Confianza Cero: La Defensa Definitiva para la Seguridad de Dispositivos IoT

Los expertos en ciberseguridad se apresuran a mantenerse un paso adelante de hackers que buscan explotar debilidades en millones de dispositivos internet de las cosas en todo el mundo. Pero tal vez estén enfocándose en el problema equivocado.

Los dispositivos IoT impregnan virtualmente todos los aspectos del negocio hoy, y están haciendo incursiones rápidas en el sector de consumo también. Cada sensor que se conecta a internet crea otra vulnerabilidad potencial para su usuario. Así que no es sorpresa que el estado actual de la seguridad IoT "probablemente no sea muy bueno", como lo describe Gary Kinghorn, director gerente de Tempered Networks.

Cuando la base de datos de grandes apostadores de un casino es hackeada a través de un termómetro "inteligente" de acuario, está claro que el universo IoT en auge tiene un problema serio. El estado de vulnerabilidad de la tecnología "casi llega al punto del absurdo", dice Kinghorn.

Las empresas que buscan reforzar sus sistemas de información se han enfocado en los dispositivos mismos, en particular la necesidad de contraseñas fuertes que supuestamente los protejan de ladrones cibernéticos. El gobierno también ha buscado reforzar dispositivos IoT a través de medidas como la Ley de Mejora de Ciberseguridad recientemente aprobada. Pero Kinghorn cree que esa no es toda la respuesta —ni siquiera la pregunta correcta.

Cada dispositivo conectado a IoT tiene una dirección IP que lo hace un objetivo tentador para hackers. Sin embargo, los transmisores simplemente no son tan "inteligentes" como podría sugerir ese adjetivo de moda. "Son dispositivos muy simples", dice Kinghorn. "Nunca van a ser lo suficientemente sofisticados para analizar una conexión de red legítima o solicitud de datos".

En su lugar, los usuarios deberían enfocarse en lo que Kinghorn llama "el verdadero agujero" en la seguridad: la red misma. La clave es asegurar que los vectores de ataque no estén disponibles para hackers. Y para hacer eso, los sistemas necesitan adoptar un modelo de "confianza cero" para autorizar el acceso.

El término significa que "no confías en nada que intente conectarse a tu red, incluso aplicaciones o dispositivos de tus propios usuarios internos, a menos que estén específicamente autorizados", explica Kinghorn. Piense en una "lista blanca" que protege una línea telefónica de estafadores, telemercadeo y robollamadas bloqueando todos menos los números designados previamente.

Un entorno de confianza cero asegura que "todo el tráfico se mueve a través de la red encriptado, así que no hay intercepciones o ataques man-in-the-middle", dice Kinghorn. La política de seguridad de la organización se gestiona en torno a la identificación previa de dispositivos y usuarios, en lugar de confiar en la fiabilidad de sensores IoT.

Tal sistema restringe el acceso a la red incluso por los dispositivos más confiables. En el caso del casino hackeado, Kinghorn pregunta, ¿por qué ese termómetro de acuario estaba vinculado a la base de datos de clientes en primer lugar? "Solo debería permitírsele acceder a un sistema —el que habla de la temperatura del tanque".

La confianza cero hace posible que los sistemas aíslen sensores individuales de la red más grande. Entonces, ¿por qué no más usuarios privados y públicos han adoptado el concepto, incluso mientras las brechas de seguridad continúan aumentando?

Kinghorn encuentra algunas respuestas en el Informe de Adopción de Confianza Cero de Cybersecurity Insiders. Encuentra un alto nivel de entusiasmo sobre el modelo de confianza cero, con el 78% de los equipos de seguridad de TI encuestados expresando interés en implementar acceso de red de confianza cero en el futuro. Responden a una necesidad de reforzar la seguridad del sistema en un momento en que las empresas recurren a la nube pública e intentan gestionar fuerzas de trabajo móviles de forma segura.

Al mismo tiempo, el 47% de la muestra dijo que carece de confianza en la capacidad de su tecnología de seguridad actual para implementar confianza cero. Solo el 15% ya tiene tal sistema en su lugar, y alrededor del 20% no ha dado mucho pensamiento a la tecnología en absoluto.

El costo es un factor limitante, dice Kinghorn. La confianza cero puede ser costosa de lograr, con la necesidad de "arrancar y reemplazar" algunos sistemas de TI, y en su forma actual no siempre se extiende a aplicaciones fuera del centro de datos.

"Ese es nuestro enfoque", dice Kinghorn, "poder aplicar confianza cero a cualquier red o dispositivo, a través de una combinación de un agente de software típico y dispositivos gateway cableados".

Cuando se trata de actualizaciones tecnológicas, el cambio rara vez es fácil. Los equipos de seguridad de TI podrían considerarse cómodos con firewalls tradicionales y redes privadas virtuales (VPN), o preocuparse por la molestia de requerir autenticación multifactor. Pero la confianza cero puede configurarse con un solo inicio de sesión, y los agentes pueden instalarse en cuestión de minutos, afirma Kinghorn. "No es onerosamente costoso", dice, "aunque algunas organizaciones podrían hacerlo así".

Ve el interés en confianza cero aumentando rápidamente, especialmente en respuesta a la pandemia de COVID-19 y los problemas de seguridad adicionales que ha traído a los departamentos de TI. Y si bien la aceptación total de la tecnología puede tomar algún tiempo, la falta de avance expondrá a las empresas a ataques cada vez más dañinos por hackers creativos.

Los sistemas heredados de ayer no están equipados para abordar las ciberamenazas modernas, dice Kinghorn. "La pila de protocolo IP tiene 50 años. Nunca fue diseñada para hacer lo que las organizaciones de TI están siendo preguntadas a hacer hoy. Por eso necesitamos un modelo completamente nuevo".