守护物联网未来：推动数字化转型同时最小化风险

短短几年，物联网（IoT）彻底重塑了我们的生活和工作方式。从手腕上的小工具、家中的设备，到我们工作生活中的连接建筑和智能工厂，它让我们更安全、快乐、高效，同时为组织提供新增长机遇。该技术处于数字化转型革命的前沿，已渗透绝大多数企业，帮助其变得更高效、敏捷、以客户为中心。

然而，数字化扩张也意味着更大的数字风险：最新数据显示物联网攻击同比增长100%。因此，IT团队的关键在于支持业务增长，同时通过适应新连接时代的最佳实践安全措施，将网络风险降至最低。

迈向数字化

物联网在相对较短时间内走得很远。Gartner预测2019年将有142亿连接设备在用，2021年总数将达250亿。随着设备量激增，数据爆炸式增长。Cisco估计，到2020年所有设备产生的数据总量将达每年600ZB，2015年仅145ZB。这是海量数据——单个ZB相当于10亿TB。

为什么过去几年物联网如此彻底渗透商业环境？Forbes Insights 2018年对700名高管的民调有助于解释。60%的公司正在拓展或转型新业务线，相近比例（63%）向客户交付新/更新服务，超三分之一（36%）考虑新业务venture。未来12个月，近乎所有（94%）受访者预测得益于物联网利润将增长5-15%。

物联网传感器、收集的数据发送到云端分析，提供重大新机遇以提升客户体验、简化复杂业务流程、基于洞察创造新服务。包括公用事业公司监测漏水或停电早期预警、制造企业提升工厂运营效率、硬件制造商基于预测性维护为客户提供新售后服务。

风险无处不在

任何加大物联网和工业物联网（IIoT）系统使用的公司面临的挑战是：在此过程中扩大了企业攻击面。快速浏览OWASP《物联网攻击面区域》文档，可见引入了多少新的潜在弱点。范围从设备本身——包括固件、内存、物理/Web接口——到后端API、连接的云系统、网络流量、更新机制、移动应用。

此类系统最大风险之一是由缺乏IT安全最佳实践理解的制造商生产。这可能导致严重系统性弱点和漏洞被攻击者利用，从软件缺陷到出厂默认登录凭证。也可能意味着产品难以更新、或无安全补丁发布计划。

此类缺陷可在多种攻击场景中被利用。可用于作为窃取数据突袭的一部分突破企业网络，或破坏关键运营流程——以勒索受害组织或单纯造成最大破坏。更常见场景：黑客扫描互联网上仍仅受出厂默认或易猜测/破解密码保护的公开设备，将其征召入僵尸网络。这是臭名昭著的Mirai攻击者使用的模式，随后被许多模仿攻击改编。这些僵尸网络可用于分布式拒绝服务（DDoS）、广告欺诈、传播银行木马等任务。

身处黑暗

IT安全团队的困难往往在于获得组织内所有物联网端点的可见性，一些被检测到的物联网设备往往在IT部门不知情下运行。这种影子IT因素在许多方面是企业BYOD挑战的继任者——只是用户带入的不再是手机，而是智能穿戴设备和其他连接到企业网络的设备，增加网络风险。试想智能电视被攻击者劫持窃听董事会，或员工食堂智能水壶成为发起针对企业网络数据窃取突袭的跳板。

对IT安全负责人更糟的是，他们必须在更少熟练专业人员可用的情况下管理不断增长的网络风险。事实上，据一招聘机构称，2018年Q4物联网岗位需求较前三个月激增49%。

监管跟进

任何重大物联网相关网络威胁的影响可能很严重。数据丢失、IT系统停机、运营中断等可导致财务和声誉损失。单次安全漏洞调查和修复成本可能高得令人望而却步。严重停机可能需大量投资IT员工加班。监管罚款是另一个日益重要的成本考量。不仅要考虑影响客户或员工个人数据的GDPR，欧盟NIS指令还强制特定关键行业企业遵循最佳安全实践。两者最高罚款相同。

这种监管监督正跨越大西洋蔓延。美国一项拟议立法将要求国家标准与技术研究院（NIST）制定物联网制造商最低安全准则，并要求联邦机构仅从满足这些基线标准的供应商采购。

可见性与控制

若通过，美国立法可能建立在欧洲ETSI TS 103 645标准之上，后者基于英国政府提出的行业实践守则。这当然是个很好的开端，希望推动行业更安全意识，赋能消费者和企业寻找更安全产品。但现实中，此类措施需时渗透市场，届时组织可能已运行数千不安全的遗留物联网端点。

IT安全团队必须立即行动，获得对物联网环境的改进洞察。IT资产管理工具应能提供关键第一步：可见性。其次，通过自动化补丁管理工具确保设备固件最新，并监控该过程确保其正常工作——一些安全更新深埋厂商网站，需人工干预确保已启用。此外，IT团队必须检查所有用户名/密码是否立即更改为强唯一凭证。更好的是替换为多因素认证。其他最佳实践可包括传输中数据加密、持续网络监控、身份管理、网络分段等。最后，别忘网络安全的人的层面：员工应被教导理解物联网相关安全风险，以及如何安全使用系统和设备。

这是从任何物联网计划获取最大价值、不使企业面临不必要额外风险的途径。仅一次严重安全漏洞，就足以破坏对现代数字业务成功至关重要的创新驱动增长。