Garantizar la seguridad cibernética y la privacidad en la adopción de IoT

El Internet de las cosas todavía está en sus inicios, pero a medida que los dispositivos se conectan cada vez más en red, las implicaciones de seguridad comienzan a causar dolores de cabeza a las empresas. A diferencia de los consumidores, las empresas "pirateadas" se traducen de forma mucho más inmediata en daños a la reputación, pérdida de ingresos o incluso reclamaciones de indemnización.

El mayor riesgo para la seguridad en línea de una empresa proviene de los empleados, dice Jack Warner, experto en ciberseguridad en TechWarn . El personal mal capacitado o la falta de políticas de TI claras fomentan un comportamiento imprudente y un manejo descuidado de los datos confidenciales. Es posible que los empleados no estén al tanto de las características y los riesgos de un dispositivo, o que tengan la mentalidad reacia a la seguridad para notar fugas potencialmente dañinas.

Más que nunca antes, es importante para las corporaciones que todo el equipo de oficina sea revisado por un equipo de ingenieros preocupados por la seguridad. Deben existir políticas claras sobre qué datos pueden recopilar los dispositivos y reglas a las que deben adherirse los datos. Esta política debe aplicarse por igual a los datos recopilados por los dispositivos que pertenecen e implementados por la empresa, así como a los que pertenecen a los empleados.

Estudio de caso:datos de aplicaciones de fitness

En noviembre de 2017, la aplicación de fitness Strava publicado datos recopilados por sus usuarios. A pesar de que los datos ya estaban anonimizados, todavía llamaron la atención cuando los analistas descubrieron que los datos revelaban la ubicación de bases militares secretas, ya que los soldados usaban sus dispositivos de fitness IoT mientras trotaban por la base, patrullaban o se ejercitaban.

Las rutas de entrenamiento delinearon el tamaño y la ubicación de las bases, dieron una estimación de cuántos soldados están estacionados allí e incluso cuál podría ser la frecuencia aproximada de patrulla. La filtración de datos de Strava representa un riesgo de seguridad masivo para la operación de las fuerzas estadounidenses y es totalmente autoinfligida.

Información como esta también puede dañar fácilmente a una organización comercial. Las ubicaciones de prueba, las ubicaciones de exploración o las rutinas de entrega pueden ser propiedad intelectual bien protegida de una organización.

Hay muchos otros dispositivos de IoT que los empleados pueden usar casualmente y que revelan datos confidenciales. Los teléfonos del personal pueden registrar su ubicación y también pueden usarse para tomar fotografías. Los empleados pueden compartir inadvertidamente su ubicación a través de las redes sociales o usar una aplicación de escáner inteligente en su teléfono para convertir datos confidenciales a PDF. Las contraseñas se pueden pegar en la carpeta de borradores de las cuentas de correo electrónico personales, o la información del cliente puede llegar a la lista de contactos personales de un empleado, desde donde se carga en varias aplicaciones.

Dispositivos en red en oficinas

Cuando la seguridad de la información no se tiene en cuenta desde el principio, la oficina típica puede estar ya llena de dispositivos que no respetan la privacidad y crean fugas de seguridad. Por ejemplo, una impresora puede retener documentos impresos durante mucho tiempo (o incluso cargarlos en línea) y los purificadores de aire pueden poner los datos recopilados a disposición de un servidor central.

Incluso sistemas como termostatos, lámparas o cerraduras de puertas a menudo vienen con capacidades de red y pueden compartir sus datos con anunciantes o al menos con un servicio de nube central. Como mínimo, esto abre oportunidades para que intrusos o competidores obtengan acceso a los secretos de la empresa.

Redes e intranets de la empresa

Si bien nos hemos vuelto más sensibles a la información pública, las bases de datos internas y las redes de organizaciones todavía se consideran "seguras" con demasiada frecuencia. A menudo, es aquí donde los piratas informáticos tienen rienda suelta y, una vez dentro de la red, pueden aprovechar su posición privilegiada para conectarse a bases de datos, infectar computadoras con virus o sabotear equipos críticos.

Los enrutadores se encuentran entre los equipos más olvidados en las redes de oficinas. Si bien los dispositivos de los empleados reciben actualizaciones automáticas periódicas y los servidores son motivo de gran preocupación, los enrutadores rara vez se inspeccionan y no reciben actualizaciones. Sin embargo, todo el tráfico de la empresa pasará a través de ellos, y cualquiera que tenga el control del enrutador puede interceptar, malformar, inyectar o alterar cualquier dato enviado a Internet y otros dispositivos internos.

No es difícil conseguir un buen enrutador VPN, pero las diferencias de precio entre los modelos pueden ser inmensas y su beneficio no es obvio para el comprador y el operador.

Confianza en proveedores de alojamiento de terceros

La mayor amenaza para las necesidades de privacidad de una organización se ha convertido en el uso generalizado de servicios alojados, incluido el correo electrónico, el chat y la administración de archivos.

Si bien hace unos años todavía habría sido relativamente común que al menos las grandes organizaciones administraran sus propios servidores de correo electrónico y almacenaran documentos en servidores internos, hoy en día son casi exclusivamente proveedores de nube de terceros. Correos electrónicos, chats, documentos, código de software:casi no queda nada dentro de las oficinas de muchas empresas.

Una lucha eterna

La forma en que se desarrollan los servicios de Internet y los dispositivos de Internet de las cosas es muy contraria a las necesidades de privacidad y seguridad de las corporaciones. Hasta el momento, hay pocos rechazos o demanda de servicios más preocupados por la seguridad.

La estrategia más sostenible para las empresas puede ser limitar la cantidad de información que recopilan de sus clientes y alojar esta información junto con su propiedad intelectual en una infraestructura física autosuficiente internamente.

El autor de este blog es Jack Warner, experto en ciberseguridad de TechWarn

Sobre el autor

Jack es un experto en ciberseguridad con años de experiencia en su haber en TechWarn, una agencia digital confiable para empresas de ciberseguridad de clase mundial. Jack, un apasionado defensor de la seguridad digital, colabora con frecuencia en blogs de tecnología y medios digitales para compartir información experta sobre temas como la denuncia de irregularidades y las herramientas de ciberseguridad.