I dispositivi IoT sono molto diffusi e utilizzati in diversi ambiti che riguardano la vita quotidiana di tutti noi, non solo per migliorare la qualità della vita delle persone nella gestione quotidiana della casa, degli edifici e delle città, ma anche come dispositivi medici.
Per questo motivo e per evitare possibili rischi di sicurezza è di fondamentale importanza proteggere e mantenere sicuri sia i dispositivi stessi che i dati da essi trattati, considerando sempre centrale il ruolo dell’utente.
Un altro elemento messo a rischio dall’IoT o, meglio, che è collegato all’uso dell’IoT, è la privacy: i dispositivi “connessi” generano dati che potrebbero essere stati raccolti o condivisi senza il nostro consenso.
I rischi dell’Internet of Things: gli attacchi più gravi e le contromisure necessarie
Per garantire la protezione e la messa in sicurezza sia dei dispositivi IoT sia dei dati da essi trattati, e per minimizzare il rischio di abusi, ci si può affidare anche a norme internazionali e a regolamenti, quali ad esempio la norma tecnica ISO/IEC 27400 e il Regolamento Generale per la Protezione dei Dati personali (GDPR).
ISO/IEC 27400
Con l’obiettivo di fornire delle linee guida per la sicurezza informatica e la privacy dei sistemi IoT, a giugno 2022 è stata pubblicata la norma tecnica ISO/IEC 27400:2022 nella sua prima versione.
Questa norma non contiene requisiti, e quindi la sua applicazione non può essere resa obbligatoria, però fornisce delle linee guida utili per garantire la sicurezza informatica e la privacy dei sistemi IoT.
Secondo la norma, esistono diverse categorie di sorgenti di rischio che possono avere un effetto sui sistemi IoT, tra cui:
- le vulnerabilità dei sistemi IoT;
- la qualità dei sistemi IoT e delle loro componenti;
- la mancanza di competenze e conoscenze, e anche l’errore umano, nelle persone che forniscono o che usano sistemi IoT;
- l’esistenza di specifiche persone che hanno l’intento malevolo di attaccare un sistema IoT;
- l’esistenza di sistemi e dispositivi esterni che possono essere utilizzati per generare degli attacchi ai sistemi IoT;
- l’esistenza di fenomeni naturali;
- la mancanza di una governance organizzativa all’interno degli stakeholder dei sistemi IoT.
A partire dai rischi a cui sono sottoposti i sistemi IoT, vengono quindi definiti controlli raccomandati per la sicurezza e la privacy, suddividendoli in base ai destinatari di riferimento, considerando non solo i fornitori di servizi IoT e gli sviluppatori di sistemi IoT, ma anche gli utenti e chi usufruirà di tali sistemi.
Controlli di sicurezza per i fornitori di servizi IoT e per gli sviluppatori di sistemi IoT
Sono innanzitutto indicati controlli a livello organizzativo che hanno l’obiettivo di dare supporto alla direzione aziendale per la gestione della sicurezza dei sistemi IoT, come la definizione di politiche aziendali specifiche e la definizione di specifici ruoli e responsabilità all’interno dell’azienda, controlli che sono raccomandati per tutti i sistemi informatici, come il monitoraggio del funzionamento del sistema stesso, la creazione e la protezione dei log che tengono traccia degli eventi e l’acquisizione di informazioni derivanti da eventuali incidenti. In aggiunta, vengono indicati alcuni controlli specifici riguardo lo sviluppo e la costruzione dei sistemi IoT.
È importante definire i principi di ingegneria sicura dei sistemi IoT, che indirizzino la progettazione e l’implementazione di funzioni di sicurezza, la difesa in profondità e la messa in sicurezza di sistemi e software utilizzati per lo sviluppo di sistemi IoT, in modo tale da garantire la progettazione e l’implementazione della sicurezza dello sviluppo di sistemi IoT.
Adeguate misure di sicurezza dovrebbero essere implementate durante tutte le fasi del ciclo di vita dei sistemi IoT, a partire dalla progettazione e dallo sviluppo, fino alla messa in opera, alla manutenzione e alla dismissione.
Oltre all’implementazione di misure di sicurezza durante tutte le fasi del ciclo di vita dei sistemi IoT, è importante anche utilizzare tecnologie di rete e di comunicazione adatte per questi sistemi, in modo tale che soddisfino le esigenze di sicurezza, in termini di riservatezza e integrità delle informazioni, performance e le altre necessità dei sistemi IoT, come la mobilità e la localizzazione geografica.
