모든 장점에도 불구하고 IoT 장치는 보안을 염두에 두고 설계되지 않았습니다. 이것은 큰 문제를 일으킬 수 있습니다.
사물 인터넷(IoT)은 많은 이점을 가져왔습니다. 또한 비즈니스 및 IT 위험 관리 방식도 변경했습니다. 지난 몇 년 동안 하이재킹된 카메라, 해킹된 의료 기기 및 손상된 산업 제어 시스템에 대한 보고서가 표면화되었습니다. 5G가 주류가 되고 임베디드 IoT 장치가 보편화되면서 문제는 더욱 악화될 것입니다.
IoT는 기존 보호 기능에 또 다른 보안 계층을 추가합니다. 이것이 어려운 이유입니다. IoT는 잠재적으로 기업 내부의 모든 것과 파트너 및 공급망 외부의 모든 것에 영향을 미치기 때문에 펌웨어, 운영 체제, TCP/IP 스택, 네트워크 설계, 데이터 보안 도구 등이 포함됩니다.
Merritt Maxim은 Forrester의 부사장 겸 연구 이사입니다. "이 광범위한 생태계의 취약점은 간과하기 쉽습니다."라고 그는 말합니다.
이것은 심각한 문제입니다. 네트워크의 모든 IoT 장치를 식별하는 것은 매우 어려울 수 있습니다. 이게 끝이 아닙니다.
많은 IoT 장치는 보안을 고려하여 설계되지 않았습니다. PwC의 사이버 및 개인정보 보호 혁신 연구소 리더인 Joe Nocera는 "IoT 시스템을 배포하고 설정하는 사람들이 항상 보안에 대해 잘 이해하고 있는 것은 아닙니다. 다른 제조업체의 여러 장치를 추가하면 복잡성이 증가합니다."라고 말했습니다.
통제 불능
IoT 보안에 대한 모든 논의는 단순한 사실에서 시작됩니다. 사물 인터넷은 보안 면에서 기존 IT와 근본적으로 다릅니다. 많은 IoT 장치에는 사용자 인터페이스가 없으므로 공격은 종종 장치에서 직접 수행되거나 기업 네트워크에 액세스하기 위해 장치를 통해 수행됩니다. Maxim은 또한 공격이 랜섬웨어 또는 기타 공격과 다른 역학을 가질 수 있다고 지적합니다.
그는 "동기는 종종 더 큰 규모의 파괴를 위한 것입니다."라고 말합니다.
실제로 공격으로 인해 수리할 수 없는 장치나 재정적 또는 정치적 동기가 발생할 수 있는 비즈니스 중단이 발생할 수 있습니다. 예를 들어, 2월에 해커가 산업 제어 시스템을 통해 플로리다의 수처리 공장에 침입하여 수질을 변조하려고 시도했습니다. 2018년에 사이버 도둑들은 로비에 있는 수족관에서 인터넷에 연결된 온도계를 통해 영국의 도박 카지노를 해킹했습니다. 카지노의 고객 데이터가 도둑에 의해 도난당했습니다.
제조업체는 종종 자체 펌웨어, 프로토콜 및 설계 표준을 만듭니다. 시스템 유지 관리 및 패치 작업을 항상 훌륭하게 수행하는 것은 아닙니다. 많은 IoT 장치는 이전 버전의 Windows 및 Linux에 의존합니다. IoT는 더 많은 골칫거리를 안겨주고 있습니다. 세상에 연결될 의도가 없었던 산업 제어 시스템과 기계가 이제 일부가 되었습니다.
자신을 보호하다
놀랍게도 지난 6월 Ponemon Institute에서 조사한 기업의 74%가 IoT 위험 관리 프로그램이 IoT 장치의 유비쿼터스 사용으로 인한 위험을 따라가지 못하고 있다고 말했습니다.
PwC의 Nocera는 네트워크에서 실행되는 IoT 장치와 해당 장치에 있는 데이터를 아는 것이 강력한 보호 기능을 구축하는 첫 번째 단계라고 말합니다.
