Tres medidas de seguridad de IoT para implementar en 2024

IoT devices have evolved quite a bit since the first network-connected vending machine was invented in 1982. In 2024, the potential of IoT innovation is nothing short of transformative. 

But along with opportunity comes risk. Each individual connected device presents a potential access point for a malicious actor. At scale — electronic shelf labels deployed by a grocery store chain, or smart boards deployed across a school district, for example — the attack surface swells to an untenable dimension. That’s part of the reason why IoT attacks grew 400% from 2022 to 2023. 

Cuando están integrados en los procesos de negocio, como un brazo robótico conectado en una planta de fabricación, cada dispositivo representa un punto de fallo potencial que puede causar tiempos de inactividad y disminuir la productividad.

Many organizations, including device manufacturers and organizations leveraging those devices, aren’t sure where to begin regarding IoT security strategy. That’s why Keyfactor compiled its first-ever global IoT security report, Digital Trust in a Connected World: Navigating the State of IoT Security.

El informe muestra cómo las organizaciones y los fabricantes de dispositivos están pensando y elaborando estrategias para la seguridad del IoT.

A medida que los líderes de seguridad miran hacia 2024, el informe revela tres resoluciones que pueden adoptar para empezar a mejorar la seguridad del IoT, independientemente de su etapa en el camino de la seguridad. 

Resolución 1: Eliminar las interrupciones de certificados.

Digital certificates play a big part in how IoT devices function. A certificate is built into every device. When that device turns on for the first time, the certificate lets the device know it can trust the manufacturer’s server or API. Note – this is a drastic simplification, as there are many critical functions that are performed through the certificate handshake.

Pero si el certificado expira, el dispositivo ya no sabe en qué confiar. En respuesta, no confía en nada y esencialmente deja de funcionar. 

The State of IoT Security report shows that 98% of organizations experienced a certificate-related outage in the past 12 months. For the average device manufacturer, these outages caused losses of more than $2.25 million. 

Este tipo de interrupciones son síntomas de una gestión deficiente del ciclo de vida de los certificados.

As devices grow in volume and usage, getting a handle on certificate management is crucial. The solution is to centralize certificate management into a single, universal hub, and then automate the discovery, monitoring, revocation, and re-issuance of certificates. 

Resolución 2: Definir cómo es y qué requiere la seguridad del IoT para su organización.

Las vulnerabilidades del IoT pueden ser un punto ciego para las organizaciones. 

El informe del IoT muestra que solo el 43% de las organizaciones cree estar “tan protegida como es posible” frente a los ataques de IoT, mientras que el 56% estuvo de acuerdo en que sus organizaciones carecen de la conciencia adecuada y la experiencia necesaria para prepararse ante los ataques de IoT.

Las organizaciones que carecen de confianza para defender sus dispositivos IoT deberían obtener visibilidad sobre el estado de la seguridad del IoT dentro de la empresa.

Los diseñadores y fabricantes de productos deberían crear políticas que consideren la seguridad desde el inicio del proyecto, en lugar de añadir la seguridad al final. 

IoT devices come with finite resources — power consumption, processing power, budgetary restraints, etc. Considering the security demands at the beginning can inform product design in terms of hardware, chip selection, and other factors, which creates more space for security controls within the limits of the device. 

Las organizaciones que utilizan dispositivos IoT deberían trabajar para lograr visibilidad identificando cuántos dispositivos se conectan a la red. ¿Desde dónde se conectan? ¿Quién los opera? ¿Qué equipos utilizan dispositivos IoT y qué dispositivos están utilizando? 

A partir de ahí, las organizaciones pueden identificar brechas y elaborar un plan para reducir sus riesgos específicos. Comprender estas particularidades puede orientar la búsqueda de proveedores y socios que aporten el mayor valor a la organización.

Una vez que las organizaciones comprenden la dinámica de su propio panorama de IoT, pueden identificar brechas y elaborar un plan para abordarlas. 

In the 2023 Gartner® 2023 Hype Cycle™ for Digital Identity, organizations can find identity-first best practices to make smarter technology decisions.

