Profundizar en el desarrollo de la ciberseguridad de los productos para los OEM

En los últimos meses, he mantenido más conversaciones que nunca con equipos de productos, ingenieros y responsables de seguridad que se enfrentan a la misma presión: cómo seguir el ritmo de los cambios en la seguridad IoT sin ralentizar la innovación necesaria para lanzar nuevos productos.

From new IoT regulations and rising consumer security expectations to increasingly sophisticated cyberattacks on smart devices, the challenges are real, and they’re growing. That’s exactly why we updated our 10 Steps to IoT Security eBook. Not just to refresh the content, but to give OEMs actionable guidance, grounded in today’s reality. 

Novedades

This recently updated edition is your guide for building secure, compliant, and future-ready products. The updated edition:

• Reflects new threat models: Firmware, software supply chains, and device identities are now prime targets.
• Covers evolving standards and expectations: What was acceptable 3 years ago isn’t today.
• Addresses engineering challenges: From crypto-agility to OTA updates in resource-constrained environments.
• Adds deeper guidance on scaling securely: Because what works for 10 devices won’t cut it for 10,000.
  
  

Así que, con esto en mente, he reunido cinco prioridades básicas en las que deberían centrarse todos los fabricantes de equipos originales para empezar a integrar la seguridad desde el diseño, hoy mismo. Manos a la obra.

🛠️ Security by Design

1. Construir una arquitectura de confianza cero con PKI para IoT

La base de la confianza digital está en la infraestructura de clave pública (PKI), por lo que es fundamental establecer la raíz de confianza (RoT) en las primeras fases del proceso de desarrollo. Hay algunas consideraciones a tener en cuenta, como la RoT hardware, software o híbrida, así como los elementos de diseño, incluidos los tipos de clave y algoritmo, por ejemplo.

En resumen, es esencial pensar en las opciones de diseño por adelantado porque es el punto de partida para establecer una plataforma de seguridad del producto para los dispositivos que está desarrollando ahora y en el futuro.

2. Implantar el aprovisionamiento seguro y la gestión del ciclo de vida

Una vez establecida la RoT, puede establecerse un proceso seguro de aprovisionamiento inicial de dispositivos. Normalmente se emite un certificado de nacimiento para cada dispositivo de borde, en forma de certificado X.509 que es la identidad inmutable del dispositivo. Se mantiene durante toda la vida útil del dispositivo para demostrar su origen y autenticidad.

Operational certificates can also be issued to devices that are used by an end customer to ensure runtime trust and establish secure TLS connections over time.  It’s also critical to have a robust certificate lifecycle management process in place to manage identities over time.

3. Proteger las actualizaciones de firmware y OTA

Firmware over the air updates are common, but it’s essential to make sure that you have implemented a process for secure code development, including initial signing, auditing, and remote updatings. This prevents malware from being installed on the devices you have sold to customers, and ensures that you have a proper record of all signing operations in the case of an audit.

4. Incorporar criptoagilidad y seguridad de cara al futuro

NIST has announced that RSA and ECC algorithms will be deprecated by the year 2030, and therefore product OEMs need to think about how to update cryptography that is inside field devices, especially if the devices are still under warranty, or will need to be operational past this impending deadline.

There is an opportunity for connected products to also adopt quantum-safe algorithms. Although integration depends on hardware and software constraints, it’s crucial – especially in certain industries – to factor this into the development of current product lines to ensure long-term security and resilience.

5. Asignar la propiedad de la seguridad a lo largo del ciclo de vida del producto

La seguridad de los productos no es responsabilidad de una sola persona o empresa. Es una combinación de varias partes interesadas que se unen con un plan cohesionado, desde el fabricante de componentes, pasando por el integrador de productos o soluciones, hasta el operador o cliente final.

Garantizar una seguridad sólida de los dispositivos IoT a lo largo del ciclo de vida del producto requiere una clara rendición de cuentas en cada etapa. La industria o los reguladores regionales también desempeñan un papel importante a la hora de proporcionar orientación para ayudar a elevar el nivel de los dispositivos conectados, especialmente aquellos que protegen nuestras infraestructuras críticas y nuestra calidad de vida.

La seguridad IoT avanza rápidamente: no se quede atrás

La seguridad desde el diseño ya no es solo una práctica recomendada: es fundamental para una seguridad sólida de los dispositivos IoT . Comience con estas cinco prioridades y utilice el libro electrónico actualizado como guía práctica para reforzar su postura de seguridad en todos los productos conectados.

👉 Download the newly revised 10 Steps to IoT Security eBook and take your first step toward building more secure, resilient devices.