ETSI EN 303 645: ¿Protegen adecuadamente los reguladores los dispositivos IoT?

En junio de 2020, el Comité Técnico de ETSI publicó la EN 303 645, una línea base de seguridad integral para dispositivos de Internet de las Cosas, recibiendo elogios en la comunidad de seguridad de la información.

Alan Grau, vicepresidente de IoT y soluciones embebidas en Sectigo, informa.

El estándar sigue una tendencia creciente de legisladores y reguladores que reconocen la necesidad urgente de proteger dispositivos conectados. La SB-327 de California, efectiva desde enero de 2020, y el marco «Código de práctica preliminar: Asegurar el Internet de las Cosas para consumidores» de Australia de 2019 ejemplifican a gobiernos tomando medidas decisivas.

Cuando el Reino Unido anunció su propio marco IoT en enero de 2020, subrayó las deficiencias persistentes en la seguridad de dispositivos y la disposición de los reguladores para abordarlas.

Sin embargo, la pregunta persiste: ¿son estas leyes y estándares suficientes para salvaguardar los miles de millones de dispositivos IoT que pueblan nuestros hogares y empresas?

Cómo la legislación moldea la seguridad IoT

Históricamente, los dispositivos IoT operaban detrás de redes propietarias aisladas protegidas por un perímetro claro. La expansión de Internet vinculó estos sistemas sobre TCP/IP, creando beneficios de integración sin precedentes para consumidores y empresas. IDC pronostica 41.600 millones de dispositivos conectados para 2025 —un crecimiento que supera la evolución regulatoria.

La alineación regulatoria ha ido rezagada respecto a esta rápida expansión. En la búsqueda de productos rentables y de alto volumen, muchos fabricantes priorizan la velocidad de comercialización sobre una autenticación y seguridad robustas, dejando dispositivos vulnerables.

Sin un marco IoT vinculante, los fabricantes han producido dispositivos con seguridad mínima integrada, a menudo confiando en credenciales estáticas que ofrecen poca protección contra atacantes. Hasta que la seguridad sea obligatoria, seguirán recortando esquinas. Una legislación y gobernanza robustas son esenciales para integrar la seguridad por diseño, desde la fabricación hasta el ciclo de vida del dispositivo.

Avances y brechas

Pasos progresivos, como la SB-327 de California, establecen un marco claro para herramientas de seguridad y autenticación de próxima generación, dirigidas a botnets que expusieron las deficiencias de prácticas anteriores. Sin embargo, la ley solo se aplica a California y carece de aplicabilidad nacional.

La ETSI EN 303 645, desarrollada mediante colaboración entre industria, academia y gobiernos, ofrece un objetivo unificado para las partes interesadas. Sin embargo, al igual que la SB-327, no es legalmente vinculante, permitiendo que algunos fabricantes adopten prácticas de seguridad laxas porque es más barato o porque no enfrentan enforcement.

Para asegurar verdaderamente el IoT, estándares visionarios deben combinarse con una agenda legislativa que obligue a un marco de ciberseguridad para el desarrollo de dispositivos.

Por qué la seguridad integrada importa

Las mejores prácticas actuales enfatizan que la seguridad debe incorporarse en la puerta de fábrica. Con cadenas de suministro cada vez más complejas, los OEM deben garantizar que cada dispositivo sea seguro desde el momento en que sale de la fundición. La Infraestructura de Clave Pública (PKI) integrada garantiza que las credenciales no puedan manipularse durante el ensamblaje posterior, preservando la integridad durante todo el ciclo de vida.

Cadenas de suministro globales —el caso para estándares mundiales

El alcance global del IoT significa que los dispositivos se diseñan, fabrican y ensamblan a través de múltiples fronteras, amplificando el riesgo de brechas de seguridad. Se necesita un esfuerzo legislativo coordinado para proteger dispositivos en cada etapa, salvaguardando propiedad, vida y datos.

El autor es Alan Grau, vicepresidente de IoT y Soluciones Embebidas en Sectigo.