Nädal 14 (5.05 - 12.05)

Kui andmeturve mõtestada lahti kolme komponendi (tehnoloogia, koolitus, reeglid) korrutise kaudu, tundub asi pealtnäha lihtne: ära lase ühel neist komponentidest nulli langeda ja "jääd ellu". Ent kas 3x1x1=3 on hea tulemus 3x3x3=9 kõrval? Vaatenurga küsimus...

Üheks suurimaks turvariskiks peab allakirjutanu IoT seadmeid, täpsemalt siis kodumajapidamise asjad-vidinad, mis võrku ühendatakse. Eks hinnang, jällegi, on subjektiivne, ent minu silmis tundub, et suuremad ohud on veel ees ja tulemata. Sest helgemad pead on lähitulevikuks ennustanud IoT seadmete arvu kasvu kiirenemist:

Kui tehnoloogilise poolega saavad *asjade* tootjad veel enam-vähem hakkama (eeldusel, et software/firmware upgrade on automaatselt uuenevad, et turvariskidele võimalikult kiirelt jaole saada), siis viletsamini on koolituse ja reeglitega.

Programmeerimist saame me koolis ja koolitustel õppida. Arvuti igapäevakasutamist saavad "onu Jüri" ja "tädi Maali" ka soovi korral mõnel vastavasisulisel koolitusel. Ent seda, et kuidas IoT seadmeid võrku ühendada (millise WiFi parooliga? Äkki võiks seade täiesti eraldiseisvas subnet'is olla?) ei õpeta tädi Maalile ja onu Jürile keegi. Samuti mitte seda, et software/firmware võivad vajada aeg-ajalt uuendamist. Õigemini ei oska ilmselt nad ka selle peale tulla, et vidinates võib oht üldse peituda.

Reeglitest ka: ISKE (uuem versioon E-ITS on kõigest 630 lehekülge (!) pikk...) toredad dokumendid koos oma reeglitega on suurtele organisatsioonidele ilmselt vajalikud, ent mida teha keskmiste ja väike-ettevõtetega? Vastavasisuline sertifitseerimine tundub minu hinnangul liiga suur halduskoormus kogu selle protsessi juures. Ning ikkagi, kuidas me veel siis reeglid tädi Maalile ja onu Jürile IoT seadmete puhul selgeks teeksime?! Küsimusi on rohkem, kui vastuseid.

Kasutatud kirjandus:

1) https://venafi.com/blog/top-10-vulnerabilities-make-iot-devices-insecure/ 

2) https://iot-analytics.com/number-connected-iot-devices/