorporamos novas tecnologias em nossas vidas e nos negócios, temos a oportunidade de começar a partir de um novo patamar. Uma nova chance para desenhar e implementar arquiteturas que já incorporem o tema de segurança não apenas como um requerimento, mas como um princípio, permeando todas as decisões. Trabalhar assim fará não apenas com que a segurança seja mais eficaz e econômica, mas permitirá também que ela dê respaldo a decisões técnicas e de negócio mais arrojadas, aumentando possibilidades quando ainda na prancheta. A Segurança é habilitadora de inovações.
Em termos práticos, adotar a segurança como um princípio implica em considerações na fase de concepção e desenho da arquitetura técnica, e também do seu modelo de gestão. No que diz respeito à arquitetura técnica, faz-se necessário incluir mecanismos de prevenção e contenção de incidentes desde o início, para que a mesma já nasça conceitualmente segura e assim seja implementada. Para isso, é preciso avaliar as capacidades e funcionalidades dos diversos elementos: "coisas em si", seus sensores, seus gateways; suas vulnerabilidades; qual a natureza e criticidade dos dados que trafegarão; com que aplicações vão interagir e onde os mesmos estão – em Centros de Dados corporativos, dispositivos móveis, sistemas em Nuvem; a quem se destinam, sejam funcionários, terceiros, clientes e parceiros da cadeia de valor. Perfis de risco devem ser identificados bem como ações de tratamento dos riscos em cada caso (mitigar, transferir, evitar, aceitar).
Ainda nessa fase, deve entrar em cena os mecanismos de contenção. Usualmente a contenção é um tema associado à Resposta a Incidentes, na fase de operações, para isolar os efeitos de incidentes que já ocorreram. Mas não parece mais efetivo antecipar o tema da contenção para a fase de desenho e implementação? A tecnologia de micro segmentação pode preventivamente conter o efeito de futuros incidentes ao isolar elementos com diferentes perfis de risco. Se a arquitetura de IoT é desenhada e implementada tendo a contenção como princípio, você estará um passo à frente dos ciber criminosos se (quando?) eles executarem um acesso bem sucedido à sua infraestrutura. Trata-se de reduzir a superfície de ataque, aproveitando a flexibilidade e escalabilidade que só técnicas avançadas de micro segmentação oferecem.
Já em fase de operação, o tema da detecção de incidentes merece atenção. As características da IoT impactarão as capacidades de detecção de forma acentuada. O volume e heterogeneidade de dispositivos conectados, bem como o volume de dados gerados por sua interação, deve produzir milhões de alertas por dia. Assegurar que os alertas relevantes sejam notados, e somente estes, é como procurar agulha no palheiro. Portanto, ferramentas de correlação de eventos e plataformas SIEM (Security Incident & Event Management) serão cruciais para lidar com o desafio. Profissionais qualificados também, de forma a obter-se resultados rápidos e não perder dinheiro em temas como implementação e desenvolvimento de regras de correlação partindo do zero. Não esquecer de mecanismos para melhoria contínua da base destas regras, monitoramento 24x7 e processos maduros para análise, confirmação e priorização dos incidentes para garantir seu tratamento apropriado.
Em necessária sintonia com a detecção, vem a Resposta a Incidentes. Esta deve fornecer processos, ferramentas e profissionais qualificados para efetivamente identificar as causas, investigar as circunstâncias e atuar na remediação. No mundo da Internet das Coisas, isso pode implicar em ter uma rede de profissionais distribuída em grandes territórios para atuação física nos diferentes tipos de dispositivos. Avalie boa cobertura de profissionais no território, bem como Acordo de Níveis de Serviço (SLAs) para atendimento em tempos aceitáveis ao negócio. Afinal, nem todo incidente pode ser resolvido remotamente.
À medida em que a linha entre o mundo físico e o digital se torna mais tênue, os negócios se tornam mais suscetíveis a mudanças rápidas. É imperativo revisar as estratégias de negócio ponderando as oportunidades e os riscos que nos traz a Internet das Coisas. Dentre os riscos, aqueles oriundos do crime cibernético podem ser analisados sob a ótica das práticas de segurança existentes, pois estas resultam de grande avanço observado nos últimos anos. Vimos algumas destas aqui, dentre as quais a micro segmentação que é a mais inovadora. Mas existem muitas outras candidatas a enfrentar os novos desafios. O importante é não deixar-se paralisar.
Receio dos riscos não pode paralisar o negócio. O maior risco é não adaptar-se.
* Leonardo Carissimi lidera a Prática de Segurança da Unisys na América Latina