Asegura tus Dispositivos Inteligentes: Mejores Prácticas para la Seguridad de IoT

En este artículo, usaremos el término "Internet de las Cosas" o "IoT" como término general para describir dispositivos inteligentes interconectados, comunicación máquina a máquina (M2M) y tecnologías de software/hardware relacionadas.

Los insights de datos y el potencial de automatización proporcionados por tecnologías de Internet de las Cosas (IoT) han creado grandes oportunidades para la mejora de procesos y otras revoluciones en cómo operan los negocios. La popularidad de estos dispositivos está aumentando enormemente; se estima que el mercado global de IoT alcanzará 22.000 millones de dispositivos activamente conectados para diferentes industrias IoT en todo el mundo para 2025.

Como con cualquier nueva tecnología, Internet de las Cosas no está exento de inconvenientes de ciberseguridad. Cualquier negocio que busque implementar dispositivos IoT necesita hacerlo con la ciberseguridad como preocupación predominante si desean mantener sus dispositivos, sistemas y datos seguros.

¿Cómo Puede Ayudar IoT a los Negocios?

Tecnologías bajo el paraguas de IoT pueden hacer maravillas para negocios a través de una variedad de sectores, aunque un impacto significativo se ha demostrado con su uso en empresas industriales.

Dispositivos IoT, junto con otras tecnologías de rápido desarrollo como impresión 3D, inteligencia artificial, computación cuántica y avances en almacenamiento de energía, han provocado una revolución sin precedentes en las capacidades de empresas industriales, llevando a lo que se está conociendo como la Cuarta Revolución Industrial.

Los dispositivos IoT permiten a las empresas industriales:

• Controlar y monitorear remotamente sus cadenas de suministro
• Combinar sensores IoT con tecnología existente para ayudar en la predicción e implementación de mantenimiento preventivo monitoreando signos de desgaste y ejecutando la solución necesaria.
• Operar sus procesos de manera más eficiente energéticamente a través de datos de energía en tiempo real

Para negocios en otros sectores, los dispositivos IoT pueden traer cambios considerables en forma de insights de datos mejorados. Estas mejoras pueden proporcionar a las empresas beneficios que incluyen mayor control de stock/inventario, mejora de la eficiencia de programación y reducción de residuos, entre otras mejoras.

Los Peligros de IoT

Mientras hay una clara ventaja que se puede ganar a través de la recopilación de datos y automatización que viene con dispositivos IoT, no están exentos de riesgos. Muchos usuarios de IoT y dispositivos inteligentes no se dan cuenta de lo accesibles que pueden ser algunos de sus dispositivos. El motor de búsqueda Shodan rastrea la web en busca de dispositivos con protección de contraseña deficiente y muestra capturas de pantalla de lo que pudo acceder; los ejemplos más notables son transmisiones de cámaras de seguridad IoT usadas tanto en espacios de negocios como en viviendas privadas.

Esta lista está lejos de ser exhaustiva, sin embargo, sirve como recordatorio de que los dispositivos IoT inseguros pueden ser explotados y deben implementarse con la debida precaución.

Falta de Seguridad Integrada para Dispositivos IoT e Inteligentes

Los negocios que desean aprovechar el poder de IoT necesitan asegurar que los fabricantes de dispositivos IoT que usan se toman la ciberseguridad en serio.

En un esfuerzo por comercializar masivamente sus dispositivos y mantener costes bajos, muchos fabricantes de dispositivos inteligentes han optado por renunciar a invertir en ciberseguridad y en su lugar han priorizado la rentabilidad de sus dispositivos para atraer compradores para este mercado en evolución.

Mientras gobiernos como el Reino Unido y EE. UU. están comenzando a tomarse en serio la legislación de ciberseguridad IoT, en su mayor parte, la presión externa sobre fabricantes de dispositivos inteligentes para priorizar la ciberseguridad en su proceso de desarrollo de dispositivos no ha sido suficiente.

Muchos dispositivos inteligentes no vienen integrados con características de autenticación de dos factores (2FA), ni cifran los datos que recopilan y transfieren. Hasta que los fabricantes de dispositivos inteligentes sean responsables de implementar la seguridad como prioridad desde el día uno del desarrollo, los dispositivos inteligentes continuarán siendo un vector viable para amenazas de ciberseguridad.

Ejemplos de Brechas de Seguridad IoT

Históricamente, los dispositivos IoT han sido usados como punto de entrada para ataques de malware. Para proporcionar más contexto, aquí hay algunos ejemplos de alto perfil.

Ataques de Denegación de Servicio Distribuido (DDoS)

En 2016, una botnet conocida como "Mirai" ejecutó un ataque de Denegación de Servicio Distribuido (DDoS) explotando las contraseñas por defecto de una variedad de dispositivos IoT. El ataque DDoS llevó a la pérdida de conectividad a internet para un gran segmento de la costa este de Estados Unidos.

La relativa facilidad con la que se implementó este ataque proporciona insights sobre cómo las tecnologías IoT pueden ser explotadas con fines nefastos, y estaba lejos de ser el único ataque de botnet impulsado por dispositivos IoT comprometidos.

El Intento de Stuxnet de Destruir Maquinaria Nuclear

Mientras que los creadores de Stuxnet no están confirmados, el estudio extensivo de este gusano informático altamente evasivo ha confirmado su propósito: atacar centrífugas usadas en plantas nucleares y reprogramarlas para realizar ciclos que son dañinos para sus componentes físicos. Stuxnet proporciona una historia de advertencia que las vulnerabilidades de maquinaria conectada pueden causar problemas mayores que datos perdidos y software deshabilitado; pueden causar daño físico serio a los dispositivos, o incluso poner en peligro vidas.

