IoT: la evolución natural hacia un mundo cada vez más conectado

El Internet de las Cosas, reconocido hoy en día por su acrónimo en inglés IoT (Internet of Things), lo podemos considerar como un fenómeno natural derivado del imparable crecimiento de las posibilidades de las tecnologías de comunicación, pero también del tratamiento y uso de datos, o Big Data, que lleva asociado. Indudablemente, debemos tener presente que estos dos términos van de la mano y que, cada vez más, este binomio será más fuerte y presente.

Desde la aparición de los primeros dispositivos móviles orientados a la telefonía, el crecimiento en conectividad, funcionalidad y campos de aplicación no ha parado de aumentar. La realidad IoT se consolida día a día. En la actualidad, es común hablar de hogares inteligentes, educación inteligente, cuidado de la salud inteligente, wearables, smart grid, el Internet de los Vehículos (IoV) y otras industrias que hacen gran uso de la IoT. La conexión total brindará inmensos beneficios a las personas y a la sociedad en su totalidad.

La gran popularidad de los dispositivos móviles y el consecuente abanico de plataformas y servicios que se han desarrollado alrededor de ellos está estimulando el crecimiento rápido del mercado de la IoT. Gartner estima que en el mundo habrá 20.800 millones de dispositivos conectados en 2020 y más de 50.000 en los siguientes años. Esto representa una tasa de crecimiento anual compuesto del 34 por ciento.

Las ventajas son evidentes, pero la superficie de exposición a ciberamenazas debido a la velocidad a la que aparecen los dispositivos IoT y su presencia en cada vez más sectores exige que la atención y ritmo de adecuación en cuanto a la seguridad de las comunicaciones y los datos vayan en paralelo. Y éste es un gran reto a afrontar.

Amenazas y retos de seguridad

Las ciberamenazas sobre dispositivos IoT no difieren en esencia de cualquier otro dispositivo que maneje datos sensibles y tenga acceso a Internet. Las diferencias estriban, fundamentalmente, en la enorme cantidad de dispositivos existentes, su conexión ininterrumpida y, principalmente, una posible falta de seguridad intrínseca a productos de bajo coste que, por otra parte, se orientan a ofrecer servicios que acceden a datos o información, a veces sensible.

Por otro lado, la recolección de datos personales de los usuarios es inherente al funcionamiento de estos dispositivos, con independencia del nivel de consciencia del usuario en cuanto a la información personal que está revelando con el uso de estos servicios, lo cual también es una fuente de problemas de seguridad.

Aunque en los últimos años los avances que se han producido en seguridad IT y su aplicación en la protección de datos y comunicaciones son enormes, las limitaciones técnicas de muchos dispositivos, su ritmo de aparición y su acceso cada vez mayor a gran cantidad de datos, configuran un escenario que presenta un importante reto en la gestión y fiabilidad de la seguridad IoT.

Una encuesta de Forrester realizada en organizaciones de todo el mundo reveló que el 47 por ciento de las organizaciones industriales que usan o tienen planificado usar IoT ya había experimentado problemas de seguridad en sus aplicaciones industriales. Otras investigaciones mostraron lo siguiente:

• El 27 por ciento de los sistemas de control fueron comprometidos o infectados.
• El 80 por ciento de los equipos usa una contraseña simple.
• El 70 por ciento de la comunicación no está cifrada.
• El 90 por ciento de las actualizaciones de firmware no hace verificaciones de firmas. Es posible que muchos dispositivos no puedan actualizarse. Los datos hablan de una evidente necesidad de afrontar la seguridad.

Estas cifras se ha materializado en incidentes de gran importancia como el protagonizado en 2016 por el malware “Mirai”, un software malicioso diseñado especialmente para sacar partido de fallos de seguridad de millones de dispositivos como cámaras IP, grabadoras digitales de video o routers domésticos, entre otros, para realizar ataques de denegación de servicio distribuido DDoS con importantes consecuencias en reconocidos sitios web y empresas como los proveedores de servicios OVH o DynDNS. La magnitud de estos ataques llegó a cuadriplicar la potencia de los DDoS que se conocían hasta entonces.

En resumen, los riegos de seguridad de dispositivos IoT derivan de una serie de debilidades intrínsecas al concepto de los mismos, como son:

• Bajo coste y recursos limitados de procesamiento donde prevalece la eficiencia sobre otros factores.
• Ecosistemas de operación muy diversos y complejos.
• Y, sobre todo, falta de experiencia de muchos fabricantes en un sector de operación relativamente nuevo que presenta frentes de exposición muy amplios y en muy diversos entornos.

Seguridad multicapa

INCIBE, como entidad orientada a la ciberseguridad y en su objetivo de ofrecer servicios para ciudadanos y empresas, es consciente de la importancia del impacto IoT en todos los sectores tecnológicos. La tendencia e impacto de IoT globalmente, ya no solo en el sector industrial sino en todo el entorno TIC, es considerable. En este sentido, se ofrece un estudio detallado que analiza pormenorizadamente esta situación.

Igualmente, entre otras iniciativas potenciadas desde la entidad, se elaboró, en colaboración con Huawei, un estudio específico de este fenómeno en el cual se presentan conclusiones y orientaciones que deberían marcar pautas para afrontar todo el proceso de vida y uso de dispositivos IoT.

El ecosistema IoT incluye dispositivos, redes, plataformas y aplicaciones que requieren múltiples medidas de protección de la seguridad en cada capa, así como capacidades de ciberinteligencia y de análisis de seguridad de la totalidad de los datos para aprovechar la sinergia entre los dispositivos y la nube. Se hacen necesarias:

• Capa base del diseño y la tecnología empleada en la construcción del dispositivo: uso de criptografía TPM y fortificación del hardware.
• Seguridad a nivel de aplicación y sistema. Auditoría del sistema operativo y software.
• Seguridad en las comunicaciones. Cifrado e integridad.
• Seguridad en la nube a nivel de plataforma. Seguridad de acceso, integridad y disponibilidad.