IoT in a highly classified enviroment : Approach

Problemet kring Internet of Things (IoT) säkerhet är idag aktuellt på grund av dess snabba framväxt, forskningen har på grund av det inte hunnit med och standarder saknas. IoT är idag ett brett begrepp, men kommer genom rapporten syfta till en generaliserad bild med viss inriktning mot sensorer som är ett stort problem för säkerheten idag. Den menar till att göra kunskapen kring området förståelig och tillgänglig samt redogöra för de risker, krav och lösningar som finns för att förenkla beslutsfattande för alla som är involverade med IoT. Rapporten tar inte upp hanteringen av hur olika modeller och rekommendationer ska genomföras utan enbart vad som rekommenderas för olika delar. Den kommer heller inte gå igenom GDPR som hade varit intressant för fortsatt forskning på samma sätt som forskning kring ramverk, standarder och mer frågeställningar kring vad experterna anser om säkerheten. Denna rapport får, genom mailintervjuer med experter inom området och flera dokumentstudier, fram delar som sårbarheter, hot, risker, identifikation av dessa och rekommendationer. Det krävs en förståelse av IoT miljön och omgivningen som den ska befinna sig i, därav presenteras bland annat kända sårbarheter och hot som finns mot systemen. Som helhet kan IoT ses som en liten fysisk sårbar server med svagheter kring bland annat kunskapsbrist, de fysiska miljöerna, begränsningar av enheterna, avsaknad av uppdateringar, med mera. I form av hot handlar det om malware, DDOS, svaga lösenord, dataläckage, eavesdropping med mera. Riskerna inom IoT kan kategoriseras under fyra områden, skydd av personlig integritet, skydd av spridande av hemlig data, förstörelse av utrustning och förstörelse som ger sekundäreffekter genom skada av person. Eftersom IoT kan liknas vid servar bör identifikationen av risker därför kunna täckas med bland annat riskanalys, sårbarhetsanalys / sårbarhetsbedömning och kunskap kring hur verksamheten / platsen där IoT:t ska befinna sig fungerar. Rapporten har riktat sig mot en högt säkerhetsklassad miljö som kan förklaras som en miljö som håller känslig data och kan ge kraftiga konsekvenser om något händer med detta. Genom arbetets gång har det uppenbarat sig att IoT säkerheten i alla miljöer behöver en hög säkerhet, det finns ingen enkel väg för att komma fram till ett säkert IoT system, men det handlar i grunden om att se till helheten av alla system och dess omgivning samt att bryta ned IoT i dess lager för att hantera dessa riskerna. Det finns många olika rekommendationer i olika områden kring IoT för att säkra detta, bland annat kan det handla om tillvägagångssätt, vart olika ansvar ligger eller tekniker som finns för specifika delar av IoT:tThe issue with the Internet of Things (IoT) today is relevant due to its exponential growth and development in users and devices. Due to the rapid expansion there is a lack in standards and research in this area. IoT currently is a vast concept, however what will be covered in this report will be several general topics to give a base understanding of the concept, alongside further investigation into sensors and the potential vulnerabilities they introduce as one of the more problematic devices regarding security. The aim of this report is to give a better understanding as well as to illuminate the potential risks, requirements and solutions to simplify decision making for all involved in the projects relating to IoT. This report however will not cover implementation of theorised models or recommendations presented. Furthermore, it will not cover General Data Protection Regulation (GDPR), though this would prove to be interesting for future research. Similarly, further research on different frameworks, standards and a greater understanding from working with experts in the area would prove useful also. Correspondence with experts in the field and a multitude of studies documenting vulnerabilities, threats, identifications of these and recommendations are present. Given how a base understanding of the IoT environment are required, known vulnerabilities, layers and threats to the system are also presented. On the whole IoT can be seen as a vulnerable physicality and a small server with many gaps in knowledge regarding the topic, inclusive of lack of reliable information on the physical environments, limitations of devices, updates (or lack thereof) and several other factors. Threats (covered in this report) to IoT include DDOS, malware, weak passwords, data leakage, eavesdropping and more. Risks within IoT can be categorised into four groups: protection of personal integrity, protection of the dissemination of secret data, destruction of equipment and destruction that gives a secondary effect through harm of a person. Because IoT can resemble a server, identification of risks should be covered by including risk/vulnerability analysis, risk/vulnerability assessment and knowledge of how the organisation or individual will affect IoT. This report aims to clarify operations within high security environments, defined by environments that hold sensitive data: yielding disastrous results if data would be compromised. Through research within this report, it has been deduced that all IoT environments require high security, however given there's no simple way to fully secure any IoT system. As previous mentioned, given the grand scale of IoT (i.e. every individual system and its environment) it needs to be broken down into layers in order to fully detect and provide solutions to prevalent risks. There are many measures and recommendations within IoT security, for instance: this includes the approach, where the responsibility lies or the techniques that relate to specific areas in the IoT