Regulación de seguridad IoT en Reino Unido: Los consumidores podrán exigir dispositivos conectados más seguros

El gobierno del Reino Unido está impulsando un marco regulatorio integral para dispositivos de Internet de las Cosas (IoT), alineándose con un empuje mundial para asegurar el ecosistema IoT en rápida expansión, según Mike Nelson, vicepresidente de Seguridad IoT en DigiCert.

Durante años, los productos IoT han llegado al mercado con vulnerabilidades críticas, permitiendo nuevos vectores de amenaza —desde coches hackeables hasta muñecas que funcionan como herramientas de vigilancia remota— junto con incidentes a gran escala como la botnet Mirai que puso en riesgo la infraestructura central de internet. Estos riesgos impulsaron la respuesta regulatoria del Reino Unido.

Las nuevas regulaciones se basan en el Código de Práctica de 2018, "Seguro por Diseño", que ya ofrecía a fabricantes y consumidores un conjunto de directrices de mejores prácticas. Estas incluyen almacenamiento seguro de credenciales, superficies de ataque minimizadas, integridad y actualizaciones de software continuas, y comunicaciones cifradas.

Aunque el Código de 2018 pretendía ser voluntario, el gobierno ha pasado ahora a hacer obligatorias las disposiciones clave. Los reguladores harán cumplir al menos tres requisitos fundamentales.

Tres directrices

En primer lugar, las contraseñas IoT deben ser únicas y no poder restablecerse a un valor predeterminado de fábrica, eliminando el riesgo de que los atacantes exploten credenciales por defecto.

En segundo lugar, los fabricantes deben publicar un contacto público para la divulgación de vulnerabilidades, permitiendo la notificación y corrección rápida de fallos de seguridad.

En tercer lugar, los fabricantes de dispositivos deben revelar la duración mínima durante la cual se proporcionarán actualizaciones de seguridad, dando a los consumidores un horizonte claro para la retirada o medidas de seguridad adicionales.

Los dispositivos que cumplan estos criterios podrán exhibir un sello de seguridad aprobado por el gobierno, señalando confianza a los consumidores.

La seguridad IoT pasa a manos de los consumidores

Históricamente, los fabricantes —y a veces los equipos de seguridad empresariales— asumían la responsabilidad de la seguridad del dispositivo. La certificación "Seguro por Diseño" traslada esa toma de decisiones al usuario final, permitiendo a los compradores evaluar el riesgo antes de integrar un dispositivo en una red protegida.

Cuando los consumidores consideran la seguridad en sus decisiones de compra, los fabricantes se ven obligados a innovar en lugar de recortar costes. Históricamente, la inseguridad era más barata; ahora, la seguridad puede convertirse en un diferenciador de mercado.

El cálculo se ha hecho demasiado tarde durante demasiado tiempo. Hasta ahora, faltaban incentivos —tanto zanahoria como palo— para los fabricantes. Aunque la nueva regulación no eliminará todas las vulnerabilidades, proporciona un marco constructivo que premia el diseño proactivo de seguridad.

El autor es Mike Nelson, VP de Seguridad IoT, DigiCert

Sobre el autor

Mike Nelson es el VP de Seguridad IoT en DigiCert, proveedor global de seguridad digital. En este rol, Mike supervisa el desarrollo estratégico de mercado de la empresa para industrias de infraestructura crítica, asegurando redes altamente sensibles y dispositivos IoT en sanidad, transporte, operaciones industriales e implementaciones de redes inteligentes y ciudades inteligentes. Mike consulta frecuentemente con organizaciones, contribuye a informes de medios, participa en organismos de estándares de la industria y habla en conferencias sobre cómo la tecnología puede mejorar la ciberseguridad para sistemas críticos y las personas que dependen de ellos.

Mike ha desarrollado su carrera en TI sanitaria, incluyendo etapas en el Departamento de Salud y Servicios Humanos de EE. UU., GE Healthcare y Leavitt Partners —una firma boutique de consultoría sanitaria. Su pasión por la industria surge de su experiencia personal como diabético tipo 1 y su uso de tecnología conectada en su tratamiento.