Alrededor de 672 millones de hogares se espera que utilicen dispositivos domésticos inteligentes para 2027, pero la ciberseguridad de estos dispositivos puede variar.
Se espera que los consumidores se informen por sí mismos sobre la seguridad de los dispositivos. Sin embargo, la información sobre la ciberseguridad de un dispositivo puede no estar fácilmente disponible o resultar difícil de entender.
Un programa de etiquetado de ciberseguridad para dispositivos inteligentes incentivaría a los fabricantes a demostrar que sus dispositivos han superado evaluaciones de ciberseguridad rigurosas y permitiría a los clientes tomar decisiones más informadas.
Alrededor de 672 millones de hogares se espera que utilicen dispositivos domésticos inteligentes para 2027. Una mayor conectividad conlleva mayores riesgos, como ciberataques, invasión de la privacidad, acoso, solicitudes de rescate y más. Los casos de dispositivos inteligentes pirateados ya no son raros; ocurre a diario.
Los dispositivos concebidos para ofrecer comodidad se convierten en una fuente de amenaza y estrés. En 2020, en Singapur, alrededor de 50.000 cámaras de seguridad domésticas fueron comprometidas y sus grabaciones vendidas a sitios web ilícitos. Imagine que los dispositivos que instaló para proteger su hogar comprometieran, en cambio, su privacidad.
Ante estas amenazas, el Informe de Acción y Progreso Global 2022 del Foro Económico Mundial sugiere que la comunidad internacional ha logrado avances considerables en la gobernanza de la tecnología conectada. El sector público y privado, por ejemplo, está dialogando y estableciendo mejores prácticas y estándares para combatir la ciberdelincuencia. Sin embargo, estas medidas solo serán eficaces si se establecen mejores prácticas comunes a escala mundial y se reduce la naturaleza, a menudo fragmentada, de los enfoques para prevenir la ciberdelincuencia.
Etiquetado de dispositivos inteligentes
En un mundo ideal, los dispositivos conectados a internet estarían diseñados con seguridad desde el origen a lo largo de todo su ciclo de vida, pero los dispositivos inteligentes se diseñan principalmente para optimizar su funcionalidad y presentan múltiples vulnerabilidades que los hacen menos resistentes a los ciberataques.
Para protegerse mejor del riesgo de ataques, se espera que los consumidores se informen por sí mismos sobre la seguridad de los dispositivos. Sin embargo, la información sobre la ciberseguridad de un dispositivo puede no estar fácilmente disponible o resultar difícil de entender. Con frecuencia, los usuarios de dispositivos inteligentes aprenden por las malas.
Según Beau Woods, defensor de la ciberseguridad de la organización de seguridad digital de base I Am The Cavalry: «Es insostenible privar a los compradores de información para tener en cuenta la seguridad en sus decisiones de compra, y al mismo tiempo hacerlos totalmente responsables de cualquier daño que se produzca sin culpa propia. Sobre todo, porque la mayoría espera que los productos del mercado tengan un nivel básico de seguridad y protección».
¿Y si existiera una etiqueta de calificación de ciberseguridad para los dispositivos inteligentes? Los fabricantes tendrían que demostrar que sus dispositivos inteligentes han superado evaluaciones de ciberseguridad rigurosas y cumplido los estándares. Los clientes podrían tomar decisiones más informadas.
El etiquetado de productos se remonta a finales del siglo XIX, cuando se implantó por primera vez para proteger a los consumidores de productos peligrosos o etiquetados de forma inexacta. Cada vez más, los gobiernos muestran un creciente interés por aplicar el etiquetado de dispositivos inteligentes en materia de ciberseguridad. Países como Singapur, Finlandia y Alemania han establecido programas de etiquetado de ciberseguridad para dispositivos inteligentes de consumo, que ofrecen información sobre la seguridad de los dispositivos.
Estos programas también pueden ayudar a los fabricantes a mantener su competitividad e incentivarles a incluir la prevención de ciberataques en el diseño de los dispositivos desde la fase previa al diseño.
En Singapur, los dispositivos inteligentes reciben una calificación en estrellas basada en las prestaciones de ciberseguridad integradas, de modo que una persona puede comparar dispositivos antes de comprar. Cuantas más estrellas, más requisitos exigentes cumple el dispositivo y más rigurosas han sido las pruebas de seguridad que ha superado.
