Por qué los dispositivos IoT son una amenaza cibernética: Proteja su negocio hoy

El internet de las cosas ofrece a las empresas un nivel sin precedentes de visibilidad y control sobre sus cadenas de suministro. Pero también abre la puerta a ciberataques potencialmente paralizantes.

Un nuevo estudio del Instituto Ponemon revela un aumento significativo en las violaciones de datos causadas por dispositivos IoT de terceros no seguros. Y sugiere que los principales expertos en seguridad no están haciendo lo suficiente para detenerlos.

El tercer estudio anual del instituto sobre riesgo de IoT de terceros lleva el subtítulo «Las empresas no saben lo que no saben». En efecto, la ignorancia sobre los peligros de los ciberataques parece haber aumentado la vulnerabilidad de muchas empresas. Las violaciones relacionadas con IoT han aumentado al menos un 26 por ciento desde 2017, según el estudio. (El número podría ser aún mayor, señalan los autores, porque la mayoría de las empresas no son conscientes de cada dispositivo o aplicación insegura en sus instalaciones que provino de proveedores externos.)

En un momento en que las violaciones de datos se están volviendo endémicas, la ciberseguridad no parece ser una prioridad especialmente alta para muchas empresas, al menos cuando se trata de invertir recursos en ese ámbito. La supervisión por parte de la alta dirección es especialmente deficiente. Según el estudio, menos de la mitad de los miembros de los consejos de administración de las empresas han aprobado programas destinados a reducir el riesgo de ciberataques de terceros. Solo el 21 por ciento comprende plenamente la naturaleza de ese riesgo y está «altamente comprometido» con las medidas de seguridad necesarias para abordarlo.

Cuando se trata de anticipar el riesgo cibernético, la actitud predominante parece ser de fatalismo. El estudio encontró que el 87 por ciento de los encuestados cree que sus propias organizaciones experimentarán un ciberataque causado por dispositivos IoT o aplicaciones no seguras en los próximos 24 meses. Y el 84 por ciento espera sufrir una violación de datos en ese mismo período.

La última versión del estudio se basa en 600 encuestados calificados y aproximadamente 450 empresas únicas, según Larry Ponemon, cofundador del Instituto Ponemon. En lo que él llama una «muestra ecléctica pero interesante», los participantes incluyeron expertos en TI, protección de datos, tecnología de terceros y regulación.

«Terceros» significa la gama completa de vendedores, contratistas, socios de canal y afiliados internos fuera del propio entorno de TI de una empresa, señala Charlie Miller, asesor senior del Programa de Evaluaciones Compartidas, una unidad de The Santa Fe Group especializada en evaluar riesgos de terceros.

Los dispositivos IoT externos suelen tomar la forma de sensores, dispositivos inteligentes, impresoras, cámaras, termostatos Nest, asistentes digitales personales activados por voz —en resumen, cualquier cosa que contenga electrónica y pueda conectarse a la red de una empresa.

A pesar de esta panoplia de tecnología insegura, gran parte de la cual se introduce en la red a través de los dispositivos personales de los empleados, la dirección no la ve como un gran riesgo, dice Ponemon. Miller añade que el problema se agrava por un enorme aumento en el número de dispositivos IoT que han llegado al mercado en los últimos años.

Cada uno de esos dispositivos tiene una dirección IP única y representa un punto potencial de vulnerabilidad a través del cual hackers o ladrones cibernéticos pueden acceder a datos propietarios. Antes de permitir que cualquiera de ellos se introduzca en la red, las empresas deben comprender exactamente qué se supone que hacen los dispositivos, qué tipos de datos deben recopilar y cómo se transmitirá esa información.

«Todas esas son conceptos fundamentales que aún no se han cristalizado en este enorme espacio IoT», dice Miller.

Ante esta avalancha de ataques, ¿por qué las empresas no son más proactivas para prevenirlos? Ponemon sugiere que el problema radica en la falta de responsabilidad dentro de las organizaciones. Además, los dispositivos IoT son seductoramente convenientes de usar, y los propietarios dan poca importancia a cómo podrían estar poniendo en riesgo la seguridad corporativa.

Miller ve algunas señales de iluminación entre los equipos de seguridad y las organizaciones. Ciertas industrias, como fabricantes de dispositivos médicos, están más enfocadas en el tema que otras, en gran parte porque están sujetas a una fuerte regulación. (La Administración de Alimentos y Medicamentos, por ejemplo, tiene «reglas estrictas sobre dispositivos para ser implantados en personas», dice Miller). Nueva legislación como la Ley de Privacidad del Consumidor de California está reprimiendo el uso de datos de consumidores por parte de comerciantes para fines de marketing. Además, los legisladores están apuntando a los fabricantes con medidas que exigirían niveles más altos de seguridad integrada para dispositivos basados en IoT. (Por ejemplo, prohibir el uso de contraseñas predeterminadas fáciles de descifrar, que muchos usuarios descuidan cambiar).

Otros esfuerzos para reforzar la ciberseguridad son liderados por organizaciones como el Instituto Nacional de Estándares y Tecnología, cuyos estándares son aceptados globalmente, y la Autoridad Monetaria de Singapur, el banco central de ese país. Cuatro de las cinco recomendaciones de esta última para impulsar la seguridad están incluidas en el estudio de Ponemon.

«Necesitas entender qué dispositivos tienes dentro de tu propia organización y permites que usen tus terceros», dice Miller. «Y necesitas asegurarte de que la forma en que los dispositivos están conectados esté segmentada de tu departamento de producción. Así, si hay una violación, hay aislamiento en un segmento no productivo de tu red».

La educación es primordial, dice Ponemon, enfatizando que la conciencia del riesgo cibernético debe ir desde cada empleado individual hasta la suite ejecutiva, así como a socios y clientes externos de la cadena de suministro.

Miller dice que las empresas deben realizar casos de uso antes de comprometerse al uso de cualquier dispositivo IoT, para determinar el potencial de mal uso. Por ejemplo, los sistemas de monitoreo en automóviles modernos podrían permitir a hackers tomar control del vehículo remotamente. «La industria del transporte está analizando esto muy en serio», dice.

Al final, se reduce a la vigilancia por parte del usuario. «La higiene cibernética es responsabilidad del individuo», dice Ponemon. «Eso es crítico. No se trata solo de IoT, se trata de todo».