Esta semana leí un artículo que hablaba del cifrado como seguridad, pero la verdadera seguridad va mucho más allá del mero cifrado de un envío web.
El cifrado tiene una importancia fundamental, pero si se observan algunos de los estándares de hashing relacionados (por ejemplo, hashing http://valerieaurora.org/hash.html) se ve que muchos tienen una vida útil de menos de diez años. Si se tiene en cuenta el aumento de la potencia de cálculo y la posibilidad de forzar protocolos más débiles, la situación es aún peor. La única defensa real es actualizar el software o sustituirlo con mucha frecuencia. Este es el caso tanto del dispositivo como de la infraestructura de comunicaciones, como los routers o los servidores web.
Yendo más allá y considerando únicamente el software del dispositivo: casi todos los dispositivos se construyen utilizando un sistema operativo genérico que inevitablemente requerirá la aplicación continua de parches hasta que llegue al final de su soporte. Si no se aplican los parches, los dispositivos podrían verse comprometidos sin ni siquiera romper el cifrado de los protocolos. En ese caso, el cifrado perdería todo su sentido, ya que los datos de origen quedarían expuestos. Peor aún, puede ser muy difícil demostrar que una infección se ha eliminado por completo, lo que puede requerir la sustitución de hardware para rectificar.
Para proteger su solución, debe aceptar el hecho de que los sistemas no son estáticos y que deben actualizarse con regularidad. Esta actualización no debe ser costosa (por ejemplo, exigiendo la visita de un ingeniero), ya que desincentivaría la actualización. También debe formar parte de la gestión normal del sistema, ya sea por su parte o por la de sus proveedores.
Aspectos que debe tener en cuenta al establecer su política de seguridad
Aspectos importantes a tener en cuenta y preguntas que hacerse a la hora de configurar su seguridad:
- ¿Tiene el dispositivo capacidad suficiente para gestionar futuras actualizaciones de seguridad a lo largo de la vida útil prevista (procesador y memoria)?
- ¿Dispone de un proceso para actualizar los dispositivos y lo prueba y utiliza con frecuencia?
- ¿Proporcionan sus proveedores asistencia a largo plazo para entornos de desarrollo y comunicación?
- ¿Hasta qué punto están aislados sus dispositivos del mundo electrónico: están en redes públicas o privadas que no son de confianza?
- ¿Puede supervisar los dispositivos para detectar cambios de comportamiento sin interrogarlos? Los cambios en el tráfico pueden indicar un compromiso.
- Si los dispositivos no se comportan como se espera, ¿puede diagnosticarlos y controlarlos a distancia, aislarlos o actualizarlos a tiempo?
- ¿Se gestiona y actualiza periódicamente toda la solución?
- ¿Es seguro el canal de actualización?
- ¿Cuál es la capacidad de recuperación de la infraestructura de apoyo? ¿Podría utilizarse para provocar una denegación de servicio o una interrupción?
Normas propuestas para garantizar una seguridad coherente en toda la implantación del IoT
En muchos sentidos, la solución es similar al cumplimiento de los requisitos del GDPR: Los dispositivos solo deben hacer lo que necesitan hacer y no deben añadirse funciones innecesarias al sistema hasta que sean necesarias. Los dispositivos deben diseñarse y gestionarse de forma controlada, y deben poder desactivarse. Los dispositivos no deben tener acceso a los datos ni estar expuestos en una red a menos que sea necesario para su funcionamiento. Debe conocerse y documentarse el entorno informático en el que se encuentran. Una supervisión independiente debe garantizar que los errores de configuración, los exploits u otros comportamientos inesperados se detecten rápidamente para reducir el riesgo de exposición y minimizar el alcance de los daños. Los dispositivos deben mantenerse actualizados tanto en lo que respecta a las bibliotecas y el software básicos como a las tecnologías y las vulnerabilidades. Deben realizarse auditorías para garantizar el cumplimiento. Los problemas deben detectarse, gestionarse, contenerse y, si es necesario, comunicarse rápidamente.
Todos estos conceptos existen en las normas de seguridad actuales. Son mucho más importantes que limitarse a decir "utilice AES-256", que en realidad no es una declaración sobre seguridad, sino un requisito del protocolo. Si ese AES-256 se emplea con una pila SSL 3.0, será inseguro.
Si no se es consciente de que la seguridad requiere una perspectiva de solución completa, se corre el riesgo de quedar atrapado en la Internet de los objetos comprometidos.
En Tele2, la seguridad del IoT es fundamental en el desarrollo de productos y soluciones, así como en nuestra agenda diaria con nuestros clientes y socios. Si desea obtener más información sobre cómo IoT puede ayudar a su empresa, póngase en contacto con nosotros.