È ormai risaputo che l’IoT – oltre a portare a irrinunciabili vantaggi - ha aumentato la superficie di rischio. La sensibilizzazione verso questo problema sta portando a un cambio di approccio alla security molto importante da parte dei produttori. Questi ultimi stanno progressivamente incrementando le autosegnalazioni delle vulnerabilità e le relative correzioni. È una delle informazioni che emerge dallo State of XIoT Security Report: 1H 2022 ad opera del Team82 di Claroty.

Una novità che gli utenti accoglieranno con sollievo, dato che secondo il report nella prima metà del 2022 le vulnerabilità che hanno impattato su dispositivi IoT sono aumentate del 57% rispetto ai sei mesi precedenti. Il 15% delle vulnerabilità riguarda i dispositivi IoT, un aumento rispetto al 9% registrato nel secondo semestre 2021. Inoltre, per la prima volta, la combinazione di vulnerabilità IoT e IoMT (18,2%) ha superato le vulnerabilità IT (16,5%).

Tuttavia è cresciuta anche la percentuale delle auto segnalazioni dei produttori: +69%. A conti fatti, per la prima volta i produttori sono stati più prolifici dei gruppi di ricerca indipendenti nella segnalazione di vulnerabilità. I 214 CVE pubblicati sono quasi il doppio rispetto ai 127 CVE totali riscontrati nella seconda metà del 2021. Ciò indica che più fornitori di OT, IoT e IoMT stanno istituendo programmi di divulgazione delle vulnerabilità e dedicando più risorse all'esame della sicurezza e della protezione dei loro prodotti.

Benché siamo ancora lontani dall’obiettivo di Secure by Design invocato da più parti, è innegabile che ci si sta muovendo nella direzione giusta. Oltre alle segnalazioni, infatti, sono cresciute del 79% le vulnerabilità del firmware completamente o parzialmente corrette. Il tema, affrontato più volte anche dall’UE, è centrale per poter garantire un livello di sicurezza adeguato alle industrie e alle infrastrutture critiche in quello che viene oggi definito Extended Internet of Things (XIoT), e che indica la vasta rete di sistemi cyber-fisici, che comprende tecnologia operativa e sistemi di controllo industriale (OT/ICS), Internet of Medical Things (IoMT), sistemi di gestione degli edifici e IoT aziendale.

In media, le vulnerabilità XIoT pubblicate e affrontate sono state circa 125 al mese, raggiungendo un totale di 747 in tutta la prima metà del 2022. La stragrande maggioranza di queste ha punteggi CVSS di gravità critica (19%) o alta (46%). Il problema riguarda tutti, perché detti sistemi cyber-fisici hanno un impatto diretto su svariati aspetti della vita nel mondo reale, dal cibo che si mangia all'acqua che si beve, passando per cure mediche e molto altro.

Vulnerabilità dei dispositivi XIoT nella prima metà del 2022

Fra gli impatti segnalati nel report figura che quasi i tre quarti (71%) delle vulnerabilità riscontrate impatta sulla disponibilità di sistemi e dispositivi, e consiste nell'esecuzione non autorizzata di codici o comandi in remoto, e nell’attuarsi di condizioni di negazione del servizio.