Garantizando la Seguridad Física: El Papel Crítico de la Ciberseguridad para la Tranquilidad

La era de los dispositivos conectados promete muchas cosas: al combinar datos digitales de sistemas analógicos previamente desconectados, podemos ofrecer nuevos insights e innovaciones para mejorar la eficiencia y seguridad en nuestros hogares y lugares de trabajo. La primera regla de la innovación, sin embargo, debe ser "no hacer daño", lo que en el caso de Internet de las Cosas (IoT) significa acertar con los fundamentos de ciberseguridad primero.

El impulso está cambiando rápidamente en los campos de videovigilancia y seguridad física. Mientras que el viaje a la nube había sido más lento que en otros sectores, cada vez más CCTV, control de acceso y sistemas de audio se están volviendo conectados a red, y por tanto integrados en redes y procesos de TI para ofrecer una protección física más inteligente.

Pero este movimiento a la nube también crea muchas más oportunidades de negocio. Los datos de video en tiempo real de cámaras conectadas a red, por ejemplo, pueden combinarse con información de otros sistemas para desarrollar nuevas fuentes de valor de negocio vía analíticas en la nube.

Esto se puede ver en tiendas minoristas, que comúnmente despliegan cámaras de vigilancia en red para prevenir o identificar ladrones. Conectar esas mismas cámaras a una suite de analíticas en la nube también puede dar a los gerentes minoristas la capacidad de detectar automáticamente acumulación de colas y generar alertas, o obtener una mejor comprensión del flujo de tráfico alrededor de una tienda.

El riesgo siempre presente de los sistemas conectados

Pero si las empresas desconfían de las cámaras conectadas, tienen buenas razones para ello. El mayor ataque de Denegación de Servicio Distribuido (DDoS) del mundo, que deshabilitó muchas aplicaciones populares de internet como Dropbox, Netflix, Uber y más a finales de 2016, se lanzó en parte desde cientos de miles de cámaras de vigilancia en red comprometidas. El malware Mirai que dirigió el ataque tomó el control de dispositivos enredados probando combinaciones comunes de nombre de usuario y contraseña por defecto, como admin:admin.

Dos años y medio después de estos incidentes mayores, sigue siendo el caso que demasiados productos de seguridad física de grado profesional se venden con poca o ninguna consideración por las mejores prácticas de ciberseguridad, y aún fallan pruebas básicas de supervisión como credenciales por defecto. El énfasis permanece en la velocidad de comercialización y reducción de costes. No se presta suficiente atención al control de calidad, desarrollo de producto "seguro por diseño" y procesos efectivos de soporte post-venta con actualizaciones de firmware y control de activos.

Esto socava críticamente el potencial de estos dispositivos para entregar. Si la promesa de IoT en seguridad física es la de un mundo mejor y más seguro, no se puede lograr si el equipo es propenso a introducir nuevas vulnerabilidades en la red de un cliente.

Los OEMs necesitan poner mucho esfuerzo para asegurar que los dispositivos sean aptos para el propósito y puedan confiarse para la innovación. Requiere inversión en habilidades y procesos internamente, y comunicación clara y transparencia a lo largo de toda la cadena de suministro. ¿Cada componente cumple con los estándares rigurosos que un cliente tiene derecho a esperar?

Tan importante como eso, sin embargo, es la inversión que necesita hacerse en educación del usuario final. El mercado es altamente sensible al precio, y los clientes necesitan orientación clara para entender los riesgos involucrados al comprar equipos de vendedores desconocidos que no están configurados correctamente.

Y más allá de eso, la conciencia debe impulsarse más allá del departamento de TI. Todos en una organización necesitan entender la importancia de los procesos de adquisición correctos, ya que el coste decreciente y la simplicidad de uso para dispositivos IoT modernos los hace difíciles de controlar. Un CIO puede tener la mejor estrategia en su lugar, pero si un gerente de negocio está comprando equipos con tarjeta de crédito y añadiéndolos a la red corporativa, ¿quién es responsable de asegurar que los productos sean seguros?

Las regulaciones han aumentado la conciencia

Dicho esto, las empresas se están volviendo más conscientes de los riesgos de ciberseguridad que presentan los dispositivos conectados a red, y 2018 vio mucho cambio regulatorio para contrarrestar las amenazas. El Reglamento General de Protección de Datos (GDPR) comenzó a aplicarse, al igual que la Directiva sobre seguridad de redes y sistemas de información (Directiva NIS).

Ambas directivas imponen las mismas sanciones financieras sustanciales por incumplimiento. Las grandes multas monetarias tienen el potencial de debilitar negocios, por lo que es imperativo que las empresas relevantes realicen la debida diligencia para cumplir sus requisitos.

Ya hemos presenciado multas GDPR impuestas en Reino Unido y UE relacionadas con el despliegue de sistemas CCTV. Recientemente se informó que hackers en Reino Unido irrumpieron en sistemas CCTV de escuelas y transmitieron imágenes de alumnos en vivo por internet. Entendiblemente, esto ganó mucha publicidad negativa; al fin y al cabo, enviamos a nuestros hijos a la escuela con la expectativa de que estarán seguros, y los sistemas de seguridad están ahí para protegerlos, no para ponerlos en riesgo.

Seleccionar los socios tecnológicos correctos es crítico

En nuestro panorama de seguridad convergente, seleccionar el socio tecnológico correcto nunca ha sido tan importante. Los profesionales de seguridad necesitan reconocer que la ciberseguridad no es solo un tema de TI y entender los riesgos de ciberseguridad asociados a un negocio relacionados con el despliegue de sistemas de seguridad físicos y electrónicos. Mientras que la digitalización de la seguridad física es un espacio tremendamente emocionante en el que estar en este momento, para que continúe, como industria necesitamos abordar mejor el tema de la ciberseguridad, y pronto.