El Internet de las Cosas (IoT) está llamado a revolucionar nuestro mundo y ya tiene un impacto significativo en muchos ámbitos de nuestra vida cotidiana. Pero, ¿qué entendemos exactamente por IoT y por qué es tan importante que sea seguro?
En síntesis, el IoT puede describirse en términos generales como cualquier cosa conectada a internet, aunque cada vez se utiliza más para definir tecnologías que se conectan entre sí a través de sensores y redes y hacen que las cosas sucedan.
Las posibilidades de uso de los dispositivos y tecnologías conectados mediante IoT son casi infinitas, y las empresas buscan continuamente nuevas formas de crear un mundo cada vez más conectado. Un informe reciente indicaba que en 2019 habrá en uso 14.200 millones de cosas conectadas y que la cifra alcanzará 25.000 millones en 2021.
Los ejemplos van desde los más corrientes, como los sensores que permiten encender y apagar las luces, hasta relojes inteligentes y coches sin conductor, monitores de salud y el mencionado “frigorífico inteligente”, que algún día podría permitir la entrega de la compra mediante dron sin que el consumidor tenga siquiera que escribir una lista de la compra.
Todos estos avances ofrecen el potencial de aumentar la eficiencia, mejorar la experiencia de los usuarios e incluso salvar vidas. Sin embargo, la proliferación de dispositivos que capturan nuestros datos y están cada vez más interconectados entraña riesgos.
Tres formas en que el IoT plantea riesgos
En primer lugar, la proliferación de dispositivos conectados a internet significa que los datos personales de los usuarios pueden combinarse de nuevas y poderosas maneras.
Aunque esto puede resultar útil para mejorar la experiencia del cliente, también significa que las empresas que tienen acceso a estos datos (y quienes quieran robarlos) pueden conocer una enorme cantidad de información sobre el comportamiento de las personas a través de dispositivos potencialmente inocuos.
Por ejemplo, las rutas que recorre su coche autónomo, el contenido de su frigorífico y los datos de su reloj inteligente pueden combinarse para revelar una imagen muy completa de la vida de una persona.
Aunque esto puede utilizarse con fines de marketing o, incluso, para sugerir mejoras en la vida diaria de una persona, también puede servir de vía de entrada a quienes desean manipular su comportamiento.
Pero los dispositivos IoT no solo permiten a posibles piratas informáticos acceder a los datos y hábitos de las personas. También ofrecen una vía para socavar la propia arquitectura de internet.
En 2016 se creó una red de bots que aprovechó un gran número de dispositivos IoT mediante el escaneo de internet para detectar aquellos dispositivos que tenían nombres de usuario y contraseñas predeterminados. Los dispositivos quedaron infectados con un programa malicioso llamado Mirai, que formó parte del mayor ataque DDoS (denegación de servicio distribuido) jamás registrado, lo que dejó inaccesibles amplias partes de internet, entre ellas Twitter, CNN y Netflix.
En tercer lugar, los riesgos que plantean los dispositivos IoT aumentan aún más cuando empezamos a imaginar las “ciudades inteligentes”, en las que los ecosistemas digitales de ciudades enteras están interconectados. En este caso, los riesgos pasan de estar relacionados con la privacidad a suponer posibles amenazas físicas. Por ejemplo, ya hemos conocido casos de coches autónomos afectados —de forma malintencionada o no—, y los riesgos solo aumentarán a medida que el mundo digital y el físico se entrelacen cada vez más.
Incorporar normas globales desde el diseño
Para aprovechar plenamente el potencial del futuro de estos dispositivos, los gobiernos y los fabricantes han empezado a colaborar para desarrollar una nueva arquitectura técnica que permita garantizar la seguridad de los dispositivos conectados sin perjudicar la experiencia del consumidor ni añadir costes y procesos excesivos.
Hay en marcha diversas iniciativas para ayudar a proteger los dispositivos de consumo e incentivar a los productores de estos dispositivos a garantizar que la seguridad forme parte integral de su diseño. Recientemente, el Instituto Europeo de Normas de Telecomunicaciones (ETSI) respaldó un conjunto de principios sobre cómo proteger los dispositivos IoT de consumo, que se basan en un código de buenas prácticas del Reino Unido para la seguridad del IoT publicado el año pasado.
Las especificaciones de ETSI establecen que los tres criterios principales que deben tenerse en cuenta al comprar dispositivos conectados a internet, que deberían ayudar a protegerse contra un gran número de ataques, son los siguientes:
1. Garantizar que los dispositivos no vengan con contraseñas preconfiguradas que se espere que el consumidor cambie, sino que sean únicas. Esto habría ayudado a evitar el ataque Mirai y elimina la obligación del consumidor de cambiar las contraseñas.
2. Que las empresas que producen dispositivos y servicios conectados a internet proporcionen un punto de contacto para que se puedan notificar los problemas. Esto permite a las empresas responder y solucionar cualquier incidencia.
3. Que las actualizaciones de software o “parches” de los dispositivos conectados sean fáciles de implementar y oportunas. Esto garantiza que los fallos de software, que podrían suponer una debilidad para un ataque, puedan corregirse si es necesario.
California también se ha convertido en el primer estado de EE. UU. en aprobar una ley específica de ciberseguridad para el IoT, que establece determinadas medidas que los fabricantes deben adoptar para proteger los dispositivos.
Aún queda un largo camino por recorrer para garantizar que el IoT pueda protegerse y salvaguardar los beneficios futuros de la 4RI, pero la colaboración que muestra este trabajo reciente es una señal positiva.
El Foro Económico Mundial trabaja en varias iniciativas para aprovechar los beneficios del IoT y garantizar que puedan utilizarse de forma segura. El Centro de Ciberseguridad trabajará con socios de los sectores público y privado para desarrollar este trabajo y ayudar a garantizar que los beneficios completos de nuestro futuro conectado puedan protegerse.
