No se puede subestimar la importancia de la seguridad en el Internet de las Cosas. Sin embargo, las empresas parecen ser algo miopes cuando se trata de asegurar sus implementaciones de IoT y proyectos de Prueba de Concepto. Las redes empresariales de todo el mundo tienen millones de dispositivos IoT no gestionados conectándose a sus redes cada día.  A pesar del alto costo asociado, la seguridad aún no ha emergido como el punto focal de atención y acción para los ingenieros de IoT, directores de negocios y desarrolladores.

Días iniciales

Al igual que otras tecnologías nuevas e innovadoras que vinieron antes, el IoT actualmente está pasando por su fase inicial de adopción. Las preguntas inmediatas que se plantean incluyen: ¿podemos eliminar un proceso manual? ¿Cómo mejoramos la velocidad de transmisión de datos? ¿Es posible que nuestras máquinas aprendan? Sin embargo, la prisa por adoptar y desplegar estas nuevas posibilidades ha dejado a muchos CISOs enfrentando un creciente desafío en forma de seguridad.

Los sistemas de Control de Supervisión y Adquisición de Datos (SCADA) han sido integrales para las operaciones de fabricación durante las últimas décadas. Industrias como petróleo y gas, energía/red inteligente, agricultura, manufactura y servicios públicos han implementado sistemas y redes SCADA para recopilar datos y automatizar procesos, y buscan en los sistemas de automatización formas más efectivas de operar. Los ataques a infraestructuras críticas como estas podrían causar daños por miles de millones y algunas empresas encontrarán difícil recuperarse.

En los últimos cinco años, los sistemas de tránsito masivo rápido y los de energía y agua en todo el mundo han sido atacados y cerrados por hackers. Muchos de estos ataques fueron diseñados para manipular el comportamiento de las masas y, en algunos casos, infligir daños inaceptables a las economías de los países involucrados. Los ataques a sistemas IoT masivos, como la configuración de comando y control de una ciudad inteligente, podrían causar una interrupción de una escala nunca antes vista.

Vulnerabilidades inherentes

En 2017, se encontró que más de 2 millones de dispositivos IoT estaban comprometidos en una sola instancia de una potente infección de malware. Se descubrió que el malware, denominado Reaper o IoTroop, estaba cosechando datos en silencio a través de estos dispositivos para propósitos aún por comprender completamente.  Se descubrió que Reaper explotaba 9 vulnerabilidades y, según algunos investigadores, el malware en una forma mutada podría todavía estar rondando explotando vulnerabilidades.

Como resultado, hay muchos dispositivos IoT, con diferentes versiones de núcleos, frameworks, servidores web y aplicaciones. E incluso si los fabricantes pudieran desarrollar parches, la logística de actualizar el software o firmware es extremadamente desafiante.

Para complicar el desafío, hay un enfoque inquebrantable en establecer flujos de datos y garantizar el éxito del PoC a toda costa. En su afán por hacer exitosas las implementaciones de IoT, los tomadores de decisiones y otras partes interesadas a menudo pasan por alto las vulnerabilidades y los requisitos de seguridad a largo plazo a través de procesos, dispositivos, flujo de datos, almacenamiento y análisis. La seguridad ni siquiera es una idea posterior en muchos casos.

¿Cómo priorizar la seguridad?

La seguridad debería ser una parte integral del tablero de dibujo para cada proyecto. Más allá de eso, toda la longitud y amplitud de la cadena de valor y la implementación de IoT deben ser fortalecidas para asegurar datos, dispositivos y mecanismos de almacenamiento. Aquí hay algunos otros pasos que se recomiendan:

• La seguridad debería ser parte de cada discusión sobre IoT dentro o fuera de su organización en la medida de lo posible

• Realice hackatones internos y escenarios de prueba de estrés para identificar y corregir vulnerabilidades

• Mantenga siempre actualizado y parcheado su firmware y software

• Utilice sistemas para detectar flujos de tráfico inusuales u otras anomalías

• Asegure primero los sistemas heredados

• Opte por seguridad en capas con cifrado de datos multipunto

• Realice ejercicios de aislamiento y remediación para dispositivos

• La identificación y autenticación de dispositivos es imprescindible

Recuerde que siempre está en la mira de un posible hacker y la mejor estrategia de seguridad es aumentar la distancia entre sus sistemas críticos y datos y ellos.