Zero trust: a única forma de proteger redes IoT/OT

Estes tipos de redes, entre outros propósitos, também visam garantir que uma sociedade e os respetivos sistemas económicos, se mantêm seguros e saudáveis. E como as apostas neste tipo de redes são avultadas, mesmo tendo em conta que os benefícios potenciais são enormes não deixa de ser verdade que as possíveis desvantagens podem atingir também proporções dramáticas, sempre que a segurança não é levada em consideração desde o início. É por isso imperativo que as organizações adotem uma estratégia abrangente de Zero Trust.

Na verdade, a única maneira de fazer segurança IoT/OT é implementando Zero Trust.

Muitos dos sistemas que usamos e devemos proteger agem de maneira determinística; eles comportam- se sempre da mesma maneira e em todas as ocasiões. Tomando como exemplo uma máquina de ressonância magnética: esta é uma máquina de ressonância magnética e a sua funcionalidade deve determinar isso mesmo, certo? Assim deve acontecer também na nossa infraestrutura de cibersegurança. Ou seja, nós precisamos de mecanismos de controlo para permitir que a máquina de ressonância magnética se comporte apenas da maneira que se deveria comportar.

E isto faz parte do conceito de Zero Trust. Vamos permitir apenas os serviços prescritos e as comunicações essenciais para o funcionamento. Não confiamos em ninguém para ter acesso não autorizado aos sistemas de ressonância magnética ou, obviamente, aos dados recolhidos pelas máquinas de ressonância magnética.

A análise comportamental também é uma parte importante de como protegemos as “coisas” conectadas. Este tipo de análise ajuda-nos a aprender com os erros, brechas, incursões — mas, na realidade, apenas depois de um determinado acontecimento. Ou seja, quando aprendemos com a análise comportamental, algo de mau já aconteceu. Podemos tomar como exemplo, um sistema de travões de um automóvel, que deixa de funcionar quando circula a 120Km/h.

O que precisamos no mundo do IoT/OT é ter a capacidade de bloquear esses sistemas contra ameaças intencionais e não intencionais. Em vez de depender apenas de camada após camada de ferramentas, sistemas e software de segurança, precisamos de abordagens de segurança básicas e inteligentes.

Após estas considerações, é importante saber as razões pelas quais é importante implementar uma política de Zero Trust em projetos e sistemas de IoT/ OT da organização desde o início:

Proliferação

A adoção acelerada de casas inteligentes, cidades inteligentes e edifícios inteligentes, facilitada por uma cascata de dispositivos IoT incorporados em dispositivos do dia a dia, irá em breve, tornar o IoT como algo de comum. As estimativas atuais de 20 a 50 biliões de “coisas” conectadas nos próximos anos podem ser a ponta do iceberg. O IoT será por isso um facilitador central de tudo o que fazemos e não podemos descurar a componente de cibersegurança e sequer equacioná-la sem uma estratégia Zero Trust.

Pegada

Os pontos de ligação IoT, como os sensores, são muito pequenos – e ficarão ainda menores. Embora isso seja ótimo para organizações que desejam incorporar funcionalidades IoT em uma ampla gama de aplicativos, é importante ter em mente que os dispositivos IoT têm espaço físico e virtual limitado para ferramentas tradicionais de cibersegurança. Isso exige que a cibersegurança quando centrada no IoT seja projetada nos sistemas desde o início - e seja totalmente integrada numa política de Zero Trust já incorporada nos data centers, redes, ligações na cloud e dispositivos móveis. Porque deveriamos aceitar milhares ou até milhões de pontos de contacto IoT não seguros?

Criticamente

Se não bloquearmos os nossos sistemas de IoT com uma mentalidade de confiança zero, o potencial de consequências negativas será impressionante. Os sistemas de trânsito não funcionarão, os carros vão bater, as irregularidades nas votações serão comuns, os pacientes do hospital estarão em perigo, a água potável será contaminada.

Portanto, antes de falar sobre a natureza essencial do Zero Trust para aplicações IoT, podemos invocar as palavras de George Finney, diretor de segurança da Southern Methodist University:

“Zero Trust é um meio para um fim. A maneira como o usamos contribuirá muito para moldar o cenário de cibersegurança do futuro.”

Esse cenário de cibersegurança do futuro provavelmente incluirá o IoT/OT em cada etapa do caminho.

Conteúdo co-produzido pela MediaNext e pela Palo Alto Networks