El mercado de las ciudades inteligentes está creciendo a un ritmo acelerado: para 2023 se invertirán 189.000 millones de dólares en iniciativas de ciudades inteligentes en todo el mundo.
Las ciudades inteligentes dependen de las conexiones entre sistemas, sensores y dispositivos, pero cuantos más elementos estén conectados, mayores serán las oportunidades para que los ciberdelincuentes se infiltren.
La seguridad desde el diseño y una gobernanza que involucre a especialistas en ciberseguridad son cruciales para las iniciativas de ciudades inteligentes.
El concepto de «ciudades inteligentes» —sistemas municipales digitales que hacen de todo, desde controlar las redes de tráfico y garantizar la calidad del agua hasta promover el voto en línea e identificar el origen de disparos en barrios remotos— ya es habitual. Es un segmento de mercado apasionante y de crecimiento acelerado: las investigaciones indican que se invertirán la asombrosa cifra de 189.000 millones de dólares en todo el mundo en iniciativas de ciudades inteligentes para 2023.
Más de la mitad del gasto mundial en proyectos de ciudades inteligentes se concentra en tres casos de uso: infraestructura energética resiliente, seguridad pública basada en datos y transporte inteligente. Es evidente que aún queda un gran potencial de innovación por aprovechar en sistemas que mejoren la forma en que las comunidades trabajan, viven y disfrutan del tiempo libre. Las iniciativas de ciudades inteligentes transformadoras —desde la red eléctrica inteligente de San Francisco hasta los sistemas digitalizados de gestión de residuos de Barcelona— son solo dos ejemplos entre decenas de miles de iniciativas de ciudades inteligentes, y habrá muchas más.
Sin embargo, todos esos sistemas, sensores y dispositivos conectados entre sí —y con sistemas externos de todo el mundo— a través de redes ultrarrápidas mediante la internet pública y una amplia variedad de arquitecturas de computación en la nube pueden tener consecuencias imprevistas. Cuantos más elementos estén conectados, mayores serán las oportunidades para que los ciberdelincuentes se infiltren en sus sistemas, extraigan datos sensibles e interrumpan sistemas potencialmente críticos que se usan en la aplicación de la ley, la salud pública y otras funciones municipales.
En el mundo de las ciudades inteligentes, es imprescindible mejorar la preparación, la resiliencia y la capacidad de respuesta en materia de ciberseguridad. Los beneficios previstos y las nuevas capacidades de los municipios digitales son sumamente prometedores, pero todo puede venirse abajo para los cargos electos, los responsables de departamentos gubernamentales, las empresas locales, los ciudadanos y los visitantes si la ciberseguridad no es una prioridad absoluta.
Las ciudades inteligentes deben ser seguras desde el diseño
Los sistemas conectados para los servicios de emergencia, los controles medioambientales, el acceso público a internet, la gestión del tráfico, la energía verde y otros ámbitos deben basarse desde el principio en protocolos y políticas de seguridad sólidos, intuitivos y automatizados. La seguridad que se «añade» una vez que los sistemas ya están instalados (y quizá después de que ya se hayan producido filtraciones de datos) apenas sirve de nada. Los hackers son inteligentes, ingeniosos y colaboran estrechamente. Las iniciativas de seguridad añadidas no funcionarán, y las posibles consecuencias son aterradoras: a menudo incluyen ataques de ransomware capaces de paralizar los sistemas municipales.
El riesgo cibernético para las ciudades inteligentes se agrava debido a la proliferación vertiginosa de los llamados «puntos de conexión» en los límites de las redes municipales y como puertas de enlace a la nube. No se trata solo de más ordenadores portátiles, tabletas y teléfonos inteligentes, sino también de nuevas formas de sistemas y dispositivos «inteligentes» basados en sensores. A esto se suman las personas —empleados municipales, ciudadanos, visitantes y empresarios que se conectan a los sistemas wifi municipales—, que a menudo son eslabones débiles en la cadena de ciberseguridad debido a sus deficientes hábitos de seguridad.
