Shadow IoT: você provavelmente ainda vai sofrer com esse problema

O mercado de Internet das Coisas avança, mas, infelizmente, sem preocupações com segurança cibernética; uso desses gadgets no ambiente corporativo pode simbolizar riscos

Você provavelmente já ouviu falar sobre shadow IT, ou “TI das sombras”, caso prefira adaptar para o português. O termo se refere ao uso, por parte dos colaboradores, de soluções, ferramentas e web apps não-homologadas pela equipe de TI — uma atitude que simboliza riscos e infrações à Política de Segurança da Informação, uma vez que tais soluções externas podem não cumprir com as exigências internas de proteção de dados sigilosos. Trata-se, infelizmente, de um problema muito comum.

O que você provavelmente não sabia é que há outro termo similar sendo discutido ao redor do globo: o shadow IoT, que faz referência ao mercado de Internet das Coisas. Estamos falando daquele segmento de dispositivos variados conectados à internet e comercializados com o apelo “smart”: lâmpadas inteligentes, fechaduras que abrem via Bluetooth, sensores diversos espalhados pela casa/escritório e assim por diante. Produtos diversos e até úteis, mas com um nível duvidoso de segurança cibernética.

Pois bem. O shadow IoT é a nova preocupação dos gestores e equipes de segurança. Trata-se do uso indiscriminado de dispositivos IoT no ambiente residencial ou corporativo, sem qualquer gerenciamento por parte do time do TI, e que podem servir como porta de entrada para criminosos. Quanto mais aparelhos ligados à web, maior é a superfície de ataque. No caso do segmento de gadgets smart, a situação é ainda mais crítica, visto que esses produtos saem de fábrica com uma série de vulnerabilidades graves.

Aumento na superfície de ataque

Outro agravante é a chegada das redes 5G. A nova geração de redes móveis de internet foi projetada justamente para aumentar a conectividade entre sensores e dispositivos machine-to-machine (M2M), dispensando a necessidade de, por exemplo, ter um ponto de acesso WiFi próximo de cada dispositivo IoT. Basta usar um cartão SIM para que o produto em questão tenha uma conexão ágil e estável imediatamente.

O problema é que, ao conectar esses gadgets diretamente à web, você elimina o intermédio de uma rede gerenciada e facilita a invasão por parte dos criminosos. Aquele ponto de conexão deixa de fazer parte do seu perímetro e se torna ainda mais difícil de administrar — e todos nós sabemos que tudo o que não é administrado acaba se tornando um ponto cedo em sua estratégia de proteção de dados.

Uma recente pesquisa mostrou que 90% dos profissionais de TI e segurança já sofrem com o shadow IoT, ou seja, com a existência de dispositivos não-gerenciados conectados à rede corporativa ou se comunicando com outros gadgets profissionais. Além de servir como porta de entrada para criminosos, produtos IoT desprotegidos podem ser infectados e se tornar parte de uma botnet.

Boas práticas

O mercado já dispõe de soluções de gerenciamento IoT, mas garantir uma análise minuciosa de sua rede e de seu firewall continuam sendo práticas essenciais para identificar eventuais atividades maliciosas e mitigá-las o mais rápido possível. Também é crucial se lembrar de algumas boas práticas universais que também se aplicam à este cenário — use senhas complexas (muitas pessoas se esquecem de alterar a password de fábrica) e sempre mantenha o firmware de seus gadgets atualizados.