Ley de Seguridad IoT en EE. UU. Establece Nuevos Estándares y Requisitos de Responsabilidad

Muchos equipos IoT aún tratan la seguridad como un complemento de baja prioridad, citando coste y esfuerzo. Los compradores rara vez exigen gasto extra para ciberseguridad más fuerte, y muchos productos carecen de tales características. Sin embargo, los legisladores están comenzando a hacer de la seguridad robusta un requisito legal para dispositivos IoT de consumo.

Hablando en la IoT Security Summit de IoT World Today, la gestora de programa de NIST Katerina Megas destacó que varios estados ya tienen leyes que exigen que dispositivos conectados incluyan «características de seguridad razonables». En enero de 2020, California y Oregón promulgaron tales estatutos, e Illinois, Massachusetts, Nueva York y Virginia tienen proyectos de ley similares pendientes o en consideración.

A nivel federal, la Cámara introdujo H.R. 1668 – la Ley de Mejora de Ciberseguridad de Internet de las Cosas de 2020 – en marzo. El proyecto de ley ordena la creación de «estándares y guías para el Gobierno Federal sobre el uso y gestión apropiados de dispositivos Internet de las Cosas propiedad o controlados por una agencia», incluyendo requisitos mínimos de seguridad de la información. La legislación pasó ambas cámaras y fue firmada como ley el 4 de diciembre; los estándares y guías requeridos deben publicarse dentro de 90 días.

Leyes que exigen que características de seguridad se implementen en dispositivos IoT están comenzando a promulgarse.

Aunque H.R. 1668 aplica solo a dispositivos usados por el gobierno de EE. UU., señala el inicio de mandatos de ciberseguridad más amplios que eventualmente cubrirán sistemas industriales y de consumo a nivel nacional. En 2019, el Congreso estableció la Comisión Cyberspace Solarium, cuyo primer informe contenía más de 80 recomendaciones, incluyendo 50+ propuestas legislativas para apoyar una estrategia de defensa en capas. Muchas de esas propuestas impactan tanto despliegues IoT gubernamentales como comerciales.

Tres propuestas merecen atención particular de desarrolladores IoT:

• Una ley federal de seguridad IoT que exija «medidas de seguridad razonables» alineadas con guías NIST como NISTIR 8259 – Actividades Fundacionales de Ciberseguridad para Fabricantes de Dispositivos IoT.
• La creación de una Autoridad Nacional de Certificación y Etiquetado de Ciberseguridad para verificar cumplimiento de dispositivos, extendiéndose más allá de sistemas federales e industriales a electrónica personal y de consumo.
• Un marco de responsabilidad que haga a los ensambladores finales responsables por daños si sus dispositivos no defienden contra vulnerabilidades conocidas, haciendo de la seguridad robusta un «must-have» legal independientemente de la disposición del consumidor a pagar extra.

El término «características de seguridad razonables» permanece ampliamente definido. En California y Oregón, «razonable» simplemente requiere medidas que coincidan con la función del dispositivo y los datos que procesa, apuntando a prevenir acceso no autorizado, divulgación, uso, modificación o destrucción. Controles específicos no se prescriben.

Siguiendo la filosofía basada en resultados de NIST, estas leyes evitan prescribir soluciones técnicas exactas. En su lugar, exigen una postura de seguridad alineada con el propósito y perfil de amenazas del dispositivo, dejando la elección de salvaguardas a los equipos de desarrollo. A medida que el panorama legal evoluciona, la implementación de seguridad IoT pasará de buena práctica a cumplimiento obligatorio.

>> Este artículo se publicó originalmente en nuestro sitio hermano, EDN.