Principales predicciones de IoT para 2023: Reforzando la seguridad de los dispositivos IoT, introduciendo nuevos estándares y más

La Internet de los objetos (IoT) es un tema candente desde hace años. Más recientemente, la seguridad de IoT ha pasado a primer plano, y no es algo que vaya a cambiar pronto.

Por muy prometedora que sea la web IoT -y, de hecho, ya ha cumplido sus promesas-, su calidad depende de la seguridad que la respalde. Históricamente, esa seguridad ha dejado mucho que desear. Afortunadamente, en los últimos años los fabricantes y los organismos reguladores han empezado a prestar mucha más atención a la seguridad de los dispositivos IoT , y estamos avanzando mucho en este terreno.

De cara a 2023, podemos esperar ver aún más avances en la seguridad de los dispositivos IoT . Aunque el camino sigue teniendo sus retos, la introducción de nuevas normas ha contribuido a reforzar las mejores prácticas y muchos de estos cambios darán sus frutos en el próximo año.

Teniendo esto en cuenta, ¿cuáles son las principales tendencias de IoT para 2023 y qué avances podemos esperar en términos de seguridad de los dispositivos de IoT ? Para saber más, nos sentamos con Ellen Boehm, vicepresidenta senior de Estrategias y Operaciones de IoT en Keyfactor. Esto es lo que nos contó.

Keyfactor: Cuál es el mayor reto de seguridad de los dispositivos IoT que prevé que afecte a las organizaciones de cara a 2023?

Ellen Boehm: There are certainly a lot of challenges regarding IoT device security, but the biggest one I foresee in 2023 centers around evolving standards and guidelines for product cybersecurity.

En concreto, a medida que las normas y directrices de ciberseguridad de los productos siguen madurando, los fabricantes de equipos originales deben seguir de cerca los cambios para comprender el impacto en sus negocios y procesos. Esto es especialmente importante -y desafiante- porque las evoluciones de estas normas y directrices pueden afectar a todo, desde el desarrollo de productos hasta las operaciones generales de los dispositivos, y los fabricantes de equipos originales tendrán que actuar con rapidez para mantenerse al día.

Keyfactor: ¿Qué cree que hay que hacer para que los dispositivos de IoT sean más seguros?

Ellen Boehm: The best thing we can do to boost IoT device security is to continue to follow best practices around unique device identities and certificate-based authentication. Ensuring this becomes the standard in 2023 will be essential to strengthening security in other areas going forward.

Keyfactor: La norma Matter abre nuevos caminos al establecer el estándar para las políticas y procesos de seguridad que utilizan PKI para validar la certificación y procedencia de los dispositivos. ¿Hasta qué punto cree que las organizaciones adoptarán las normas Matter? ¿Y qué más pueden hacer las organizaciones para garantizar que los usuarios conectan dispositivos auténticos, certificados y actualizados a sus hogares y redes?

Ellen Boehm: I absolutely think organizations will embrace the standards that Matter has put forth. This is notable since as of now, the Matter standard only covers certain devices (like light bulbs and switches, smart locks, and garage door controllers) but not others (like vacuums and security cameras). Even so, I recently spoke with GE, and they confirmed that the OEMs with which they work are following the recommendations from Matter around enabling interoperability with smart home devices produced by multiple manufacturers. 

En pocas palabras, los fabricantes de equipos originales reconocen ahora que se utilizarán varias marcas en el hogar y que necesitan colaborar para construir el "hogar inteligente del futuro" y garantizar que estos dispositivos puedan utilizarse juntos de forma segura. Matter proporciona la norma industrial que lo permite, y los fabricantes de equipos originales están empezando a adoptar esas directrices.

Keyfactor: ¿Cree que hay algún sector vertical específico que esté avanzando especialmente en la protección de los dispositivos de IoT ?

