减轻物联网的网络风险并寻找解决方案

在过去的十年里，在新的分布式网络技术的推动下，物联网 (IoT) 领域取得了前所未有的发展。 麦肯锡 据估计，到 2025 年，全球将拥有 500 亿台联网设备，比 2010 年增长 400%，并为经济贡献 11 万亿美元（10 万亿欧元）。

虽然近年来物联网设备的激增为企业、政府和个人消费者创造了令人兴奋的机会，但它也带来了需要缓解的新风险。随着物联网技术的快速发展和实施，威胁和攻击已成为全球个人和组织的明显关注点。

Brit Insurance 物联网专家兼技术负责人 Andrea Gaglione , 检查物联网及其同事的潜在风险, 网络承保人 Ben Maidment 确定了用户、开发商和保险公司可以采取哪些措施来保护自己免受这些侵害。

有哪些风险？

至关重要的是，对与物联网相关的风险和潜在网络漏洞的理解仍在不断发展——为了实施缓解措施和解决方案，必须识别这些潜在风险。不幸的是，在许多情况下，越来越明显的是，这些弱点只有在发生数据泄露或网络攻击后才会被发现。

• 数据丢失

安全和网络威胁根据潜在“攻击面”和网络入口点的大小呈指数增长，因此物联网系统特别容易受到影响。最近的数据显示，2019 年有 266.6 亿台物联网设备处于活跃状态，每秒有 127 台新设备连接到互联网。

随着规模的扩大，关键挑战是物联网设备捕获、使用和传输的所有数据的管理和保护，特别是考虑到最近备受瞩目的数据泄露和与 GDPR（通用数据保护规则）相关的惩罚性罚款.与大多数网络风险一样，一个主要问题是数据丢失或泄露，尤其是客户和个人数据。收集大量个人数据（可能特别容易受到攻击）的物联网设备示例包括监控、收集和传输健康数据的智能可穿戴设备。

• 业务中断和中断

随着供应链和业务流程越来越依赖联网设备来实现更高的效率，公司面临更大的攻击风险。设备因黑客而离线而造成的重大业务中断可能会在短期内导致收入的重大损失，从长远来看会导致声誉和信任的损失。

除了利用物联网设备漏洞进入网络，不法分子还可以利用一系列不安全的物联网设备来转移数据并发起分布式拒绝服务（DDoS）攻击。 2016 年，不法分子入侵了超过 25,000 台数字视频录像机和闭路电视摄像机，转移他们的数据以发起 DDoS 攻击，导致 Dyn 的服务器瘫痪 ，一家主要的美国 DNS 提供商，导致美国和欧洲的互联网中断，导致 Twitter、Netflix、GitHub 等知名网站瘫痪 , 和Reddit .

• 网络物理

最后，物联网（实际上是更广泛的网络）的一个新兴风险是网络物理风险，即网络攻击可能导致物理损坏。这包括起搏器等联网医疗设备、自动驾驶汽车或昂贵的工业流程。对这些设备进行恶意黑客攻击，控制这些活动可能会导致代价高昂且潜在的物理损坏或生命危险。例如，去年美国食品和药物管理局 发出警报，称某些胰岛素泵容易受到黑客攻击，黑客可以远程访问并可能更改泵的设置。

我们如何降低风险？

• 安全和隐私设计

到目前为止，对于物联网制造商来说，在将产品推向市场的速度与系统的稳健性和安全性之间存在着明显的折衷。正如我们在第一波 IoT 浪潮中所见，安全并未被视为优先要求，但是，随着引人注目的数据泄露和新的数据监管，我们越来越关注隐私。

我们认为，在设计新的物联网设备时，安全性应该是最重要的，并且必须采取持续的措施来维护和提高新设备和现有设备的安全性。

• 网络安全最佳实践

用户本身，无论是个人、公司还是公共部门，都有责任在涉及网络风险时采用最佳实践，而意识和教育至关重要。组织需要在对 IoT 技术提供的连接性和效率的渴望与这种连接带来的风险之间取得平衡，特别是考虑到在此类产品的开发过程中缺乏对安全性的重视。

就像管理传统操作系统一样，个人应该在制定公司的物联网政策方面发挥积极作用，并对其业务面临的威胁负责并及时了解最新情况。其中许多措施已成为传统 IT 的第二天性，但在考虑物联网设备时正在慢慢被采用和考虑。

用户可以采取的降低风险（并在发生网络事件时限制责任）的简单步骤包括：使用强密码和安全密钥，定期更新；监控设备和系统以检测和响应安全事件，以及；通过从制造商处下载软件补丁，不断更新设备的安全性。

保险提供哪些解决方案？

如果物联网设备受到损害并导致业务中断、物理损坏或数据被盗，保险公司可以通过教育公司最大限度地降低风险并提供财务和其他支持来减轻这些风险。

如果数据或系统被盗、损坏或泄露，网络保险单可以涵盖第一方和第三方的财务和声誉成本。第一方保险包括调查网络犯罪和从业务中断造成的收入损失、声誉恢复和管理到向黑客支付的敲诈款项的调查和恢复费用。第三方承保范围包括损害赔偿和和解，以及因违约而导致罚款的合法辩护费用。

最好的网络保险形式不仅是一种产品，而且是一种服务，可以帮助公司进一步走上合规之路，并最大限度地减少风险敞口。越来越多的保险公司（包括英国人）在其政策中提供多种网络事件前服务：客户可以访问在线门户，其中包括可以实施以降低风险的程序和计划、事件响应计划材料和检查准备清单。

作者是技术负责人 Andrea Gaglione 和 Brit Insurance 的网络保险承保人 Ben Maidment。