Las organizaciones que logran visibilidad al centralizar las identidades de los dispositivos están mejor informadas para crear su enfoque de seguridad del IoT e implementar políticas que mantengan esa seguridad. 

Resolución 3: Anticiparse a las regulaciones emergentes de IoT.

Los gobiernos y los organismos reguladores están llegando a un consenso de que la seguridad de IoT es una responsabilidad compartida. Los usuarios finales deben adoptar una higiene de seguridad básica; las organizaciones deben adoptar herramientas y diseñar sistemas que soporten la seguridad; y los diseñadores y fabricantes de dispositivos deben tener mayor cuidado al diseñar dispositivos que sean más seguros por diseño. 

Ese consenso se está plasmando lenta pero seguramente en políticas. 

• The EU’s Cybersecurity and Cyber Resilience Acts put forth legislative frameworks that, among many objectives, set certification standards for digital and connected devices.
• In June of 2023, the White House directed agencies to prioritize technologies that were secure by design. This falls in line with the pillars of the Biden administration’s broader cybersecurity security strategy released in the spring of 2023. 
• While there is no hard law demanding device security, the Biden administration enacted a cybersecurity labeling program to designate smart products that resist attacks.  
• The Matter standard seeks to standardize smart home devices around a universal protocol, which will cut complexity and enable manufacturers to get products to market faster. The Matter standard strictly lays out security requirements for devices. 

El noventa y ocho por ciento de los encuestados en el informe de IoT afirmó que las regulaciones tienen un impacto en su desarrollo de productos IoT y conectados. Es lógico asumir que la legislación y los estándares imponen mayores responsabilidades a las organizaciones que utilizan y fabrican dispositivos conectados. 

Ante la imprevisibilidad, la criptoagilidad prepara a las organizaciones para el éxito.

Históricamente, adaptarse a nuevos estándares y algoritmos criptográficos ha sido todo menos fácil. Sin embargo, a medida que las tecnologías digitales, las identidades de máquinas y los dispositivos conectados se han vuelto más omnipresentes, han evolucionado soluciones y metodologías que permiten a las organizaciones adaptarse sin problemas a las nuevas demandas. 

In the IoT and machine identity context, this is known as crypto-agility. Crypto-agility allows organizations to respond quickly to authentication and certificate issues, manage machine identities at scale, and change out cryptographic algorithms fluidly. 

Mientras las organizaciones se mantienen atentas al panorama legislativo en cuanto a las regulaciones emergentes, también deberían desarrollar criptoagilidad dentro de la organización. Además de la centralización, la automatización y la estrategia representadas en nuestras dos resoluciones anteriores, las organizaciones pueden trazar una hoja de ruta hacia la siguiente fase de su evolución y vincular la seguridad más estrechamente a la innovación.

Uniendo los mundos físico y digital – de forma segura

Para muchas organizaciones, la seguridad de IoT es un desafío de “desconocidos desconocidos”.

Una vez que un dispositivo sale de la línea de montaje y se vende a un usuario final, no se sabe en qué tipo de entorno puede encontrarse ese dispositivo. Los fabricantes de dispositivos afirmaron que sus mayores desafíos para asegurar los dispositivos que producen son: 

1. La incapacidad de cuantificar el impacto de la amenaza de los dispositivos IoT de terceros
2. La falta de visibilidad y gestión de los dispositivos  

Aunque los presupuestos para dispositivos IoT están aumentando, el 52% de esos presupuestos corre el riesgo de ser desviado para cubrir el costo de las brechas y ataques de IoT. 

Tanto ahora como en el futuro, las organizaciones ya no pueden permitirse una seguridad de IoT inadecuada. Debe ser priorizada. Asegurar que la seguridad del producto se gestione durante todo el ciclo de vida es vital para prevenir el riesgo de nuevas amenazas de nuevos vectores de ataque.

Gartner, Hype Cycle for Digital Identity, 2023, Ant Allan, Nathan Harris, 26 de julio de 2023. GARTNER es una marca registrada y marca de servicio de Gartner, Inc. y/o sus filiales en EE. UU. e internacionalmente, y HYPE CYCLE es una marca registrada de Gartner, Inc. y/o sus filiales y se utilizan aquí con permiso. Todos los derechos reservados.