Asegurando Trabajadores Remotos: Afrontando el Panorama de Amenazas IoT

Greg Day de Palo Alto Networks

Con las fronteras entre oficina y hogar difuminándose, dispositivos IoT corporativos y personales se solapan cada vez más —creando nuevos retos de ciberseguridad que demandan respuesta colectiva de empresas y trabajadores remotos por igual, explica Greg Day, VP y CSO EMEA en Palo Alto Networks.

IoT no empresarial inundando redes corporativas

El auge del trabajo remoto e híbrido ha causado que gadgets IoT de consumo se cuelen en redes corporativas con más frecuencia. Nuestro estudio de seguridad IoT de dos años, abarcando 18 países en EMEA, APAC y Américas, rastrea esta tendencia.

El estudio 2021 encontró que el 78% de líderes TI worldwide —cuyas organizaciones ya albergan dispositivos IoT— reportaron un aumento en conexiones IoT no empresariales vía trabajadores remotos en el último año. En EE. UU., la cifra sube al 84%.

Los dispositivos son diversos. Los gadgets IoT no empresariales más reportados son monitores médicos wearables, seguidos por bombillas inteligentes, equipamiento de gimnasio conectado, cafeteras, consolas de videojuegos e incluso comederos de mascotas. La tendencia refleja el boom simultáneo de kits smart-home y wearables de salud/fitness impulsados por hábitos WFH.

Fallos y Amenazas de Ciberseguridad

Aunque la variedad de dispositivos pueda parecer pintoresca, plantean una amenaza seria: un solo gadget vulnerable puede convertirse en vector de ataque. Muchos productos IoT de consumo carecen de seguridad robusta —a menudo costando bajo 100 $ (88,59 €)— y se construyen sin los rigurosos estándares de código de software empresarial, llevando a parches lentos y vulnerabilidades longevas.

Unit 42, la unidad de threat intelligence de Palo Alto Networks, ha documentado ataques que explotan vulnerabilidades IoT en home-office. En febrero 2021, una variante de Mirai atacó fallos de seguridad across muchos dispositivos de consumo. Más alarmantemente, evidencia reciente muestra grupos de ransomware desplegando la cepa eCh0raix para atacar dispositivos NAS de trabajadores remotos. La estrategia parece usar gadgets personales comprometidos como cabeza de playa para ataques de supply chain a grandes empresas, donde el potencial pago de rescate es sustancial.

El estudio confirma que IoT de consumo es un riesgo significativo para empresas. Globalmente, el 81% de líderes TI cuyas redes albergan dispositivos IoT citaron el cambio a trabajo remoto impulsado por pandemia como aumentando exposición a dispositivos inseguros. En el 78% de esos casos, el riesgo aumentado se manifestó como alza en incidentes de seguridad relacionados con IoT.

Con trabajo remoto y proliferación IoT destinados a persistir, la presión aumenta para fortalecer defensas IoT. Nuestra encuesta global reveló que el 96% de encuestados en 2021 —y 95% en 2020— sintieron que la estrategia de seguridad IoT de su organización necesitaba mejora, y el 25% abogó por una revisión completa.

Cómo los Trabajadores WFH Pueden Ayudar

La mitigación efectiva requiere una estrategia de tres niveles que comienza en casa.

Las organizaciones deben educar y mandatar a personal remoto a elevar higiene cibernética doméstica, empezando por configuración del router. Acciones clave incluyen actualizar ajustes por defecto, habilitar WPA3 Personal (o WPA2 Personal si no disponible), y auditar dispositivos conectados —deshabilitando los no usados.

Adicionalmente, trabajadores remotos sollten explotar la capacidad de micro-segmentación común en firmware de router para crear redes distintas —separando invitados y dispositivos IoT de tráfico corporativo.

La segmentación sigue siendo esencial tanto en entornos corporativos como domésticos. La encuesta muestra que el 51% de líderes TI con dispositivos IoT reportan separarlos en redes dedicadas distinctas de sistemas core de negocio como RRHH, email o finanzas. Yet uno de cada cinco líderes confiesa que sus dispositivos IoT comparten la misma red que aplicaciones críticas de negocio, y en UK este déficit alcanza uno de cada tres —indicando nula segmentación.

Finalmente, las empresas deberían abandonar el modelo hub-and-spoke que funnelea todo el tráfico a través de un único VPN. En el panorama de conectividad heterogéneo actual, un enfoque one-size-fits-all falla. Usuarios frecuentemente desactivan VPNs para acceder a servicios esenciales como videoconferencia. Seguridad edge-based, context-aware puede proveer protección sin fisuras sin disrumpir workflow, eliminando el incentivo para desactivar salvaguardas.

Aplicando Zero Trust

La protección IoT robusta también depende de controles internos que prevengan dispositivos rogue de unirse a la red corporativa.

Implementar políticas de acceso de menor privilegio asegura que solo dispositivos y usuarios verificados puedan conectar. Frameworks Zero-Trust ayudan a prevenir exposición de datos y salvaguardar continuidad de negocio verificando continuamente la confiabilidad de cada dispositivo.

Monitorización en tiempo real es esencial para seguridad IoT. Proporciona inventario actualizado —incluyendo dispositivos invisibles y olvidados— permitiendo a organizaciones aprovechar capacidades de firewall existentes para auto-recomendar y enforzar políticas basadas en riesgo. Una solución consolidada puede extender seguridad corporativa a trabajadores remotos, entregando gestión unificada de políticas y Secure Access Service Edge (SASE) para protección context-aware.

No Esperes una Solución Legal

Mientras regulaciones venideras buscan obligar a fabricantes a embeber seguridad más fuerte, leyes UE y UK permanecen nacientes y tomarán años en entrar en vigor. La responsabilidad de defensas IoT robustas recae finalmente en empleados y sus organizaciones.

Dado el papel central de IoT en trabajo y vida modernos, las organizaciones deben evolucionar de ciberseguridad reactiva a proactiva —incrustando higiene cibernética en todos los niveles, desde C-suite a cada empleado. Tal cultura fomenta inversión en prácticas preventivas que disuaden ataques y mitigan daño de dispositivos incluso aparentemente inofensivos.

—Greg Day, VP y CSO EMEA, Palo Alto Networks.