Seguridad IoT — ¿Quién tiene la responsabilidad?

Muchos aún ven a las personas como el eslabón más débil en seguridad, pero la realidad es que todo un ecosistema puede ser vulnerable. IoT, con su automatización casi completa, a menudo se asume erróneamente que es seguro. Esa suposición es peligrosa: nada en el ciberespacio es intrínsecamente seguro.

Los dispositivos IoT son un imán para cibercriminales, y el panorama de amenazas se expande un 15% interanual hasta unas 20.000 millones de unidades, según IHS Markit. Como contexto, las suscripciones móviles globales superan los 4.900 millones según GSMA. La escala pura de IoT eclipsa con creces las conexiones móviles P2P, amplificando su potencial de brecha, señala Sanjay Khatri, director global de marketing de producto en Cisco IoT.

La cadena de valor es larga y compleja —cada eslabón es esencial pero interdependiente, y cada uno representa una vulnerabilidad potencial. Ningún proveedor único puede abordar cada brecha, así que la seguridad IoT realmente requiere un pueblo.

Construyendo el pueblo de seguridad IoT

Los fabricantes de dispositivos —a menudo especialistas en módulos de comunicación o sensores— son el eslabón más visible. No son necesariamente los fabricantes de las "cosas" en sí, pero habilitan la conectividad. Asignar responsabilidad es crítico: la parte con control técnico puede diferir de lo que usuarios finales perciben como responsable. Finalmente, la empresa que da cara al usuario final lleva la responsabilidad, ya que enfrenta las consecuencias si ocurre una brecha.

Los proveedores de hardware pueden ser vistos como responsables, pero el software es frecuentemente el punto débil. Los desarrolladores deben incrustar controles de autenticación estrictos, y el software IoT debe incorporar mecanismos de detección y prevención de fraude para proteger tanto dispositivo como datos.

Las vulnerabilidades a nivel de red surgen dondequiera que los dispositivos alcancen Internet —vía celular, Wi-Fi, Bluetooth, LPWAN o satélite. El celular ya ofrece una base de seguridad con estándares globales, claves de cifrado y encriptación basada en SIM, y puede segregar tráfico de dispositivos en redes privadas. Otros protocolos inalámbricos requieren salvaguardas adicionales.

Los proveedores de plataformas en la nube —como IBM, Microsoft y Salesforce— juegan un papel crucial. Aseguran datos almacenados en la nube y gestionan, monitorizan y protegen la conectividad de dispositivos.

Asegurando el dispositivo

El riesgo varía con el caso de uso. Proteger dispositivos exige capas: autenticación, control de acceso de usuario y aplicación, gestión de ciclo de vida, y cifrado de datos. Los trade-offs coste-beneficio se vuelven pronunciados al desplegar miles de unidades, y los niveles de sensibilidad de datos difieren. Saber qué dispositivos están en uso y qué datos recopilan es el primer paso hacia una estrategia de seguridad a medida.

Protección de red y datos

Cuando los dispositivos actúan como pasarelas, la red se convierte en la autopista que lleva datos a servicios en la nube. Proteger este canal es tan vital como asegurar los endpoints, porque cada capa de red introduce puntos de entrada para atacantes. La elección de conectividad inalámbrica (Wi-Fi, celular) o cableada dicta los protocolos de seguridad requeridos. Cifrad datos en tránsito, aisládlos en redes privadas, y exigid autenticación de red para verificar y autorizar dispositivos y aplicaciones.

Cobertura en la nube

El núcleo de IoT depende de enlaces seguros a la nube, así que una seguridad robusta en la nube es no negociable. Las organizaciones deberían combinar controles digitales con salvaguardas físicas y adherirse a estándares como ISO/IEC 27001 para formar una base sólida de seguridad de la información.

Más allá del entorno, controles granulares —acceso basado en roles y detección de anomalías— son esenciales para aplicaciones IoT. Gestión de identidad y listas de control de acceso deben conceder a las personas correctas los permisos correctos, mientras que la detección de anomalías permite a la plataforma detectar comportamiento sospechoso y automatizar remediación.

La lista de verificación de seguridad IoT

El crecimiento de IoT es masivo, y con la oportunidad viene el riesgo. Un enfoque holístico, estilo pueblo, es esencial, aunque desafiante. Para afinar vuestra estrategia, centrad en:

• Identificación y autenticación de extremo a extremo para cada entidad en el servicio IoT (pasarelas, dispositivos endpoint, redes domésticas, redes de roaming, plataformas de servicio).
• Cifrado de todos los datos de usuario intercambiados entre dispositivos y servidores backend.
• Cumplimiento con legislación local de privacidad y protección de datos al manejar datos personales o regulados.
• Despliegue de una plataforma de gestión de conectividad IoT con políticas de seguridad basadas en reglas que disparen acción instantánea ante comportamiento anómalo.
• Una postura de seguridad holística a nivel de red.

El autor de este blog es Sanjay Khatri, director global de marketing de producto, Cisco IoT.