Mitigar los riesgos cibernéticos de IoT y encontrar soluciones

La última década ha sido testigo de un desarrollo sin precedentes del panorama de Internet de las cosas (IoT), habilitado por las nuevas tecnologías de redes distribuidas. McKinsey estima que para 2025, el mundo tendrá 50 mil millones de dispositivos en red, un 400% más que en 2010, y contribuirá con 11 billones de dólares (10 billones de euros) a las economías.

Si bien esta proliferación de dispositivos de IoT en los últimos años ha creado oportunidades interesantes para empresas, gobiernos y consumidores individuales, ha creado nuevos riesgos que requieren mitigación. Con un desarrollo e implementación tan rápidos de tecnologías de IoT, las amenazas y los ataques son una clara preocupación para las personas y las organizaciones a nivel mundial.

Andrea Gaglione, experta en IoT y líder de tecnología en Brit Insurance , examina los riesgos potenciales de IoT y su colega , El suscriptor cibernético Ben Maidment identifica los pasos que los usuarios, desarrolladores y aseguradoras pueden tomar para protegerse de estos.

¿Cuáles son los riesgos?

Fundamentalmente, la comprensión de los riesgos y las posibles vulnerabilidades cibernéticas asociadas con IoT aún está evolucionando, y para implementar medidas y soluciones de mitigación, estos riesgos potenciales deben identificarse. Desafortunadamente, en muchos casos, es cada vez más evidente que estos puntos débiles solo se identifican después de que se ha producido una infracción o un ciberataque.

• Pérdida de datos

La seguridad y las amenazas cibernéticas crecen exponencialmente según el tamaño de la "superficie de ataque" potencial y los puntos de entrada de la red, algo a lo que los sistemas de IoT son particularmente susceptibles. Los datos recientes muestran que 26,66 mil millones de dispositivos de IoT estaban activos en 2019 y 127 nuevos dispositivos se están conectando a Internet por segundo.

A medida que esto aumenta, el desafío clave es la administración y protección de todos los datos que los dispositivos de IoT capturan, usan y transmiten, especialmente a la luz de las recientes violaciones de datos de alto perfil y las multas punitivas asociadas con la regulación GDPR (Reglas generales de protección de datos). . Una preocupación principal, como ocurre con la mayoría de los riesgos cibernéticos, es la pérdida o el compromiso de los datos, especialmente los datos personales y de los clientes. Ejemplos de dispositivos de IoT que recopilan grandes cantidades de datos personales que pueden ser particularmente vulnerables incluyen dispositivos portátiles inteligentes que monitorean, recopilan y transmiten datos de salud.

• Interrupción e interrupción del negocio

A medida que las cadenas de suministro y los procesos comerciales se vuelven más dependientes de los dispositivos en red para lograr una mayor eficiencia, las empresas corren un mayor riesgo de ataque. Una interrupción significativa del negocio, debido a que los dispositivos se desconectan a causa de un hack, puede resultar en una pérdida significativa de ingresos a corto plazo, así como de reputación y confianza a largo plazo.

Además de aprovechar la vulnerabilidad del dispositivo IoT para ingresar a una red, los malos actores también pueden utilizar una serie de dispositivos IoT no seguros para desviar datos y lanzar ataques de denegación de servicio distribuido (DDoS). En 2016, los malhechores pusieron en peligro a más de 25.000 grabadoras de vídeo digitales y cámaras CCTV, desviando sus datos para lanzar un ataque DDoS que derribó los servidores de Dyn . , un importante proveedor de DNS de EE. UU., que provocó cortes de Internet en EE. UU. y Europa, lo que provocó la caída de sitios web de alto perfil como Twitter, Netflix, GitHub y Reddit .