Alemania ha introducido un esquema de etiquetado voluntario para los dispositivos IoT. Escaneando el código QR o siguiendo el enlace corto de una etiqueta, paquete o página web, un consumidor puede comprobar que un dispositivo cumple estos requisitos antes de realizar la compra. Tras obtener la etiqueta alemana de seguridad informática, que tiene una validez de dos años, los dispositivos quedan sujetos a una vigilancia del mercado que puede someter a prueba los dispositivos de forma aleatoria o en función de determinadas circunstancias.
La Administración Biden anunció un programa de etiquetado de criterios de ciberseguridad publicado por el Instituto Nacional de Tecnología y Normas (NIST).
Oportunidades para avanzar
La naturaleza disruptiva de los dispositivos inteligentes y de la ciberseguridad puede plantear desafíos para el proceso de etiquetado:
Las etiquetas estáticas proporcionan información que solo es válida durante un periodo y requiere actualizaciones, en lugar de presentar la información en tiempo real. Para superar esto, las etiquetas deberían incluir un componente dinámico que permita seguir la información de seguridad.
Es posible que los programas de etiquetado no se comparen con el nivel adecuado. Los que se comparan con una referencia inferior a la adecuada podrían generar incentivos equivocados para los fabricantes: según el tipo de programa de etiquetado, las empresas podrían optar por la opción más fácil o barata y limitar las medidas adicionales para alcanzar niveles más altos de seguridad de los dispositivos.
Por otra parte, los requisitos excesivamente estrictos podrían crear una barrera de entrada. Los programas de etiquetado deben garantizar que los requisitos sean alcanzables, sostenibles y adecuados para mitigar los ciberataques, al tiempo que cuentan con un mecanismo que incentive a los fabricantes a esforzarse de forma continua por lograr una mayor seguridad de los dispositivos y una innovación rentable.Si los nuevos dispositivos con seguridad mejorada llegan al mercado sin haber pasado por un proceso para obtener una etiqueta, es posible que no reciban la misma atención por parte de los consumidores que un dispositivo etiquetado con un nivel de seguridad inferior.
Para que el etiquetado funcione, estas barreras deben abordarse de manera colectiva. Los programas a nivel nacional pueden respaldarse con esquemas de incentivos para los fabricantes, con la sensibilización sobre los riesgos y beneficios de los dispositivos inteligentes para los consumidores y con la mejora de la educación en ciberseguridad.
El futuro del etiquetado de dispositivos
Países como Singapur y Finlandia están colaborando para reducir las barreras mediante acuerdos de reconocimiento mutuo. El NIST y el Departamento de Comercio de Estados Unidos han defendido el respaldo al reconocimiento mutuo de los programas de etiquetado entre economías nacionales y la necesidad de comunicar con eficacia sobre la seguridad de los dispositivos IoT.
En un mundo en el que la seguridad desde el diseño es limitada, el etiquetado para informar a los consumidores es un punto de partida, pero se necesitan más investigación, consultas y proyectos piloto para comprender qué diferencia pueden marcar las etiquetas para las personas y las empresas. Se necesita un enfoque holístico, basado en sistemas, para que los dispositivos inteligentes realmente beneficien a la sociedad. Las acciones clave incluyen:
1. Proteger los dispositivos conectados mediante un diseño en el que la seguridad esté integrada en todo el ciclo de vida del dispositivo.
2. Reducir la fragmentación de los programas de etiquetado por parte de gobiernos, asociaciones y empresas a escala internacional.
3. Facilitar a los consumidores el acceso a información actualizada, fácil de leer y precisa para tomar decisiones de compra informadas.
4. Mitigar los riesgos ambientales adoptando modelos de economía circular y replanteando la forma en que extraemos y utilizamos los recursos naturales finitos para fabricar dispositivos conectados.
Comprender el impacto real del etiquetado de dispositivos en el comportamiento de los consumidores e incentivar a los fabricantes puede impulsar la adopción de dispositivos inteligentes diseñados con seguridad desde el origen y aumentar la transparencia en materia de seguridad.
