Asegura tu Futuro IoT: Impulsando la Transformación Digital Mientras Minimizas el Riesgo

En solo unos pocos años, el Internet de las Cosas (IoT) ha remodelado radicalmente la forma en que vivimos y trabajamos. Desde los gadgets en nuestras muñecas y hogares hasta los edificios conectados y fábricas inteligentes donde pasamos nuestra vida laboral, nos está haciendo más seguros, felices y productivos mientras ofrece nuevas oportunidades de crecimiento para las organizaciones. La tecnología está a la vanguardia de una revolución de transformación digital que ya permea la gran mayoría de empresas, ayudándolas a ser más eficientes, ágiles y centradas en el cliente.

Sin embargo, la expansión digital también significa mayor riesgo digital: las últimas cifras revelan un aumento del 100% interanual en ataques IoT. La clave para los equipos de TI, por tanto, es apoyar el crecimiento empresarial mientras minimizan estos riesgos cibernéticos mediante mejores prácticas de seguridad adaptadas para la nueva era conectada.

Volviéndose Digital

El IoT ha recorrido un largo camino en un espacio de tiempo relativamente corto. Gartner predice que habrá 14.200 millones de cosas conectadas en uso en 2019, con el total alcanzando 25.000 millones para 2021. Con este volumen creciente de dispositivos ha venido una explosión de datos. Cisco estima que la cantidad total de datos creados por todos los dispositivos alcanzará 600 Zettabytes al año para 2020, frente a solo 145 Zettabytes anuales en 2015. Esta es una enorme cantidad de datos —un solo Zettabyte equivale a 1.000 millones de Terabytes.

¿Por qué el IoT ha comenzado a permear los entornos empresariales tan completamente en los últimos años? Una encuesta de Forbes Insights a 700 ejecutivos de 2018 ayuda a explicarlo. Encuentra que el 60% de empresas están expandiendo o transformando nuevas líneas de negocio, un número similar (63%) están entregando servicios nuevos/actualizados a clientes, y más de un tercio (36%) están considerando nuevos emprendimientos. En los próximos 12 meses, casi todos (94%) los encuestados predijeron que las ganancias crecerían un 5-15% gracias al IoT.

Sensores IoT, los datos recopilados y enviados a la nube para análisis ofrecen nuevas oportunidades mayores para mejorar la experiencia del cliente, agilizar procesos empresariales complejos y crear nuevos servicios gracias a los insights revelados. Esto podría incluir empresas de servicios públicos monitorizando señales tempranas de fugas de agua o cortes de energía, empresas manufactureras mejorando eficiencias operativas en la planta, y fabricantes de hardware proporcionando nuevos servicios post-venta para clientes basados en mantenimiento predictivo.

El Riesgo Está en Todas Partes

El reto al que se enfrenta cualquier empresa que aumente su uso de sistemas IoT e IoT industrial (IIoT) es que habrá expandido la superficie de ataque corporativa en el proceso. Un vistazo rápido al documento Áreas de Superficie de Ataque IoT de OWASP ilustra cuántos nuevos puntos posibles de debilidad se introducen. Estos van desde los propios dispositivos —incluyendo firmware, memoria e interfaces físicas/web— hasta APIs backend, sistemas cloud conectados, tráfico de red, mecanismos de actualización y la app móvil.

Uno de los mayores riesgos para tales sistemas es que son producidos por fabricantes que no tienen una comprensión adecuada de las mejores prácticas de seguridad TI. Esto puede resultar en debilidades y vulnerabilidades sistémicas serias que pueden ser explotadas por atacantes, desde fallos de software a productos que salen con credenciales de fábrica por defecto. También podría significar que los productos son difíciles de actualizar y/o no hay programa para emitir parches de seguridad.

Tales fallos podrían explotarse en diversos escenarios de ataque. Podrían usarse para violar redes corporativas como parte de una incursión de robo de datos, o sabotear procesos operativos clave —ya sea para extorsionar dinero a la organización víctima o simplemente causar máxima disrupción. En un escenario más común, hackers pueden escanear internet en busca de dispositivos de cara pública aún protegidos solo por contraseñas de fábrica por defecto o fáciles de adivinar/romper, y reclutarlos en botnets. Este es el modelo usado por los infames atacantes Mirai y posteriormente adaptado en muchos otros ataques imitadores. Estas botnets pueden usarse para diversas tareas incluyendo denegación de servicio distribuido (DDoS), fraude publicitario y propagación de troyanos bancarios.

