¿Por qué es tan difícil proteger el Internet de las Cosas?

El acceso a datos en tiempo real tiene un valor inmenso para la inteligencia empresarial. Imagina que un brazo robótico de una cadena de montaje pudiera decirte cuánta energía consume, cuánto tarda en hacer su trabajo o cuándo necesitará mantenimiento.

From pacemakers to self-driving cars, devices that were previously siloed are getting connected to the internet. This offers a great deal of value to users and can even save lives in the case of medical devices. But with the added value of interconnectivity comes much greater risk.

Theoretically, the Internet of Things (IoT) infrastructure can be even more secure than that of servers and workstations, as manual processes are often the most vulnerable part of a cloud-based infrastructure. 

Pero como nueva tecnología que se enfrenta a un crecimiento explosivo, la seguridad de los dispositivos IoT puede ser un blanco móvil a medida que surgen nuevas tecnologías, normativas, casos de uso y amenazas. Y es mucho lo que está en juego, ya que las posibles consecuencias de una filtración de datos que ponga en peligro dispositivos médicos, equipos militares, vehículos personales o grandes empresas de servicios públicos podrían poner en peligro la vida.

La Internet de los objetos es un mundo nuevo para los informáticos y los expertos en ciberseguridad tradicionales. Sus conocimientos actuales pueden aplicarse a esta nueva revolución de IoT , pero también tendrán que enfrentarse a nuevos retos.

Reto 1: Responder a las exigencias de la escala

La maquinaria de fabricación a menudo tiene que producir cientos de miles de unidades a la semana, cada una con su propio certificado e identidad. Los certificados deben emitirse tan rápido como salen las unidades de la cadena de montaje. 

El simple mantenimiento del inventario de todos los certificados emitidos, por no hablar de su supervisión y actualización, es una tarea ingente, especialmente en el caso de los certificados con ciclos de vida cortos. 

Forty-two percent of enterprises still use spreadsheets to track digital certs manually, and 57% don’t have an accurate inventory of their SSH keys. Consequently, up to 40% of machine identities aren’t being tracked.

Reto 2: Confianza cero

Las unidades de control electrónico (ECU) de los automóviles, que controlan los sistemas de seguridad, de transmisión y de información y entretenimiento de los vehículos, se fabrican en una extensa cadena de suministro con varios puntos de entrada que podrían ser aprovechados por un agente de amenazas. 

Y los productos de esta cadena de suministro se despliegan en entornos desconocidos que pueden emplear controles de seguridad de hace décadas. Los fabricantes no pueden dejar que la seguridad de sus productos dependa del usuario final, ya que una violación de datos relacionada con el producto puede dañar la reputación del fabricante, incluso si la violación es en última instancia culpa del usuario.

IoT technology must take a Zero Trust approach to security for both human and machine identities. This approach, in which rejecting access is the default and access is only granted based on strict criteria, doesn’t just bolt on security as a feature—it bakes it in as a design element throughout the product lifecycle.

Además, el dispositivo tiene que integrarse con una amplia gama de sistemas adyacentes, algunos de los cuales podrían no cumplir las mismas rigurosas normas de seguridad. La normativa y las normas del sector aún están tomando forma en el espacio IoT , por lo que los fabricantes se enfrentan al reto de la disparidad de herramientas entre estos sistemas. Proteger sus productos y, al mismo tiempo, hacerlos interoperables puede ser una tarea ardua.

Reto 3: Limitaciones de la plataforma

La seguridad casi nunca es un argumento de venta para un dispositivo IoT . Lo que importa en el mercado es lo bien que funciona el producto, su eficiencia energética, su coste, etc. IoT los vendedores de productos no pueden cobrar más a los clientes por un producto utilizando la seguridad como propuesta de valor. En consecuencia, los fabricantes deben procurar que las medidas de seguridad no repercutan negativamente en la usabilidad y la eficiencia.

Las consideraciones de seguridad deben entretejerse en todo el proceso de desarrollo y fabricación del producto para que no se conviertan en añadidos engorrosos. Si la seguridad forma parte del flujo de trabajo desde el principio, es decir, la "seguridad por diseño", creará menos fricciones en el ciclo de lanzamiento del producto y mermará menos los márgenes de beneficio.

