Mantenerse seguro con dispositivos inteligentes e IoT

En este artículo, usaremos el término "Internet de las cosas" o "IoT" como término general para describir los dispositivos inteligentes interconectados, la comunicación de máquina a máquina (M2M) y el software relacionado. / tecnologías de hardware.

La información de datos y el potencial de automatización que brindan las tecnologías de Internet de las cosas (IoT) han creado grandes oportunidades para la mejora de procesos y otras revoluciones en la forma en que operan las empresas. La popularidad de estos dispositivos está aumentando enormemente:se estima que el mercado global de IoT alcanzará los 22 mil millones de dispositivos conectados activamente para diferentes industrias de IoT en todo el mundo para 2025.

Al igual que con cualquier nueva tecnología, Internet de las cosas no está exenta de inconvenientes en materia de ciberseguridad. Cualquier empresa que busque implementar dispositivos de IoT debe hacerlo con la ciberseguridad como una preocupación predominante si desea mantener sus dispositivos, sistemas y datos seguros.

¿Cómo puede la IoT ayudar a las empresas?

Las tecnologías bajo el paraguas de IoT pueden hacer maravillas para las empresas en una variedad de sectores, aunque se ha demostrado un impacto significativo con su uso en empresas industriales.

Los dispositivos de IoT, junto con otras tecnologías de rápido desarrollo como la impresión 3D, la inteligencia artificial, la computación cuántica y los avances en el almacenamiento de energía, han provocado una revolución sin precedentes en las capacidades de las empresas industriales, lo que ha llevado a lo que se conoce como el Cuarto Revolución industrial.

Los dispositivos de IoT permiten a las empresas industriales:

• Controle y supervise de forma remota sus cadenas de suministro
• Combine los sensores de IoT con la tecnología existente para ayudar en la predicción e implementación del mantenimiento preventivo mediante el monitoreo de signos de desgaste y la implementación de la solución necesaria.
• Opere sus procesos de una manera más eficiente desde el punto de vista energético a través de datos energéticos en tiempo real

Para las empresas de otros sectores, los dispositivos de IoT pueden generar cambios considerables en forma de conocimientos de datos mejorados. Estas mejoras pueden brindar a las empresas beneficios que incluyen un mayor control de existencias / inventario, una mayor eficiencia de la programación y la reducción de desperdicios, entre otras mejoras.

Los peligros de IoT

Si bien existe una clara ventaja que se puede obtener a través de la recopilación de datos y la automatización que viene con los dispositivos de IoT, no están exentos de riesgos. Muchos usuarios de IoT y dispositivos inteligentes no se dan cuenta de lo accesibles que pueden ser algunos de sus dispositivos. El motor de búsqueda Shodan recorre la web en busca de dispositivos con una protección de contraseña mediocre y muestra capturas de pantalla de lo que pudo acceder; los ejemplos más notables son las transmisiones de cámaras de seguridad de IoT utilizadas tanto en espacios comerciales como en viviendas privadas.

Esta lista está lejos de ser completa, sin embargo, sirve como recordatorio de que los dispositivos de IoT inseguros pueden ser explotados y deben implementarse con la debida precaución.

Falta de seguridad incorporada para IoT y dispositivos inteligentes

Las empresas que deseen aprovechar el poder de IoT deben asegurarse de que los fabricantes de dispositivos de IoT que utilizan se tomen en serio la ciberseguridad.

En un esfuerzo por comercializar masivamente sus dispositivos y mantener los costos bajos, muchos fabricantes de dispositivos inteligentes han optado por renunciar a invertir en ciberseguridad y, en cambio, han priorizado la rentabilidad de sus dispositivos para atraer compradores para este mercado en evolución.

Si bien gobiernos como el Reino Unido y los EE. UU. Están comenzando a tomarse en serio la legislación de ciberseguridad de IoT, en su mayor parte, la presión externa sobre los fabricantes de dispositivos inteligentes para priorizar la ciberseguridad en el proceso de desarrollo de sus dispositivos no ha sido suficiente.

