DE LOS COLCHONES A LOS CORAZONES ARTIFICIALES: POR QUÉ ES CRUCIAL LA SEGURIDAD DE LA IOT

Autor: Liesbeth Sparks

Los dispositivos IoT están por todas partes: hay miles de millones de aparatos conectados a Internet. Pero, ¿hasta qué punto son seguros? Los riesgos exactos dependen de la funcionalidad de un dispositivo. Pero en casos extremos la seguridad de IoT puede ser una cuestión de vida o muerte, afirma Jasper Nota, Especialista Senior en Seguridad de Bureau Veritas Cybersecurity.

Nota sabe que esto es cierto, porque puso a prueba la seguridad de un corazón artificial. En este artículo explica por qué la seguridad del IoT es tan crucial. También habla de lo que puede ocurrir si se vulneran los dispositivos IoT, y de los pasos que pueden dar los fabricantes de productos y los usuarios para proteger sus dispositivos IoT.

LOS RIESGOS DE UNA SEGURIDAD DEFICIENTE DE LA IOT

Existen todo tipo de riesgos en lo que respecta a la seguridad de los dispositivos IoT. Si un atacante consigue piratear un dispositivo inteligente, las consecuencias pueden ser graves, afirma Nota: "Por supuesto, el riesgo de seguridad exacto depende del entorno del producto y de para qué se utilice. Los riesgos para un colchón inteligente, por ejemplo, son completamente diferentes a los de los dispositivos utilizados en un quirófano".

Pero aunque los riesgos varíen según el dispositivo, muchos de ellos pueden causar daños si no son seguros, afirma Nota: "¿Qué ocurriría si un atacante pudiera hacer explotar la batería de un dispositivo? ¿A quién puede espiar un atacante si el producto tiene una cámara en su interior? Estos son sólo algunos ejemplos de elementos de un dispositivo inteligente que pueden utilizarse para causar daño'.

ROBO DE DATOS A TRAVÉS DE UNA PECERA

Un ejemplo famoso de daño causado por un dispositivo IoT inseguro es el caso de la pecera de un casino. En 2017, un casino estadounidense instaló un acuario inteligente con sensores que controlaban la temperatura del agua. Estos sensores estaban conectados a la red del casino. Los ciberdelincuentes consiguieron penetrar en la red a través de la pecera y robaron 10 gigabytes de datos.

Me doy cuenta de que si yo fui capaz de encontrar un punto débil, probablemente un actor malicioso también sea capaz de encontrarlo. ~ Jasper Nota

INCORPORADO A UNA BOTNET

'Otro peligro real es que un dispositivo inseguro pueda incorporarse a una botnet', advierte Nota. 'Una botnet es un grupo de dispositivos tomados a través de una vulnerabilidad particular o una mala configuración. Eso permite a un actor malicioso controlar esos dispositivos. Utilizando una botnet, un atacante puede llevar a cabo todo tipo de ataques'. Por ejemplo: realizar ataques DDoS o robar datos sensibles de la red de la que forma parte el dispositivo.

Un dispositivo digitalmente inseguro puede perjudicar a los usuarios. Pero los peligros también son reales para los fabricantes de dispositivos. Los problemas de seguridad en los productos pueden provocar daños en la reputación y una caída del valor de mercado de la empresa.

CÓMO HACER QUE SUS PRODUCTOS IOT SEAN MÁS SEGUROS

¿Qué puede hacer para maximizar la seguridad de los productos IoT, como fabricante? Lo ideal es que un fabricante cuente con expertos en seguridad durante la fase de diseño de un producto", afirma Nota. Por supuesto, si el producto ya está en el mercado, eso no es posible.

Hay algunas medidas de seguridad que son relativamente fáciles de aplicar antes de que un producto salga al mercado, según Nota: 'Asegúrese de que no todos los dispositivos tienen la misma contraseña por defecto. Además: asegúrese de que el software del dispositivo se puede actualizar. De ese modo, cualquier fallo de seguridad que descubra podrá ser parcheado".

Para los usuarios, es importante que se aseguren de que los dispositivos IoT están aislados entre sí y del resto de la red.

DE LOS AURICULARES A LAS CERRADURAS DE LAS PUERTAS

Por supuesto, otra forma de asegurar los dispositivos IoT, es hacer que los prueben especialistas en seguridad como Nota, para poder solucionar cualquier vulnerabilidad antes de que un actor malintencionado pueda explotarla. Nota prueba principalmente la seguridad digital de la electrónica de consumo y los dispositivos médicos en Bureau Veritas Cybersecurity.

A lo largo de mi carrera he probado muchos dispositivos únicos. Píldoras inteligentes, por ejemplo. Pero también aplicaciones que se ejecutan en auriculares de realidad mixta, un colchón inteligente, cerraduras de puertas inteligentes, sistemas de alarma, televisores, relojes inteligentes y estimuladores musculares, por nombrar algunos. La mayoría de los dispositivos se envían físicamente a nuestro laboratorio de pruebas en la oficina de Ámsterdam".

PROBANDO UN CORAZÓN ARTIFICIAL

'El producto más interesante que he probado hasta ahora ha sido un corazón artificial. Fue interesante porque se trata realmente de la vida humana. No puedo entrar en demasiados detalles sobre la investigación en sí. Pero descubrimos que la seguridad del corazón estaba bien diseñada. Había varias capas de seguridad; lo que llamamos "defensa en profundidad". Sin embargo, al final descubrimos varias vulnerabilidades que podrían haber tenido un impacto catastrófico en la vida del paciente'.

ADRENALINA Y ANSIEDAD

¿Qué se siente al descubrir graves puntos débiles en los productos? Nota: 'Me produce sentimientos encontrados. Como hacker, siento una verdadera descarga de adrenalina cuando encuentro vulnerabilidades graves. Por otro lado, a veces me produce un poco de ansiedad. Un actor malicioso probablemente tiene más tiempo en sus manos para encontrar debilidades'.

IoT | Pruebas y certificación'Me doy cuenta de que si yo fui capaz de encontrar una debilidad, un actor malicioso probablemente también sea capaz de encontrarla. Pero me alegro de poder informar de estos problemas en el trabajo que hago. Y veo que las vulnerabilidades se mitigan. Así que eso es satisfactorio".

NUEVO REGLAMENTO DE LA UE PARA LA IOT

Ahora es el momento perfecto para trabajar en la seguridad de sus productos IoT, porque en agosto de 2024 entrará en vigor una adición sobre la Directiva de Equipos de Radio de la UE (RED). Nota: "Esto significa que cualquier producto IoT que se introduzca en el mercado mundial tendrá que cumplir unos requisitos mínimos de seguridad". La UE también está trabajando en una normativa de aún mayor alcance: la Cyber Resilience Act (CRA).

Desde el punto de vista de la seguridad, estas nuevas leyes son una buena noticia, afirma Nota: "El problema al que nos enfrentamos actualmente es que cuanto más invierte un fabricante de productos en seguridad, más caro resulta el producto. En estos momentos, esto significa que los dispositivos seguros son menos competitivos en precio que los inseguros'.

'Como muchos consumidores no pueden distinguir entre un producto seguro y uno inseguro, esto significa que el producto seguro sale perdiendo. Estas nuevas leyes elevarán el listón para todos, creando un campo de pago más nivelado'.

CONCLUSIÓN

La seguridad de la IO es fundamental, tanto para los fabricantes de productos como para los usuarios de estos dispositivos. Al dar prioridad a la seguridad, los fabricantes de productos pueden asegurarse de que sus clientes no se vean perjudicados, y también pueden evitar todo tipo de daños a su propio negocio.