Por qué la seguridad por diseño es crucial cuando la crisis fuerza una transformación digital rápida

«Si no planificas, estás planeando fallar.» —Proverbio moderno

Con la pandemia de COVID-19 dominando titulares, menos voces han examinado su impacto duradero en la adopción tecnológica. La crisis probablemente cimentará un cambio sostenido hacia la automatización y la gestión remota de activos —abarcando maquinaria industrial, sistemas HVAC y cadenas de suministro— y acelerará el auge de la atención virtual y telemedicina en salud.

A principios de marzo, cuando la Organización Mundial de la Salud declaró COVID-19 pandemia, las empresas comenzaron a repensar procesos centrales. El cambio más visible ha sido un aumento dramático en el uso de herramientas de colaboración como Slack y Microsoft Teams, según Chris Kocher, director gerente en Grey Heron. Las plataformas de teleconferencia y telemedicina —Teladoc, por ejemplo— también han visto adopción rápida.

IoT World es el mayor evento IoT de Norteamérica donde estrategas, tecnólogos e implementadores se conectan, poniendo IoT, IA, 5G y edge en acción en verticales industriales. Reserve su entrada ahora.

Para muchas organizaciones, el acceso remoto a sistemas de control industrial (ICS) ha aumentado tras un declive previo. Datos de Shodan muestran casi 50.000 dispositivos IoT basados en EE. UU. que ahora exponen una huella en línea, y el uso de Protocolo de Escritorio Remoto ha aumentado a pesar de preocupaciones de seguridad pasadas.

«El monitoreo remoto de nivel básico era suficiente cuando el personal podía inspeccionar máquinas in situ», dice Yasser Khan, CEO de One Tech. «Hoy, con equipos reducidos, los gerentes de planta exigen una visión más profunda y en tiempo real de la salud de los equipos —así que la automatización ya no es opcional».

Las estrategias de recuperación ante desastres también están evolucionando. Nitin Kumar, CEO de Appnomic, explica que las respuestas tradicionales de «modo manual» fallan cuando una pandemia corta la capacidad del sistema. «Necesitas más automatización, no más gente», señala, sugiriendo que las organizaciones dispuestas a invertir en automatización fortalecerán planes de continuidad.

Bruce Schneier advirtió famosamente en 2016 que «la intervención humana es cada vez más innecesaria» y que «Internet ahora percibe, piensa y actúa». A medida que la automatización se propaga, las implicaciones de seguridad de un ecosistema IoT globalmente conectado y semi-automatizado se vuelven más complejas.

Kate Stewart, directora senior de programas estratégicos en Linux Foundation, advierte que «cuanto más complejo un sistema, más cosas pueden salir mal». «Debemos entender fallos potenciales, mitigar daño y aumentar la confiabilidad del software», dice.

Seguro por diseño

Cuando la crisis fuerza cambios rápidos, los principios de seguro-por-diseño pueden marginarse. John Loveland de Verizon advierte que «adherirse a seguro-por-diseño es un desafío cuando todos se mueven rápido». Insta a que los equipos de seguridad estén integrados en cada decisión sobre nueva tecnología o procesos.

Bob Martin, co-presidente del Grupo de Trabajo de Confiabilidad de Software en el Consorcio Industrial de Internet, aconseja: «Incluya a las partes interesadas —líderes de negocio y operadores— en discusiones de seguridad desde el principio».

Andrew Jamieson, director de seguridad y tecnología en UL, subraya que la seguridad debe ser la base: «Si construyes una base correcta, no tendrás que reconstruir. De lo contrario, gastas mucho tiempo arreglando lo que se podría haber prevenido».

Frank Hißen, consultor de seguridad independiente, señala que «seguro-por-diseño rara vez encabeza la lista de prioridades durante un cambio rápido a trabajo remoto y automatización». Enfatiza que las tecnologías seguras deben aplicarse rápidamente para evitar brechas.

Dado que seguro-por-diseño involucra múltiples componentes de hardware y software, la integración puede ser compleja. Chris Catterton, director de ingeniería de soluciones en One Tech, advierte que «los proveedores que venden las 'piezas del rompecabezas' a menudo carecen de medidas de seguridad robustas». Expandir el acceso remoto en despliegues IoT exige seguridad de extremo a extremo, desde sistemas en la nube o on-premise accedidos vía VPN.

Encontrar y reencontrar el equilibrio de seguridad

Integrar seguridad en productos y procesos es esencial, pero ningún diseño puede prever cada amenaza futura. «No puedes tomar una decisión hoy que siga siendo válida para siempre», dice Jamieson.

Existe tensión entre agregar características y mantener seguridad. Stewart observa que aunque muchas apps de consumo toleran caídas, el software de código abierto usado en aplicaciones críticas debe ser confiable, ya que los fallos pueden dañar a personas.

La seguridad depende finalmente de resiliencia y agilidad. Jamieson argumenta que construir solo para resiliencia es insuficiente cuando surgen nuevas vulnerabilidades. «Necesitas la agilidad para parchear, actualizar o refactorizar sistemas rápidamente».

Integrar seguridad desde el inicio debe abrazar también resiliencia y agilidad. «Si diseñas sin seguridad, diseñas para el fallo», concluye.