Wat kunnen we leren uit de WannaCry-ransomware-aanval en de manier waarop we internet of things (IoT)-projecten aanpakken? Dat we maar beter genoeg investeren in het veilig maken en vooral veilig houden van onze slimme toestellen.
Ik was op de luchthaven van Seattle, terugkerend van de Microsoft Build-conferentie, toen ik de uitbraak van de WannaCry-ransomware trending zag worden op Twitter. Ziekenhuizen waarvan de werking werd geblokkeerd, overheidsdiensten die niet meer konden functioneren, openbaar vervoer in de war… Allemaal gevolgen van het virus dat zich had verspreid van computer naar computer, op zoek naar nieuwe slachtoffers. De gevolgen voor de vele IoT-scenario’s wereldwijd speelden door mijn hoofd. Maar ook de gesprekken die ik de afgelopen jaren met partners en klanten had over het investeren van tijd en geld in de beveiliging en het veilig houden van IoT-toestellen.
Het WannaCry-verhaal bewees duidelijk dat er een verpletterende verantwoordelijkheid lag bij verschillende it-diensten die de computersystemen niet up-to-date hielden met een ondersteunde Windows-versie en de laatste beveiligingsupdates. Veelal zal tijd, budget of change management een reden geweest zijn waarom dergelijke updates niet gebeurden. ‘Iets wat niet kapot is, moet je niet veranderen.’ Maar zo stond de achterdeur tot verschillende kritische systemen wel wagenwijd open, waardoor de dingen dus veel sneller kapot waren dan gedacht.
Net daarom paste Microsoft vanaf Windows 10 de standaard ‘update-policy’ aan. Beveiligings- en systeemupdates worden automatisch geïnstalleerd waardoor klanten een Windowssysteem krijgen dat standaard up-to-date is. En dat standaard automatisch pushen van updates is het grote probleem bij de meeste IoT-systemen die vandaag beschikbaar zijn.
IoT-beveiliging met gaten
Heel vaak worden toestellen – van slimme weegschalen of babyfoons over internet-thermostaten tot zelfs toestellen in de gezondheidszorg – op de markt gezet die geen beveiligingsupdates kunnen krijgen. De software laat het vaak niet toe of de rekenkracht van het toestel is te beperkt om met dergelijke updatelogica om te gaan.
Vaak staan gebruikers van zo’n toestel helemaal niet stil bij het feit dat hun gadget (of gevaarlijker; hun gezondheidstoestel) eigenlijk een minicomputer is die een beveiligingsprobleem kan hebben. Als veiligheidsupdates niet standaard gepusht kunnen worden via het IoT-platform van de verkoper, dan kan je er bijna van op aan dat het toestel tijdens de volledige levenscyclus nooit zal geüpdatet worden. Zulke toestellen hebben ook vaak een langere levensduur. Dus de encryptie-algoritmes die vandaag gebruikt worden zullen binnen afzienbare tijd niet meer voldoende blijken om die privacygevoelige data versleuteld te houden.
Bedrijven moeten daarom altijd een update-mechanisme in hun IoT-oplossing inbouwen. Dat maakt de investering initieel een stuk groter, maar het biedt ook een niet te onderschatten voordeel. Uiteraard kan je met het pushen van een update er voor zorgen dat je merk niet negatief in het nieuws komt bij een (ernstig) beveiligingslek. Maar je kan ook nieuwe stukken functionaliteit gaan sturen naar die toestellen. Zo hou je deze markt-relevant en kan je nieuwe features aanbieden aan je klanten.
Door de verantwoordelijkheid van het updaten (en dus veilig houden) van dergelijke systemen weg te nemen van de eindgebruiker, realiseren we een veel veiliger internet. Want niemand wil dat zijn slimme broodrooster (en dus ook de internetverbinding) plots gebruikt wordt om drugs, kinderporno of terrorisme in stand te houden.
