Stora säkerhetsrisker med osäkra molntjänster

Under pandemiåret har antalet cyberattacker ökat dramatiskt. Samtidigt har trenden att ansluta externa IoT-enheter i molnet exploderat. Detta har påskyndat utvecklingen av molntjänster och resulterat i mer eller mindre säkra anslutningslösningar. Vi har pratat med Fredrik Pihl, vd för Peelit AB, om utmaningarna med molntjänster och hur sammankopplade enheter kan utgöra en enorm säkerhetsrisk. 

Idag finns accesslösningar där enheternas identitet, det vill säga certifikat för anslutning i molnet, kopieras till andra enheters identiteter – i stora områden och i hela regioner. Genom att använda samma identitet på flera enheter öppnas möjligheten att med samma enhet ansluta sig till flera olika företag och verksamheter. Många tillverkare och integratörer av molntjänster har dessutom använt sig av globala klientcertifikat när det gäller identifiering, godkännande och anslutning av externa enheter i molnet. 

Sammankopplade enheter skapar nya risker

Att köpa en molntjänst och ansluta sina externa enheter i molnet genom globala klientcertifikat öppnar upp nya sårbarheter för företaget. För ett företag innebär det i praktiken att en person kan stjäla en av företagets externa enheter och sedan kopiera enhetens certifikat och använda identiteten för att till exempel stjäla kunddatabasen. Följderna kan bli väldigt allvarliga om kunddatabasen sedan används av kriminella till att skicka ransomware och pressa kunderna på pengar.

Ett komplicerat problem

En snabb lösning kan tyckas vara att man spärrar den enhet som stjäls, men problemet är inte så enkelt. När du köper en molntjänst är risken stor att du köper en lösning där dina externa enheter inte har en egen unik identitet och behörighet. Risken är stor att de får access genom globala certifikat. Om någon av företagets enheter stjäls måste då samtliga enheter i hela företaget spärras och certifikaten och identiteterna bytas ut på samtliga enheter. Detta är både kostsamt och problematiskt. Därför väljer de flesta att ignorera problemet med en försvunnen enhet. Som systemen är konstruerade idag är de enskilda enheterna sällan spärrade eftersom det är för dyrt och krångligt att byta certifikat på samtliga enheter om någon försvinner. 

Säkerhetsmarknaden måste samarbeta

Både säkerhetsbranschen och IT-branschen har länge jobbat med fysisk säkerhet och regelverket kring själva produkterna, och nu är det dags att lägga större fokus på säkerheten i anslutningen. 

Det yttersta ansvaret för en stulen enhet måste alltid ligga på slutkunden. Men detta kräver att tillverkare och integratörer först gör sin del och säkerställer säkra unika anslutningar av externa enheter i molnet – med en unik identitet per enhet. Det är inte säkert att leverantörer av system för passerkontroll, videoövervakning och larm alltid är experter på cybersäkerhet. Här måste därför integratörerna gå in och välja produkter som är rätt anpassade för att inte riskera att infrastrukturen blir kapad på grund av undermålig cybersäkerhetsarkitektur.

För att kunna leverera säkra och långsiktiga molnlösningar till slutkunder krävs det att tillverkare och integratörer bygger lösningar som uppfyller kravet på en fullständigt säker anslutning, och det kräver i sin tur samarbete mellan olika led i säkerhetskedjan. Genom ett fungerande samarbete mellan leverantörer, tillverkare och integratörer kan vi som bransch skapa ännu säkrare molnlösningar och ta våra produkter och lösningar ett stort steg framåt i digitaliseringen.

Fler nyheter