Evaluando el alcance de las recientes regulaciones de seguridad IoT

Gobiernos de todo el mundo han acelerado la acción regulatoria para reforzar la seguridad IoT, señalando un mercado en maduración. Sin embargo, gobernar el panorama IoT es complejo. Cada legislación varía, y su efectividad guiará la política futura. Como explica Ken Munro, socio de Pen Test Partners, la verdadera medida radica en qué tan bien se adoptan estas reglas, dónde tienen éxito y dónde fallan.

1. Ley de Mejora de Ciberseguridad IoT de 2017 (EE. UU.)
   Diseñada para asegurar dispositivos usados por agencias federales de EE. UU., la Ley exige que los dispositivos no contengan vulnerabilidades conocidas listadas en la base de datos NIST, soporten actualizaciones over-the-air, usen credenciales fijas o hard-coded para administración remota, y divulguen y remedien vulnerabilidades rápidamente. Sin embargo, el enfoque en entradas NIST puede pasar por alto fallos comunes como inyección SQL en apps orientadas al cliente. Tampoco contempla protocolos RF que operan sin credenciales, obligando a rediseñar esos dispositivos. La Ley no se ha promulgado aún; otros proyectos —Smart IoT Act, DIGIT Act, Security IoT Act, Cyber Shield Act, IoT Consumer TIPS Act— están en consideración.
2. Ley de Ciberseguridad (UE)
   Vigente desde mayo de 2018, esta legislación designa a ENISA como autoridad de ciberseguridad de la UE y establece un marco voluntario de certificación para coches conectados y productos inteligentes en todos los estados miembros. La Ley aplica solo a Infraestructura Nacional Crítica. Los fabricantes pueden buscar clasificación como 'básica', 'sustancial' o 'alta'. Dispositivos en nivel 'básico' pueden realizar sus propias pruebas de conformidad, mientras ENISA puede emitir advertencias para mejorar la seguridad. No se especifican mecanismos de ejecución, y el requisito de actualizaciones o divulgación obligatoria de vulnerabilidades sigue siendo opcional. La Ley permite denuncias y divulgación responsable en toda la unión.
3. SB-327 (California, EE. UU.)
   Aprobada en agosto de 2018, California fue el primer estado de EE. UU. en regular tecnología inteligente. La ley impone estándares básicos de seguridad para dispositivos de consumo, con vigencia desde enero de 2020. Sin embargo, el lenguaje —"seguridad apropiada diseñada para proteger"— es vago, permitiendo a fabricantes alegar intención sin salvaguardas sustantivas. Exige contraseñas únicas pero no aborda fuentes de entropía. Los minoristas están exentos, arriesgando un mercado inundado de dispositivos no conformes antes de la entrada en vigor. No incluye requisito de soporte de actualizaciones.
4. Código de Práctica para Seguridad IoT de Consumo (Reino Unido)
   Emitido por Digital, Culture, Media and Sport (DCMS) e incorporando GDPR, este código voluntario da directrices a fabricantes, desarrolladores de apps, proveedores de servicios y minoristas. Prohíbe contraseñas por defecto, exige almacenamiento seguro de credenciales y datos sensibles, y fomenta actualizaciones de software. Aunque recomienda una política de divulgación de vulnerabilidades, no obliga a proveedores a emitir correcciones. No obstante, marca un paso positivo significativo hacia la seguridad IoT de consumo.

El enfoque prevalente se inclina hacia la regulación suave, planteando la cuestión del cumplimiento voluntario. Los proveedores IoT enfrentan intensa presión de mercado; la adhesión voluntaria necesitaría ventajas claras o repercusiones. La presión impulsada por el mercado podría ejercerse otorgando a consumidores el derecho a devolver productos inteligentes vulnerables por crédito bajo normas comerciales, incentivando a minoristas a almacenar solo dispositivos conformes, y motivando a fabricantes a unirse a esquemas de clasificación y someter productos a pruebas.

Es demasiado pronto para medir el impacto de la autorregulación. Permitir que la legislación asiente y la industria se adapte clarificará si medidas punitivas adicionales son necesarias.

Ken Munro, socio de Pen Test Partners, informa regularmente a departamentos gubernamentales de Reino Unido y EE. UU. y participa en varios consejos de consumidores de la UE sobre regulación IoT.