그는 "많은 기업이 모른다"고 말했다.
일부 제조업체에서 장치를 명확하게 식별할 수 없는 모호한 이름이나 코드를 사용한다는 사실 때문에 이는 더욱 어렵습니다. Nocera는 그룹에 책임을 할당하고 인벤토리를 수행하여 잠재적인 실패 지점과 위험을 식별할 것을 제안합니다. 때로는 조직에 전문 자산 관리 또는 검색 솔루션이 필요할 수 있습니다.
전체 IoT 환경에 대한 가시성과 제어를 확립하는 것이 중요합니다.
Nocera는 "조직은 다양한 장치를 켜고 끌 수 있고 그에 따라 구성할 수 있어야 합니다."라고 말합니다.
올바른 도구를 사용하면 필요한 서비스만 장치에서 실행되고 다른 모든 장치가 꺼져 있는지 확인할 수 있습니다. 구성 관리가 장치가 기본 암호나 공장 설정을 사용하지 않도록 하는 또 다른 문제입니다.
Ulf Mattsson(Protegrity의 수석 보안 전략가)은 암호를 정기적으로 변경해야 한다고 말합니다. 그는 토큰, 데이터 익명화, 다중 요소 인증(MFA) 및 생체 인증을 사용할 것을 권장합니다. 이동 중 및 저장 중 데이터 암호화, 차세대 방화벽 및 IPS(침입 방지 시스템)가 모두 필요합니다. 그는 이러한 시스템을 최신 상태로 유지하고 패치를 적용하는 것이 중요하다고 말합니다.
Nocera는 또한 네트워크 세분화가 또 다른 유용한 도구라고 말합니다. 해커가 IoT 장치를 통해 네트워크를 해킹할 수 없도록 산업 제어, 엔터프라이즈 애플리케이션 및 기타 중요 정보와 같은 주요 시스템을 격리하는 것이 중요합니다.
예를 들어 그는 "당신이 운송 회사와 물류 회사라면, 아마도 당신의 함대를 관리하는 데 사용되는 IoT 장치는 창고에서 사용되는 IoT 장치 및 기타 시스템과 통신할 필요가 없을 것"이라고 말합니다. 장치가 손상되면 모든 창고가 아닌 하나의 창고만 잃게 됩니다.
IT 게임을 하는 것이 안전합니다.
보다 탄력적인 IoT 인프라를 구축하는 데 사용할 수 있는 다른 많은 전략이 있습니다. 이러한 전략에는 장치를 재구성하는 데 사용할 수 있는 클라우드 자격 증명을 잠그는 것이 포함됩니다. 사용하지 않는 기능을 비활성화합니다. 정기적으로 IoT 인프라를 감사하고 불필요한 장치를 폐기합니다. 맬웨어 보호를 최신 상태로 유지하고 덜 안전한 장치를 교체합니다. 또한 5G가 IoT 프레임워크에 어떤 영향을 미치는지 알고 있어야 합니다.
Maxim은 보안 실리콘과 RoT(Root of Trust) 기술을 사용하는 최신 IoT 장치를 찾는 것도 현명하다고 말합니다. 이렇게 하면 BIOS 또는 운영 체제 수준이 변경될 가능성이 줄어듭니다. 관찰할 가치가 있는 또 다른 영역은 데이터 소스 및 장치를 확장하고 때때로 마스킹하는 커넥터, API(응용 프로그래밍 인터페이스)의 사용이 증가하고 있다는 것입니다.
장치와 데이터를 보호하기 위해 다양한 도구와 전략을 사용하는 전체적인 접근 방식이 최선의 방어입니다. Maxim은 모든 IoT 장치 또는 시스템이 엔터프라이즈 애플리케이션과 동일한 엄격한 검토를 거쳐야 하며 배포 후에는 엄격한 보안 표준을 따라야 한다고 말합니다.
그는 IoT가 새롭고 때로는 더 심각한 위험을 초래하여 비즈니스를 중단시키거나 사망에 이르게 할 수 있다고 덧붙입니다.