• Ciber físico

Finalmente, un riesgo emergente de IoT (y de hecho, cibernético en términos más generales) es el del ciberfísico, por el cual un ciberataque puede resultar en daño físico. Esto puede abarcar desde dispositivos médicos en red, como marcapasos, hasta automóviles autónomos o costosos procesos industriales. Un pirateo malicioso de estos dispositivos, tomando el control de estas actividades, podría ocasionar daños físicos costosos y potencialmente o poner en peligro la vida. Por ejemplo, el año pasado, la Administración de Drogas y Alimentos de EE. UU. emitió una alerta de advertencia de que algunas bombas de insulina son vulnerables a los piratas informáticos, que podrían acceder de forma remota y potencialmente cambiar la configuración de la bomba.

¿Cómo podemos mitigar el riesgo?

• Seguridad y privacidad por diseño

Hasta ahora, los fabricantes de IoT han percibido un compromiso entre la velocidad de llevar un producto al mercado y la solidez y seguridad del sistema. Como hemos visto con la primera ola de IoT, la seguridad no se consideró un requisito prioritario; sin embargo, hemos visto un enfoque creciente en la privacidad luego de violaciones de datos de alto perfil y nuevas regulaciones de datos.

En nuestra opinión, la seguridad debe ser primordial en el diseño de nuevos dispositivos de IoT, y se deben implementar medidas continuas para mantener y mejorar la seguridad de los dispositivos nuevos y existentes.

• Mejores prácticas de seguridad cibernética

Los propios usuarios, ya sean personas, empresas o el sector público, tienen la responsabilidad de adoptar las mejores prácticas en lo que respecta a los peligros cibernéticos, y la concienciación y la educación son fundamentales. Las organizaciones deben equilibrar el deseo de conectividad y eficiencia que ofrecen las tecnologías de IoT, con los riesgos que genera dicha conectividad, particularmente dada la falta de énfasis en la seguridad en el desarrollo de tales productos.

De la misma manera que administrarían un sistema operativo tradicional, las personas deben desempeñar un papel activo en la configuración de la política de la empresa sobre IoT y ser responsables y estar al día sobre las amenazas que enfrentan sus negocios. Muchas de estas medidas se han convertido en una segunda naturaleza en la TI tradicional, pero se están adoptando y considerando lentamente al considerar los dispositivos de IoT.

Los pasos simples que los usuarios pueden tomar para reducir el riesgo (y limitar la responsabilidad en caso de un incidente cibernético) incluyen:usar contraseñas sólidas y claves de seguridad, actualizadas regularmente; monitorear dispositivos y sistemas para detectar y responder a eventos de seguridad, y; actualización continua de la seguridad de los dispositivos con la descarga de parches de software de los fabricantes.

¿Qué soluciones ofrece el seguro?

Las aseguradoras tienen un papel crucial en la mitigación de estos riesgos al educar a las empresas para que minimicen los riesgos y brinden apoyo financiero y de otro tipo en caso de que los dispositivos de IoT se vean comprometidos y provoquen la interrupción del negocio, daños físicos o el robo de datos.

Las pólizas de seguro cibernético pueden cubrir los costos financieros y de reputación propios y de terceros si los datos o los sistemas han sido robados, dañados o comprometidos. La cobertura de primera parte incluye el costo de investigar y recuperarse de un delito cibernético, desde la pérdida de ingresos incurrida por la interrupción del negocio, la rehabilitación y gestión de la reputación hasta los pagos de extorsión pagados a los piratas informáticos. La cobertura de terceros incluye daños y liquidaciones, y el costo de defenderse legalmente contra las multas resultantes de una infracción.

Las mejores formas de seguro cibernético no son solo un producto, sino un servicio que ayuda a que las empresas avancen en el camino hacia el cumplimiento normativo y minimizan su exposición al riesgo. Un número cada vez mayor de aseguradoras, incluida Brit, ofrece una serie de servicios previos a incidentes cibernéticos como parte de sus políticas:los clientes pueden tener acceso a portales en línea que incluyen procedimientos y planes que se pueden implementar para reducir los riesgos, material de planificación de respuesta a incidentes y verificación. listas de preparación.

Los autores son Andrea Gaglione, líder de tecnología y Ben Maidment, suscriptor de clase cibernética en Brit Insurance.