Ellen Boehm: I’ve personally worked with companies in the automotive (V2X, EV charging), medical technology, utilities/metering, transportation, telecommunication, and Industry 4.0 verticals on IoT projects. Notably, all of these companies and their verticals are adopting IoT technologies to advance their product and service capabilities, and thinking through security from the very beginning comes part and parcel with that.

Keyfactor: En enero de 2020, California aprobó la Ley de Seguridad de Internet de las Cosas, una ley pionera centrada en mejorar la seguridad de IoT que exige a los fabricantes promover activamente la seguridad en los dispositivos de IoT . Cómo cree que influirá esta ley en el enfoque de los fabricantes sobre la seguridad de IoT ?

Ellen Boehm: Manufacturers are typically sensitive to the strictest regulations and then design to those standards if possible. With that in mind, we’ve already seen manufacturers following recommendations around passwords, authentication, and connections to VPNs based on California law. And that’s a good thing, as those are all good practices that should be adopted independently of any laws passed.

Keyfactor: Históricamente, las leyes aprobadas en California han sido un presagio de lo que está por venir, con otros estados siguiendo su ejemplo y aprobando legislación similar (por ejemplo, normativas laborales y medioambientales). ¿Ha visto que otros estados empiecen a seguir su ejemplo en este caso? Si no es así, ¿cree que deberían hacer más para promover la seguridad de los dispositivos IoT ?

Ellen Boehm: I haven’t seen other states take a focused approach to IoT device security as California has. That said, I think state requirements are too narrow, and there should instead be a country-wide approach to regulating IoT device security. 

Recordemos que estos dispositivos se diseñan, producen y utilizan a escala mundial, por lo que su alcance va mucho más allá de un solo Estado. En consecuencia, necesitamos normativas con un alcance más amplio para lograr el nivel adecuado de gobernanza en torno a la seguridad de los dispositivos IoT .

Keyfactor: A nivel internacional, ¿cuáles serán los requisitos más importantes de la primera ley de ciberresiliencia prevista por la UE?

Ellen Boehm: Three requirements coming from the EU stand out to me in particular:

1. La identidad de los dispositivos debe ser la base de su seguridad, y esa identidad debe establecerse mediante certificaciones digitales únicas y asimétricas.
2. Software y el firmware DevSecOps deben habilitarse mediante métodos adecuados de firma y verificación.
3. Los productos deben disponer de seguimiento y trazabilidad de la vulnerabilidad, incluidos planes de mitigación, para que los productos mantengan la homologación CE.

En conjunto, estos requisitos contribuyen a crear una base sólida que no sólo ayudará a reforzar la seguridad de los dispositivos de IoT desde su posición actual, sino que también sentará las bases para mejoras continuas a medida que este campo siga evolucionando.

Keyfactor: ¿Cómo afectará la legislación de la UE a los fabricantes de dispositivos IoT ?

Ellen Boehm: First, it means that IoT device manufacturers must assess cybersecurity risks and apply mitigation plans to all products they make. Next, after deploying products, they’ll need to report any incidents and known vulnerabilities of their products to ENISA. Finally, it means OEMs must take corrective actions and implement security updates as needed immediately and free of charge, typically via secure over-the-air firmware updates.

En consecuencia, será esencial que los fabricantes de equipos originales se aseguren de que disponen de los procesos y capacidades adecuados para cumplir estos requisitos, sobre todo en el caso de los dispositivos que permanecerán mucho tiempo sobre el terreno. Esto supondrá un cambio para muchos fabricantes, y sin duda es un gran paso en la dirección correcta.

¿Está preparado para llevar la seguridad de sus dispositivos IoT al siguiente nivel?

As your team looks ahead to 2023, strengthening IoT device security practices must be top of mind. Fortunately, Keyfactor EJBCA and Keyfactor Command for IoT make that possible by providing OEMs with an end-to-end IoT identity platform to manage and automate identities for devices from manufacturing to end-of-life.

Contact us today to learn more.