Infine, risulta essere importante per i fornitori di servizi IoT e per gli sviluppatori di sistemi IoT, fornire agli utenti dei dispositivi stessi una guida sull’uso corretto, evidenziando i rischi e gli effetti indesiderati di servizi o sistemi IoT che possono derivare da un uso improprio dei dispositivi, in modo tale da rendere gli utenti consapevoli dei rischi per la sicurezza nel loro uso e garantire l’attuazione delle misure di sicurezza.
Controlli di sicurezza per gli utenti di sistemi IoT
Anche gli utilizzatori dei sistemi IoT possono adottare controlli di sicurezza che permettono di utilizzare i dispositivi in modo sicuro, dal momento della scelta fino alla dismissione.
Al momento dell’acquisto, è buona prassi che gli utenti scelgano dispositivi e sistemi IoT che forniscono informazioni di contatto per il supporto, in modo tale da avere una garanzia sull’uso sicuro dei dispositivi.
Dopo avere acquistato un dispositivo o un sistema IoT, l’utente dovrebbe applicare in modo corretto le impostazioni iniziali, per garantire il corretto funzionamento anche dal punto di vista della sicurezza.
Infine, quando un dispositivo IoT non viene più utilizzato, è importante disattivarlo e revocare tutte le credenziali, per evitare possibili rischi di sicurezza, e quando un dispositivo deve essere smaltito o riutilizzato, devono essere rimossi tutti i dati sovrascritti in modo sicuro, per garantire la protezione delle informazioni.
Controlli sulla privacy per i fornitori di servizi IoT e gli sviluppatori di sistemi IoT
Oltre ai controlli legati alla sicurezza, nei contesti IoT viene raccomandata anche l’implementazione di controlli sulla privacy per la gestione sicura dei dati personali trattati.
Fra i controlli che possono essere applicati da fornitori di servizi IoT e sviluppatori di sistemi IoT vi sono la prevenzione degli eventi invasivi sulla privacy, mediante l’integrazione di funzionalità per il miglioramento della privacy all’interno di dispositivi e servizi IoT, e l’adeguata gestione dei controlli sulla privacy, riesaminandone in modo continuativo l’efficacia ed identificando quelli che potrebbero essere nuovi rischi, tenendo sempre in considerazione l’evoluzione delle esigenze di privacy degli utenti e i requisiti normativi.
Inoltre, è importante ridurre al minimo la raccolta di dati da fonti indirette, o ancora meglio non raccoglierli affatto, per impedire la raccolta di dati senza il consenso degli utenti dei sistemi IoT. Per garantire la protezione dei dati personali è importante anche gestire in modo appropriato le misure di protezione dei dati personali e comunicarle solo alle parti interessate, e garantire che i dati raccolti non possano permettere l’identificazione dell’utente, al fine di impedirne la raccolta attraverso il monitoraggio di un dispositivo IoT.
Infine, all’utente IoT dovrebbe essere comunicata un’informativa sulla privacy, che indichi in primis quali dati personali verranno raccolti e lo scopo del loro utilizzo.
Cybersecurity nell’IoT: come si individuano le vulnerabilità e si limitano i rischi
Controlli sulla privacy per gli utenti di sistemi IoT
Anche gli utenti e quindi gli utilizzatori dei sistemi IoT possono adottare controlli sulla privacy che permettono di proteggere i propri dati personali.
Innanzitutto, è importante ricordarsi di fornire il consenso all’uso dei propri dati personali per i dispositivi e servizi IoT solo dopo averne valutato la reale necessità e il possibile impatto in caso di violazione dei dati, revocando il consenso se non più necessario o se si manifestano dei problemi con il dispositivo o il servizio IoT, in modo tale da impedire un uso improprio dei propri dati personali.
Inoltre, è importante verificare la reale necessità di connessione da parte dei dispositivi e servizi IoT con altri dispositivi o servizi e consentirla solo in caso di una valida necessità, per garantire un uso mirato di dispositivi o servizi IoT.
Infine, è buona prassi richiedere la certificazione o la validazione delle funzionalità per la protezione della privacy dei sistemi e servizi IoT, per assicurarsi che tali funzionalità siano affidabili.
L’applicazione del GDPR
Essendo i dispositivi IoT dei dispositivi che trattano dati personali, ad essi si applica ovviamente anche il Regolamento Generale per la Protezione dei Dati personali (GDPR).
Il GDPR è un regolamento europeo divenuto operativo nel maggio 2018, che disciplina il modo in cui le aziende e le organizzazioni trattano i dati personali, con l’obiettivo di dare ad ogni individuo il controllo sull’utilizzo dei propri dati, stabilendo requisiti precisi e rigorosi per il trattamento dei dati, la trasparenza, la documentazione da produrre e conservare e il consenso degli utenti.
