Интернет вещей и информационная безопасность

Сначала, как водится, хорошая новость: Интернет вещей (Internet of Things, IoT) существует, неся  нам огромные удобства, удовольствия и преимущества. А теперь – плохая новость: Интернет вещей создает серьезные проблемы для информационной безопасности. И то, и другое – чистая правда. С одной стороны, повсеместно развернутые сети датчиков сулят нам светлое будущее: новый мир полезных приложений – от интеллектуальных систем освещения, отопления и кондиционирования,  автономных уличных фонарей, способных общаться друг с другом, регулировать свою яркость по мере необходимости и проводить мониторинг транспортных потоков, до встроенных в одежду микросенсоров, следящих за пульсом и другими важными параметрами жизнедеятельности человеческого организма. Ценность сетевых соединений еще больше возрастет в эпоху Всеобъемлющего Интернета (Internet of Everything, IoE)1, который свяжет воедино людей, процессы и физические объекты.

Вместе с тем все эти новшества создают целый ряд проблем с информационной безопасностью, которые не дают спокойно спать известному автору и специалисту в данной области Брюсу Шнайеру (Bruce Schneier). В частности, его беспокоит возможность попадания сети датчиков в руки злоумышленника. Такое особенно вероятно, если сеть напрямую управляет физическими устройствами с помощью коммуникаций «машина-машина» (machine-to-machine, M2M). «Всякий раз, когда у вас появляются автономные или полуавтономные системы, нужно обращать внимание, под чьим управлением они находятся. Можно лишь надеяться, что все компании будут придерживаться общепринятых правил», – говорит Шнайер. В своей недавно опубликованной книге Liars and Outliers («Лжецы и посторонние») он подчеркивает, что процветание современного общества без взаимного доверия невозможно.

Однако, считает автор, даже если все будут соблюдать принятые правила (какими бы эти правила ни были), защитить сети датчиков будет невероятно трудно: «Какова вероятность того, что все датчики будут надежно защищены? Ни одну компьютерную программу, написанную человеком, нельзя считать стопроцентно защищенной. Мы все время выпускаем коррекционные модули (патчи), исправляющие ошибки в программах. Ситуация с датчиками вряд ли будет иной. Чем сильнее программные приложения будут проникать в повседневную жизнь, тем опасней будут угрозы». 

Данные данным рознь

Джеймс Брем (James Brehm), старший специалист по стратегии, работающий в американской аналитической и консалтинговой компании Compass Intelligence, считает, что проблемы безопасности Интернета вещей возникают не только из-за растущего объема данных и оконечных устройств, но и по причине роста ценности данных: «Мы, безусловно, столкнемся с беспрецедентными проблемами в области информационной безопасности. Но по большей части эти проблемы не будут касаться критически важных систем».

Одно дело, если кому-то удастся незаметно отключить пару датчиков на границе между США и Мексикой, чтобы переправить группу нелегальных иммигрантов, и совсем другое дело, если хакер «займется» датчиком, установленным на холодильной установке, где хранятся человеческие органы, предназначенные для трансплантации. «Организациям очень важно определить, какие данные критически важны с точки зрения безопасности, а какие нет, – говорит Брем. – Организации наверняка накопят огромные объемы данных, которые будут совершенно некритичны с этой точки зрения». 

Прощай, безопасность личных данных?

При этом, развивает свою мысль Джеймс Брем, агрегация и анализ больших объемов некритичных, на первый взгляд, данных позволяет сгенерировать информацию, утечка которой может привести к весьма болезненным результатам: «Сырые данные рано или поздно создают определенный контекст, и это обязательно надо учитывать. Возникает вопрос: можно ли злоупотребить этими данными, или они не в состоянии нанести ощутимый ущерб?»

Ничего нового, разумеется, в аналитике нет. Анализ данных предоставляет организациям сведения о привычках покупателей, стиле жизни, политических симпатиях и многом другом. Но представьте, насколько расширятся возможности аналитики лет через десять, когда города покроются густой сетью датчиков и исполнительных устройств или «активаторов» (например, переключателей, изменяющих физическую среду), встроенных во все, что нас окружает. В одном из прогнозов говорится, что к 2020 году связь «машина-машина» (M2M) будет осуществляться с помощью 24 млрд интеллектуальных датчиков и подключенных устройств, а объем рынка М2М составит 1,2 триллиона долларов.

Влияние этих факторов на безопасность личных данных очень беспокоит  Брюса Шнайера, причем наибольшие опасения у него вызывают не преступные элементы, а обычные пользователи. «Если Интернет будет встроен в физические объекты, между Интернетом и физическим миром появится слой из множества датчиков, собирающих информацию личного характера о каждом из нас», – считает он.

Непредсказуемые техногенные катастрофы, стандарты и нормативные правила

В уравнении под названием «Интернет вещей» столько неизвестных, что всегда есть вероятность того, что полезные сами по себе элементы Интернета вещей могут вдруг вызвать либо ускорить катастрофический сбой. Предугадать такой сбой практически невозможно, хотя после катастрофы ее причина будет казаться совершенно очевидной. К числу таких явлений2 можно отнести возможное отключение сети электропередачи. Тем не менее и Брюс Шнайер, и Джеймс Брем не видят смысла в спорах о столь случайных и непостижимых событиях в то время, когда есть много других, действительно насущных вопросов для обсуждения.

По мнению Брема, для защиты критически важной инфраструктуры, такой как сеть электропередачи, нужно найти правильное соотношение между открытостью, встроенной избыточностью и механизмами аварийного подхвата.  Стандарты, считает он, тоже должны сыграть свою роль. Вместе с тем, по словам  Брема, «мы никогда не сможем выработать единый общий стандарт для Интернета вещей». Скорее всего, по его мнению, через несколько лет у нас появится небольшой набор стандартов, основанных на практическом передовом опыте. Он также сомневается в возможности справиться с угрозами для безопасности Интернета вещей законодательным путем: «Законотворчество, как правило, замедляет процессы, повышает расходы и не способствует инновациям.  Гораздо лучше, когда люди решают эти вопросы сами».

Кое-кто считает, что частный сектор тоже должен сыграть определенную роль в регулировании Интернета вещей – примерно такую же, как области платежных карт (PCI). Но Брюс Шнайер убежден, что этого не произойдет.     «Единственная причина, по которой система PCI оказалась жизнеспособной, состоит в том, что для нее существует финансовый стимул – борьба с мошенничеством, – говорит он, добавляя, что в Интернете вещей такого стимула нет. – При отсутствии внешних стимулов компании в целях саморегулирования объединяются очень редко».

С точки зрения Джеймса Брема, наилучшим вариантом было бы соглашение по открытым стандартам, поддерживающим сети «all-IP», не зависящие от технологии доступа (проводной, беспроводной, сотовой, Wi-Fi, ZigBee, Z-wave, Bluetooth и любой другой) и состоящие из общедоступных, частных и гибридных облаков, частных сетей и т.д. «Хуже всего, если мы будем и дальше выражать сильную озабоченность и при этом почти ничего не делать», – говорит Брем.

Лоуренс Круз (Laurence Cruz)  http://thenetwork.cisco.com/