Muchos dispositivos inteligentes no vienen integrados con funciones de autenticación de dos factores (2FA), ni cifran los datos que recopilan y transfieren. Hasta que los fabricantes de dispositivos inteligentes sean responsables de implementar la seguridad como una prioridad desde el primer día de desarrollo, los dispositivos inteligentes seguirán siendo un vector viable para las amenazas de ciberseguridad.

Ejemplos de infracciones de seguridad de IoT

Históricamente, los dispositivos de IoT se han utilizado como punto de entrada para ataques de malware. Para proporcionar más contexto, aquí hay algunos ejemplos de alto perfil.

Ataques distribuidos de denegación de servicio (DDoS)

En 2016, una botnet conocida como "Mirai" ejecutó un ataque de denegación de servicio distribuido (DDoS) al explotar las contraseñas predeterminadas de una variedad de dispositivos de IoT. El ataque DDoS provocó la pérdida de la conectividad a Internet en un gran segmento de la costa este de Estados Unidos.

La relativa facilidad con la que se implementó este ataque proporciona información sobre cómo se pueden explotar las tecnologías de IoT con fines nefastos, y estuvo lejos de ser el único ataque de botnet impulsado por dispositivos de IoT comprometidos.

Intento de Stuxnet de destruir maquinaria nuclear

Si bien los creadores de Stuxnet no están confirmados, un estudio exhaustivo de este gusano informático altamente evasivo ha confirmado su propósito:apuntar a las centrifugadoras utilizadas en plantas nucleares y reprogramarlas para realizar ciclos que dañan sus componentes físicos. Stuxnet proporciona una advertencia de que las vulnerabilidades de la maquinaria conectada pueden causar problemas más grandes que la pérdida de datos y el software deshabilitado:pueden causar daños físicos graves a los dispositivos o incluso poner en peligro vidas.

Cómo un termostato conduce a una filtración de datos

Un casino sin nombre en Las Vegas tuvo una base de datos de datos de clientes robada de la manera más inesperada posible:a través del termostato de su acuario. El casino usó un termostato IoT con conexión wifi para monitorear y ajustar la temperatura del acuario. Como el termómetro estaba en la misma red que los datos de sus clientes, los ciberdelincuentes pudieron aprovechar las vulnerabilidades de los termómetros para usarlo como punto de entrada.

Cambio de la computación en la nube a la computación en la niebla

Contrariamente a la creencia popular, la Internet de las cosas puede funcionar sin un proveedor externo de computación en la nube, sin embargo, las ventajas de la computación en la nube deben considerarse seriamente antes de decidir cambiar a una solución sin nube.

Las empresas que deseen tener un control total sobre sus datos pueden aprovechar su propia infraestructura de "computación en la niebla" controlada localmente para permitirles procesar y transmitir sus datos de IoT sin compartirlos con un proveedor externo de computación en la nube.

La computación en la niebla es una infraestructura informática descentralizada que transmite datos desde dispositivos IoT a una puerta de enlace en la red de área local (LAN) que maneja la transmisión de datos al hardware de procesamiento apropiado; el uso de hardware local para este procesamiento de datos a menudo se denomina " informática de punta ”. Si bien la computación en la niebla y la computación en el borde ofrecen un conjunto de ventajas que incluyen una latencia reducida y un mayor control de cómo se comparten y transmiten los datos, no están exentos de vulnerabilidades.

Las empresas que aprovechan la computación en la niebla y la computación en el borde para almacenar y transmitir sus datos son los únicos proveedores de las medidas de ciberseguridad físicas, de procedimiento y técnicas necesarias para proteger los datos que recopilan, lo cual no es una tarea fácil.