Reto 4: Equilibrar seguridad y funcionalidad

Security is not usually Job #1 in the design process for manufacturing equipment. Clients mainly care about how well the product works, whether it has all of the capabilities they need, and how much it costs. Giving business leaders the ability to oversee operations across the internet is a huge value driver, but everything a device connects to presents a new risk. Balancing security and interconnectivity has to be on a product designer’s mind to prevent the damage to a company’s reputation a potential data breach could cause.

Este acto de equilibrio puede ser difícil, especialmente si la fase de diseño se inclina hacia un modelo ágil o DevOps. Los diseñadores prosperan con el cambio y la innovación, mientras que los responsables de seguridad encuentran la estabilidad en la inmovilidad y la previsibilidad. Es posible que los diseñadores no quieran otro cocinero en la cocina, y que los responsables de seguridad no sean lo bastante flexibles para llegar a un acuerdo.

Desafío 5: Cumplir las normas

IoT experimentará una gran evolución en los próximos años. Los nuevos casos de uso, tecnologías y amenazas impulsarán nuevas normativas. Pero si la seguridad no es una prioridad para los desarrolladores de IoT , el cumplimiento de la normativa siempre será un problema.

Currently, the regulatory environment around IoT security is disjointed. NIST informs regulations in the U.S., but other countries have their own sanctioning bodies and standards. Electric vehicle regulation covers PKI, but those regulations differ from one region to the next. Standards like IEC 62443 are often discussed in comparison to other security standards. California’s SB: 327 law was the first IoT-specific law in the U.S. 

An enterprise releasing a product globally must manufacture that product with security that complies across several regulatory landscapes (e.g., GDPR in Europe, PIPL in China, LGPD in Brazil). These privacy regulations are being expanded to include IoT devices, and some organizations may benefit from specialized consultants who are familiar with all the standards.

Riesgos de tratar la seguridad de IoT como algo secundario

For most IoT manufacturers, security is not the primary value, but buyers assume that products are secure, and a breach at the device level can diminish customer confidence in a brand and lead to high-profile reputational damage. An aquarium thermometer in a casino allowed a hacker to export 10 GB of undisclosed data out of the country. Breached security cameras gave hackers access to video feeds in Tesla factories as well as jails, police departments, and hospitals. 

On a grander scale, the Stuxnet virus altered the speeds of Iran’s nuclear centrifuges so imperceptibly that humans could not detect the change, bringing the Iranian nuclear program to its knees. 

But it’s not just governments and corporations that can be impacted: from vehicles getting hacked while driving down the highway to home security cameras being compromised to vulnerabilities in IoT pacemakers, cyberattacks on some IoT devices can be directly life-threatening and create fear on the part of consumers.

Por ello, los dispositivos no protegidos pueden dar lugar a cuantiosas multas y sanciones por parte de las autoridades reguladoras. En 2015, la Oficina de Derechos Civiles (OCR) del HHS anunció su primer acuerdo relacionado con una filtración de datos a través de dispositivos médicos en un hospital. Se expusieron 600 registros y el Lahey Hospital & Medical Center llegó a un acuerdo por 850.000 dólares. Se podría argumentar que la OCR está enviando un mensaje sobre la inclusión de dispositivos y sistemas bajo el paraguas de cumplimiento de la HIPAA.

El mercado se amplía

The IoT industry is set to explode across several verticals. According to IoT Analytics, the Global IoT market grew over 22% in 2021, and it is projected to keep increasing at that same compound annual growth rate through 2027. 

Hay muchos problemas de crecimiento en esta industria relativamente nueva, y las empresas no están seguras de quién está a cargo de qué cuando se trata de seguridad. La mejor postura de seguridad se alcanzará cuando los responsables de diseño, operaciones y seguridad reconozcan que todos tienen algo que decir en la seguridad de los dispositivos de IoT . Los mejores productos de IoT serán creados por fabricantes que incorporen consideraciones de seguridad y cumplimiento de normativas en el diseño de los dispositivos desde el principio.

If you want to dive deeper into the principles of how to secure the Internet of Things, check out our whitepaper Five Guiding Tenets for IoT Security.