La importancia de la «seguridad desde el diseño» se hace evidente al considerar el aumento del uso de aplicaciones inteligentes en el hogar, como la iluminación automática de bajo consumo y la medición del consumo energético. Si la seguridad no se integra eficazmente en estos sistemas desde el diseño, es fácil imaginar lo que podrían hacer los hackers si accedieran a las redes informáticas domésticas de los residentes y al tesoro de datos personales y privados al que tendrían acceso, desde registros bancarios hasta números del seguro médico.
Garantizar la ciberresiliencia
Un problema importante para los gobiernos locales, estatales y nacionales es la falta de gobernanza de las iniciativas de ciudades inteligentes, en particular en cuestiones como el manejo de datos, las políticas de privacidad y los privilegios de acceso. Por ejemplo, pensemos en algo aparentemente modesto como contratar a un proveedor para instalar farolas inteligentes. Si los funcionarios gubernamentales y sus equipos técnicos no cuentan con las políticas de gobernanza adecuadas para garantizar que el proveedor haya integrado medidas de seguridad que impidan a los hackers infiltrarse en los sistemas internos a través de los sistemas de iluminación digital, podrían producirse, por ejemplo, extracciones de datos, o algo peor.
«En el mundo de las ciudades inteligentes, es imprescindible mejorar la preparación, la resiliencia y la capacidad de respuesta en materia de ciberseguridad».
Haider Pasha, Palo Alto Networks
Todos los actores del entorno de una ciudad inteligente —organismos gubernamentales, líderes municipales, empresas locales, ciudadanos y visitantes— deben mantener buenos hábitos de ciberseguridad. Son esenciales unas buenas políticas de autenticación, como cambiar las contraseñas con frecuencia y regularidad, utilizar la autenticación multifactor y adoptar cada vez más la biometría. Toda persona que acceda a los servicios digitales de las ciudades inteligentes debe asumir un compromiso personal, pero los gobiernos deben exigir e implantar políticas automatizadas.
Los municipios también necesitan que participen en sus programas de ciudades inteligentes líderes con experiencia y conocimientos especializados en ciberseguridad. Esto no exige necesariamente contratar a un ejército de ingenieros de seguridad, sino contar con líderes y profesionales para quienes la ciberseguridad sea una disciplina conocida. Estos «promotores» de las ciudades inteligentes deben tener en cuenta el contexto general y garantizar que estén en su sitio los detalles técnicos y operativos.
Por último, hay preguntas fundamentales que los líderes municipales sin formación técnica —cargos electos y responsables de departamentos gubernamentales— deben estar preparados para plantear a su CISO, CIO y otros ejecutivos técnicos encargados de supervisar la ciberseguridad:
¿Tenemos un plan documentado de respuesta a incidentes? En caso afirmativo, ¿en qué consiste? Muchos líderes municipales suelen pensar que su organización tiene un plan, pero se sorprenden al descubrir lo escaso que es en realidad.
¿Cuáles son nuestras estrategias de gobernanza para proteger sistemas, aplicaciones, datos e identidades?
¿Deberíamos permitir que nuestros sistemas heredados (y, presumiblemente, menos propensos a ser «seguros desde el diseño») se conecten con otros sistemas y dispositivos en el perímetro?
¿Qué tipo de pruebas de ciberseguridad realizamos y con qué frecuencia? ¿Qué métricas recibimos sobre esas pruebas y qué hacemos con los resultados?
En definitiva, las iniciativas exitosas de ciudades inteligentes requieren cuatro elementos fundamentales: visibilidad, para asegurarse de ver lo que realmente ocurre en esos sistemas; análisis, para identificar riesgos y comportamientos anómalos de los sistemas y las redes; control, para gestionar y, si es necesario, aislar los sistemas esenciales frente a las amenazas; y coordinación entre todas las partes interesadas clave para garantizar que la seguridad esté integrada desde el principio.