Los principales proveedores de computación en la nube invierten mucho en implementar y mantener las principales medidas de ciberseguridad para proteger los datos que almacenan, transmiten y procesan, ya que todo su modelo comercial depende de su confiabilidad y seguridad. Es posible que las empresas que simplemente quieran usar dispositivos de IoT como una actualización de sus operaciones habituales no puedan mantener un nivel de seguridad similar al de los proveedores de computación en la nube, lo que genera mayores riesgos de ciberseguridad si su uso de la computación en la niebla no se realiza con una ciberseguridad igualmente sólida. medidas.

Cómo utilizar los dispositivos IoT de forma segura

Si bien no están exentos de riesgos, los dispositivos de IoT presentan una oportunidad sin precedentes para los avances en la recopilación y transmisión de datos que pueden conducir a ganancias increíbles en capacidades y eficiencia. Para utilizar los dispositivos de IoT de forma segura, existen medidas de seguridad clave que se pueden implementar.

Cifrar datos confidenciales

Si bien el proceso de cifrar los datos antes de enviarlos para su procesamiento al proveedor de computación en la nube puede causar retrasos en la transmisión de datos, es un paso importante para los datos confidenciales. Las empresas que transmiten datos confidenciales (como datos médicos) desde un dispositivo de IoT a la nube deben tomarse en serio la sensibilidad de esos datos; sin embargo, los datos más inocuos pueden dejarse sin cifrar.

Utilice contraseñas únicas

Como se vio con el ataque DDoS de la botnet Mirai, uno de los métodos que se utilizan para explotar los dispositivos de IoT es a través de un software que intenta ingresar mediante el uso de contraseñas predeterminadas de fábrica conocidas que utiliza el fabricante del dispositivo de IoT.

Además de cambiar las contraseñas predeterminadas de fábrica a una contraseña única, los dispositivos de IoT que se utilizan deben fabricarse de manera que los dispositivos no se puedan restablecer a la contraseña predeterminada de fábrica, ya que la capacidad de restablecer una contraseña predeterminada podría proporcionar a los ciberdelincuentes un vector adicional para los ataques.

Utilice una red separada para dispositivos IoT

Para las empresas que controlan datos confidenciales, esos datos deben mantenerse en una red separada de sus dispositivos de IoT. Debido a la relativa inmadurez de la seguridad de los dispositivos de IoT, mantenerlos en una red separada reduce la posibilidad de que puedan usarse como un punto de entrada a la red principal.

Elija sabiamente sus proveedores de dispositivos y nube de IoT

Las empresas que optan por aprovechar el poder de la computación en la nube para sus dispositivos de IoT deben elegir cuidadosamente un proveedor de plataforma de nube de IoT en el que puedan confiar para proteger los datos que almacenan y procesan en sus sistemas. También deberán elegir productos de IoT que se fabrican con la ciberseguridad como una preocupación importante.

Al decidir los proveedores de dispositivos de IoT para sus necesidades, tenga en cuenta lo siguiente:

• ¿El fabricante del dispositivo proporciona un punto de contacto público para los informes de vulnerabilidades de seguridad cibernética? ¿Tienen un historial de tomar estos informes en serio?
• ¿Durante cuánto tiempo proporcionará el fabricante del dispositivo actualizaciones de seguridad para sus productos?
• ¿El fabricante del dispositivo da prioridad a la ciberseguridad como parte de su mandato de producción?

Consideraciones de ciberseguridad del proveedor de servicios en la nube (CSP) de IoT:

• ¿Tiene el CSP un historial de tomarse en serio la ciberseguridad?
• ¿Qué medidas de ciberseguridad ha tomado el CSP para proteger los datos?
• ¿Puede el CSP ofrecer cifrado y otras medidas de seguridad a escala a medida que crece la infraestructura de IoT?

La lista anterior está lejos de ser completa y cada caso de uso comercial tendrá consideraciones de ciberseguridad únicas. A medida que las tecnologías de IoT continúan contribuyendo al rápido crecimiento, las empresas que buscan aprovechar la información y las características cambiantes que brindan deberán priorizar la ciberseguridad primero y continuar investigando e implementando las mejores soluciones posibles para sus necesidades.