Protección de dispositivos inteligentes: es hora de construir un modelo de seguridad maduro para el Internet de las Cosas

Desde cerraduras de puertas inteligentes hasta frigoríficos que pueden encargar la comida, nuestros hogares y oficinas cuentan con más dispositivos habilitados para Wi-Fi que nunca.

Gracias a la popularidad de algunos dispositivos de consumo fáciles de usar Amazon Echo, el mercado del Internet de la Cosas (IoT) crece a un ritmo vertiginoso. El número de conexiones IoT en el mundo alcanzará  los 3.500 millones en 2023, mientras que el DBS Bank predice que este mercado llegará a su supuesto “punto de inflexión” -cuando la tasa de adopción mundial de dispositivos IoT llegue al 20% – a finales de 2019.

Con al menos cinco dispositivos conectados por individuo en los próximos años, somos ahora mucho más vulnerables a los ciberataques en nuestros hogares de lo que pensamos.. No obstante, aunque, hoy en día, la mayoría de los usuarios de Internet, tanto particulares como corporativos, entienden la importancia de proteger con un software antivirus los portátiles, teléfonos o las redes de seguridad empresariales, aún no sentimos esa necesidad cuando se trata de cerraduras inteligentes o cámaras de vigilancia IP.

Sin embargo, esto debería ser ya una prioridad, dado que nos encontramos en pleno apogeo de malware IoT. Una investigación de Kaspersky reveló que los ciberdelincuentes son cada vez más conscientes de lo vulnerables que son realmente los dispositivos conectados. En el primer semestre de 2018 se registraron tres veces más muestras de malware atacando a dispositivos inteligentes (121.588) que en todo el 2017. Este estudio también mostró que los ciberdelincuentes están multiplicando y diferenciando sus ataques como resultado del crecimiento del IoT, exponiendo los dispositivos conectados al malware para que puedan minar criptomonedas o formar parte de una botnet. Así pues, la amenaza de ciberataques al IoT es demasiado importante como para ignorarla.

Un ecosistema de seguridad completo

Puesto que el nivel de ataques de amenazas a los dispositivos conectados aumenta a un ritmo alarmante, la necesidad de la industria de ciberseguridad de desarrollar un modelo de seguridad IoT más maduro es evidente.

El ataque a Target en 2013 es solo un ejemplo y puso de manifiesto la importancia de un modelo maduro de seguridad de IoT para supervisar la ciberseguridad en todo el sistema. En 2013, la red de Target fue atacada por actores de amenazas que introdujeron malware en los dispositivos de punto de venta, con el que recopilaron aproximadamente 40 millones de datos de tarjetas de pago en poco más de dos semanas. Tras una investigación, se descubrió que los autores habían obtenido acceso a la red segura a través del proveedor principal de calefacción y aire acondicionado del minorista.

Hoy en día sabemos que el sector de la calefacción, ventilación y aire acondicionado (HVAC) incorpora muchos elementos IoT en sus sistemas de productos, incluyendo controladores de procesos, sistemas SCADA, consolas de interfaz hombre-máquina y herramientas de comunicación. Cada uno de estos elementos puede ser accesible de forma remota, lo que permite a los proveedores externos cargar parches y solucionar errores. Esto hace que todo el sistema sea más cómodo, pero también proporciona muchos más posibles puntos de entrada para un atacante.

Este caso es un ejemplo perfecto de una industria integrada en la que se debería realizar una evaluación de la madurez de la seguridad para cada uno de los componentes de todo el sistema. El uso de este modelo en casos como éste permitiría a las organizaciones y a los expertos en seguridad determinar el nivel de “seguridad suficiente” necesario en toda la red -incluidos los dispositivos con acceso remoto- para optimizar el proceso de seguridad, y evaluar y planificar la cantidad de trabajo que esto requerirá, tanto a nivel de dominios de seguridad como de las prácticas individuales.

Una tarea desafiante

Sin embargo, el desarrollo de una estrategia coherente de protección contra las ciberamenazas resulta difícil, especialmente cuando se trata del Internet de las Cosas ya que abarca una gama muy amplia de industrias y dispositivos. Un ejemplo de cuán variados son estos elementos se destaca en el Modelo de Madurez de la Seguridad del IoT, que incluye ejemplos tan diversos como una línea de embotellado utilizada por los integradores de sistemas, un gateway de actualización inalámbrico para un firmware de una unidad de control electrónico de automoción, y cámaras de seguridad residenciales, todos ellos necesitarían el apoyo de un sistema de seguridad maduro.

Idealmente, la elección de herramientas y servicios de seguridad para los fabricantes de dispositivos de IoT debería resolver esta tarea tan compleja de optimizar los recursos de la empresa y, al mismo tiempo, servir a los intereses del negocio. Incluso si dos organizaciones corren riesgos de seguridad similares, las consecuencias de posibles incidentes pueden ser más duras para una industria que para la otra.

En última instancia, un modelo de madurez de la seguridad IoT garantizará que las medidas de protección frente a las ciberamenazas en toda la cadena de producción correspondan a cada una de estas necesidades empresariales reales. El objetivo de un modelo maduro es definir un estado de seguridad suficiente para cada sistema, identificar los medios de protección adecuados y ayudar a los responsables de la seguridad de ese sistema a aplicar esos métodos.

A medida que la amenaza de malware en los dispositivos IoT sigue creciendo, este enfoque será vital para proteger de la ciberdelincuencia nuestros hogares, oficinas, industrias e incluso nuestra salud. Aunque puede ser difícil de implementar, los expertos deben adoptar un proceso de seguridad que sea completo y específico para cada sector con el fin de adoptar un modelo completamente maduro.

Con un abanico tan amplio de organizaciones, sistemas y soluciones separadas que incorporan el IoT, cada aplicación requerirá diferentes niveles de madurez. Al diseñar específicamente este modelo maduro de seguridad para cada área de su infraestructura empresarial, los expertos en seguridad se asegurarán de que defienden mejor cada paso del ecosistema IoT, ayudándoles a hacer nuestras vidas y nuestras oficinas más cómodas ahora y en el futuro.