Cómo un Termostato Llevó a una Brecha de Datos

Un casino sin nombre en Las Vegas tuvo una base de datos de datos de clientes robada de la manera más inesperada posible; a través del termostato de su acuario. El casino usaba un termostato IoT conectado por wifi para monitorear y ajustar la temperatura del acuario. Como el termómetro estaba en la misma red que los datos de sus clientes, los cibercriminales pudieron explotar las vulnerabilidades del termómetro para usarlo como punto de entrada.

Cambio de Computación en la Nube a Computación en la Niebla (Fog Computing)

Contrario a la creencia popular, Internet de las Cosas puede funcionar sin un proveedor externo de computación en la nube, sin embargo, las ventajas de la computación en la nube deben ser fuertemente consideradas antes de decidirse a cambiar a una solución sin nube.

Los negocios que desean tener control total sobre sus datos pueden aprovechar su propia infraestructura de "fog computing" controlada localmente para permitirles procesar y transmitir sus datos IoT sin compartirlos con un proveedor externo de computación en la nube.

Fog computing es una infraestructura de computación descentralizada que transmite datos de dispositivos IoT a una puerta de enlace en la red de área local (LAN) que maneja la transmisión de los datos al hardware de procesamiento apropiado; el uso de hardware local para este procesamiento de datos a menudo se llama "edge computing". Mientras que fog computing y edge computing ofrecen una suite de ventajas incluyendo latencia reducida y mayor control de cómo se comparten y transmiten los datos, no están exentos de sus vulnerabilidades.

Los negocios que aprovechan fog computing y edge computing para almacenar y transmitir sus datos son los únicos proveedores de las medidas de ciberseguridad físicas, procesales y técnicas necesarias para proteger los datos que recopilan, lo cual no es una tarea pequeña.

Los proveedores líderes de computación en la nube están fuertemente invertidos en implementar y mantener medidas líderes de ciberseguridad para proteger los datos que almacenan, transmiten y procesan, ya que todo su modelo de negocio depende de su fiabilidad y seguridad. Los negocios que simplemente quieren usar dispositivos IoT como una actualización a sus operaciones usuales pueden no razonablemente ser capaces de mantener un nivel similar de seguridad como proveedores de computación en la nube, llevando a mayores riesgos de ciberseguridad si su uso de fog computing no se realiza con medidas de ciberseguridad igualmente robustas.

Cómo Usar Dispositivos IoT de Forma Segura

Aunque no exentos de riesgos, los dispositivos IoT presentan una oportunidad sin precedentes para avances en recopilación y transmisión de datos que pueden llevar a ganancias increíbles en capacidades y eficiencia. Para usar dispositivos IoT de forma segura, hay medidas clave de seguridad que pueden implementarse.

Cifrar Datos Sensibles

Mientras que el proceso de cifrar datos antes de enviarlos para procesamiento al proveedor de computación en la nube puede causar retrasos en la transmisión de datos, es un paso importante para datos sensibles. Las empresas que transmiten datos sensibles (como datos médicos) de un dispositivo IoT a la nube necesitan tomarse en serio la sensibilidad de esos datos, sin embargo, datos más inocuos pueden dejarse sin cifrar.

Usar Contraseñas Únicas

Como se vio con el ataque DDoS de la botnet Mirai, uno de los métodos que se usan para explotar dispositivos IoT es a través de software que intenta ganar entrada usando contraseñas de fábrica conocidas usadas por el fabricante del dispositivo IoT.

Además de cambiar las contraseñas de fábrica a una contraseña única, los dispositivos IoT que se usan deben fabricarse de manera que los dispositivos no puedan restablecerse a la contraseña de fábrica, ya que la capacidad de restablecer a una contraseña por defecto podría proporcionar a los cibercriminales un vector adicional para ataques.

Usar una Red Separada para Dispositivos IoT

Para negocios que son controladores de datos sensibles, esos datos deben mantenerse en una red que sea separada de tus dispositivos IoT. Debido a la relativa inmadurez de la seguridad de dispositivos IoT, mantenerlos en una red separada reduce la posibilidad de que puedan ser usados como punto de entrada a la red principal.

Elige Sabiamente tus Proveedores de Nube y Dispositivos IoT

Los negocios que optan por aprovechar el poder de la computación en la nube para sus dispositivos IoT necesitan elegir cuidadosamente un proveedor de plataforma de nube IoT en el que puedan confiar para asegurar los datos que almacenan y procesan en sus sistemas. También necesitarán elegir productos IoT que sean fabricados con la ciberseguridad como una preocupación significativa.

Al decidir proveedores de dispositivos IoT para tus necesidades, considera lo siguiente:

• ¿El fabricante del dispositivo proporciona un punto de contacto público para reportes de vulnerabilidades de ciberseguridad? ¿Tienen un historial de tomarse estos reportes en serio?
• ¿Cuánto tiempo proporcionará el fabricante del dispositivo actualizaciones de seguridad para sus productos?
• ¿El fabricante del dispositivo prioriza la ciberseguridad como parte de su mandato de producción?

Consideraciones de ciberseguridad del proveedor de servicios en la nube IoT (CSP):

• ¿El CSP tiene un historial de tomarse la ciberseguridad en serio?
• ¿Qué medidas de ciberseguridad ha tomado el CSP para proteger datos?
• ¿Puede el CSP ofrecer cifrado y otras medidas de seguridad a escala a medida que la infraestructura IoT crece?

La lista anterior está lejos de ser exhaustiva y cada caso de uso empresarial tendrá consideraciones únicas de ciberseguridad. A medida que las tecnologías IoT continúan contribuyendo al crecimiento rápido, los negocios que buscan aprovechar los insights y características en evolución proporcionados por ellos necesitarán priorizar la ciberseguridad primero y continuar investigando e implementando las mejores soluciones posibles para sus necesidades.