En la Oscuridad

La dificultad para los equipos de seguridad TI es a menudo ganar visibilidad sobre todos los endpoints IoT en la organización, y algunos dispositivos IoT detectados a menudo operan sin conocimiento del departamento de TI. Este factor de TI en la sombra es en muchos sentidos el sucesor del reto BYOD empresarial —excepto que en lugar de móviles, los usuarios traen wearables inteligentes y otros electrodomésticos que luego se conectan a la red corporativa, aumentando el riesgo cibernético. Solo considera una smart TV siendo secuestrada por atacantes para espiar reuniones de junta, por ejemplo, o una tetera inteligente en una cafetería de personal usada como cabeza de playa para lanzar una incursión de robo de datos contra la red corporativa.

Aún peor para los jefes de seguridad TI es que tienen que gestionar este creciente riesgo cibernético con menos profesionales cualificados para recurrir. De hecho, la demanda de roles IoT se disparó un 49% en Q4 2018 respecto al trimestre anterior, según un grupo de reclutamiento.

Los Reguladores Alcanzan

El impacto de cualquier gran amenaza cibernética relacionada con IoT podría ser severo. Pérdida de datos, caídas de sistemas TI, disrupción operativa y similares pueden llevar a daño financiero y reputacional. El coste de investigar y remediar una brecha de seguridad solo puede ser prohibitivo. Una caída seria podría requerir una gran inversión de fondos en horas extra de personal TI. Las multas regulatorias son otro coste cada vez más importante a tener en cuenta. No solo está el GDPR para considerar por cualquier problema afectando datos personales de clientes o empleados, la Directiva NIS de la UE también mandata mejores prácticas de seguridad para empresas operando en industrias críticas específicas. Ambas conllevan las mismas multas máximas.

Esta supervisión regulatoria se extiende a ambos lados del Atlántico. Una nueva propuesta legislativa en EE. UU. requerirá al Instituto Nacional de Estándares y Tecnología (NIST) dibujar directrices mínimas de seguridad para fabricantes IoT y exigir que agencias federales solo compren a proveedores que cumplan estos estándares base.

Visibilidad y Control

Si se aprueba, esta legislación estadounidense podría bien basarse en un estándar europeo ETSI TS 103 645, que a su vez se basó en un código de práctica propuesto por el gobierno británico para la industria. Ciertamente es un gran inicio y esperemos que empuje a la industria a ser más consciente de seguridad, mientras empodera a consumidores y empresas a buscar productos más seguros en el mercado. Pero en realidad, tomará tiempo para que tales pasos filtren al mercado, y incluso entonces las organizaciones pueden ya estar ejecutando miles de endpoints IoT legacy inseguros.

Los equipos de seguridad TI deben actuar ahora, ganando mejor insight en su entorno IoT. Las herramientas de gestión de activos TI deberían poder ayudar aquí proporcionando el primer paso crucial: visibilidad. Luego, asegurar que el firmware de dispositivos está actualizado vía herramientas de gestión de parches automatizadas y que este proceso se monitoriza para asegurar que funciona correctamente —algunas actualizaciones de seguridad están enterradas en webs de proveedores y requieren intervención humana para asegurar que se han habilitado. Adicionalmente, los equipos TI deben verificar que cualquier usuario/contraseña se cambie inmediatamente a credenciales fuertes y únicas. Incluso mejor, reemplazarlas con autenticación multifactor. Otras mejores prácticas podrían incluir encriptación de datos en tránsito, monitorización continua de red, gestión de identidad, segmentación de red, y más. Finalmente, no olvides el aspecto humano de la ciberseguridad: los empleados deben ser enseñados a entender los riesgos de seguridad asociados con IoT, y cómo usar sistemas y dispositivos de forma segura.

Esta es la forma de obtener el mayor valor de cualquier iniciativa IoT, sin exponer la empresa a riesgo extra innecesario. Solo se necesita una brecha de seguridad seria para socavar el crecimiento impulsado por innovación tan vital para el éxito del negocio digital moderno.