Uno dei principi fondamentali introdotti dal GDPR è il principio di privacy by design, ovvero il fatto che la tutela dei dati personali degli utenti deve iniziare dalle prime fasi di progettazione del dispositivo o del servizio, in modo tale da garantire la protezione dei dati e degli utenti fin dall’inizio, prevenendo il verificarsi dei rischi privacy e di sicurezza.
Alla base del principio di privacy by design vi sono quindi i seguenti concetti:
- prevenire e non correggere: gli eventuali problemi devono essere valutati nella fase di progettazione e si deve prevenire il verificarsi dei rischi, evitando di effettuare valutazioni di conformità solo a seguito della produzione di un dispositivo o di un servizio, o addirittura a seguito di un evento che potrebbe avere un impatto sui dati personali;
- sicurezza durante tutto il ciclo di vita del dispositivo o del servizio;
- visibilità e trasparenza del trattamento, per garantire la tutela dei dati;
- centralità dell’utente, ovvero il rispetto dei diritti.
Un altro principio fondamentale è il principio di privacy by default, che prevede la tutela della privacy come impostazione di default e incorporata nel progetto.
Secondo questo principio le misure di protezione dei dati personali dovrebbero essere attive a prescindere e non dovrebbero quindi essere attivabili o disattivabili a discrezione. Inoltre, il titolare del trattamento per impostazione predefinita dovrebbe trattare solo i dati personali nella misura necessaria e sufficiente per le finalità previste per il funzionamento del dispositivo o del servizio e per il periodo strettamente necessario a tali fini.
Anche per questo principio, è necessario agire già dalle prime fasi di progettazione del dispositivo o del servizio, per garantire che non vengano raccolti dati non necessari e per garantire un elevato livello di protezione per quelli raccolti.
L’introduzione di questi due principi porta il Titolare del trattamento, che normalmente coincide con chi sviluppa o acquista i dispositivi o i servizi, ad effettuare una valutazione di impatto privacy ogni volta che il trattamento di dati operato dal dispositivo o dal servizio potrebbe comportare rischi elevati per la privacy degli utenti.
Nell’ambito IoT è quindi necessario effettuare la valutazione di impatto privacy, in quanto il trattamento può presentare un rischio elevato per i diritti e le libertà degli utenti e, se svolta in maniera corretta e responsabile, offre garanzie necessarie per un trattamento corretto dei dati anche in situazioni di emergenza.
Se da un lato è indubbio il vantaggio che i sistemi IoT hanno nella gestione quotidiana della vita di chi li utilizza, dall’altro lato è da considerare il fatto che tale utilizzo sempre più frequentemente espone l’utente finale ad un maggior numero di rischi e attacchi informatici, che possono compromettere anche la sicurezza fisica dell’utente stesso (basti pensare ai dispositivi medici e sanitari).
Il quantitativo di informazioni e dati personali condivisi (anche inconsapevolmente) dall’utente finale nell’utilizzo di sistemi IoT e la possibilità di ricavare informazioni sulle sue abitudini, espongono quest’ultimo a sempre più possibili data breach (da intendersi non solo come furto di dati, ma nella accezione più ampia prevista da GDPR come “la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”).
Le notifiche di data breach e più in generale di attacchi informatici legati all’utilizzo dei dispositivi IoT sono in forte aumento negli ultimi anni, tanto da mantenere costante l’attenzione dell’Autorità Garante della Protezione dei Dati Personali.
Il Garante Privacy invita infatti i Titolari del trattamento a predisporre misure tecniche e organizzative adeguate e ad avere maggiore consapevolezza sull’importanza di proteggere i dati personali trattati.
Solo in questo modo è possibile garantire un livello di sicurezza adeguato commisurato al rischio a cui sono esposti i dati personali.
Conclusioni
Il vasto utilizzo dell’IoT, in costante crescita, richiede la protezione sia dei dispositivi che dei dati da essi trattati. È certamente uno scenario nuovo, parzialmente diverso da quelli consueti in cui ci si (pre)occupa della sicurezza informatica e questo potrebbe disorientare utenti e produttori. È bene quindi sapere che ci sono norme e regolamenti che possono fungere da guida; al momento si tratta di raccomandazioni che costituiscono un valido aiuto. Tuttavia, la misura più efficace resta sempre la consapevolezza e la capacità di attuare le giuste contromisure, almeno in attesa che norme come la ISO/IEC 27400 non saranno obbligatorie.
Per maggiori approfondimenti si rimanda alla pubblicazione “Cybersecurity e IoT: come affrontare le sfide di un mondo connesso” a cura della community Women for Security.
