Mange norske forbrukere tviler på at IoT-enhetene ivaretar datasikkerheten

For en uke siden skrev digi.no (Digi ekstra) at mange norske smarthuseiere har tatt i bruk et populært, webbasert administrasjonsgrensesnitt og gjort dette åpent tilgjengelig på internett, selv om systemet ikke har støtte for noen form for autentisering. Det vil si at absolutt alle får samme tilgang som smarthuseieren til å se og kontrollere de tilknyttede enhetene i huset. Dette kan inkludere garasjeporter, smartmobiler, biler og alarmer.

Dessverre ser det ikke ut til at særlig mange av smarthuseierne har lest saken eller på annen måte blitt gjort oppmerksomme på problemet. Bare ett av de 39 smarthusene som vi kunne se at var eksponert på denne måten, er nå utilgjengelig.

Bekymret

Ingeniørorganisasjonen Nito er bekymret over funnene som vi presenterte i smarthussaken. Organisasjonen mener at man må kunne være trygg når man bruker slike produkter, og alt ansvaret ikke kan ligge på forbruker.

Nito mener samtidig at vi som forbrukere bør ha et edruelig forhold til hva man kopler til nettet.

– Er det nødvendig å få beskjed fra robotstøvsugeren at den er ferdig? Trenger du kameraovervåking av babyen som sover? Mye av det som selges er morsomt og fascinerende, men man bør tenke grundig gjennom behovet før man kopler tingene til nettet. Spesielt artikler som har innebygd mikrofon eller videokamera, skriver Nito i en epost til digi.no.

– På den annen side er det mange nyttige produkter, særlig er det mye som kan gjøre hverdagen lettere for eldre og personer med funksjonsnedsettelser. Smarthus og velferdsteknologi i hjemmet er framtida, men da må folk ha kunnskap nok til å sikre seg, samtidig som internettleverandører og produsenter må gjøre alt de kan for at det er lett å sikre seg, fortsetter Nito.

Mange er utrygge

Heldigvis kan det virke som at en del forbrukere nå er oppmerksomme på problematikken rundt tingenes internett og sikkerhet. I desember i fjor gjennomførte Norstat en omnibus-undersøkelse på vegne av blant annet Nito, hvor de 1008 intervjuobjektene ble spurt om i hvilken grad de er trygge på at datasikkerheten er ivaretatt når de kobler IoT-enheter som for eksempel robotstøvsuger, smarthøyttalere, panelovner, kjøleskap, boligalarm og leketøy, til internett.

30 prosent svarte at de i liten eller svært liten grad er trygg på at datasikkerheten er ivaretatt. Denne andelen øker til 34 prosent dersom vi ser bort fra intervjuobjektene som svarte at spørsmålet ikke er relevant for dem.

27 prosent av de spurte oppga at de har én eller flere slike enheter tilkoblet internett. Spørsmålene omfatter ikke skjermenheter som smartmobiler, nettbrett og pc-er.

Med god grunn

Digi.no har spurt Nito-president Trond Markussen om hva han mener om resultatet av undersøkelsen.

– Det er for få som er trygge på at sikkerheten er ivaretatt, og det er med god grunn, svarer Markussen.

Hva mener du er årsaken til at forbrukerne har fått et slikt inntrykk av sikkerheten til IoT-enheter?

– Det har vært snakket mye om risikoen med IoT-enheter og manglende sikkerhet, det er flott at dette har gjort at flere blir kritiske og mer bevisste med hensyn til hva de kobler seg opp imot.

– Stadig nye produkter og tjenester kobles til internett. Samtidig leser forbrukerne om nye hendelser slik som hacking av biler, kameraer og dukker. Det er jo et varsko for dem som leser om dette. Særlig når mange kanskje ikke har nødvendig sikkerhetskompetanse selv.

Mener du det er reell grunn til ikke å ha tillit til sikkerheten til slike enheter?

– Ja (av samme grunn). Så vil det være forskjell på produkter. Leverandører som lever av å utvikle og produsere elektronikkprodukter, og som jobber med digital sikkerhet, vil man helt klart ha forventninger til at har en annen tilnærming til sikkerhet, enn hva produsenter av produkt som ikke tidligere har vært koblet mot nettverk, eksempelvis leketøy. Det er alltid enklere å bygge inn digital sikkerhet fra starten av enn å gjøre dette når produktet er ferdig utviklet.

– En ekstra sårbarhet oppstår med IoT-produkter som er koblet med en skykonto – for eksempel for å styres fra mobiltelefonen. Da kan hackere kan gjette passordet og overta kontrollen over IoT-produktet. I slike tilfeller har produsenten et ekstra ansvar for å beskytte tilgangen til produktet. Det enkleste er da å bruke tofaktor-autentisering, for eksempel å bekrefte innloggingen med en engangskode på SMS.

IoT-enheter er like aktuelle for virksomheter som for forbrukere. Nito har i alle fall så langt ikke spurt virksomhetene om deres inntrykk av datasikkerheten i IoT-enhetene.

Leverandørene må ta ansvar

Hva mener du må til for å at forbrukerne i større grad skal kunne stole på at slik enheter er trygge å bruke?

– Ansvaret må flyttes over fra forbruker til leverandører og produsenter, slik IKT-sikkerhetsutvalget foreslår. Samtidig må leverandørene demonstrere at de tar sikkerheten på større alvor. De trenger ikke vente til det kommer nye regler for å satse på sikkerhet. Leverandørene bør nå kjenne sin besøkelsestid for å sikre tillit til IoT. Det er både sikkerhetsmessige og økonomiske grunner til det, mener Markussen.

– Produkter som er svake og må trekkes fra markedet, gir dårlig omdømme og store kostnader. Derfor er alle tjent med at sikkerhet bygges inn fra starten av gjennom såkalt «security by design» eller innebygd sikkerhet.

Er det noe norske aktører kan gjøre for å rette opp dette inntrykket?

– Utfordringen er at dette krever sikkerhetskompetanse blant leverandører som tradisjonelt ikke har hatt dette. Leverandørene må gjerne leie inn et sikkerhetsfirma, men jeg mener alle nye IoT-leverandører også skal ha denne sikkerhetskompetansen selv. Det gir en helt annen kontinuitet og trygghet i utvikling av IoT-produkter, avslutter Markussen.

Leste du denne? Kjøleanlegg hos en rekke matbutikker og sykehus ligger åpent på nett