La aparición de la Internet de las cosas guarda grandes similitudes con la electrificación de los países industrializados. Desde la década de 1880, con la construcción de sistemas de generación y distribución de energía, el efecto de la electrificación en la base manufacturera, la productividad, la calidad de vida y el progreso tecnológico fue sencillamente extraordinario.
Sin embargo, la electrificación trajo consigo graves consecuencias imprevistas. En aquella época no se comprendía bien la seguridad eléctrica y, con la llegada de los aparatos eléctricos, surgió un nuevo peligro en hogares y empresas: el riesgo de electrocución.
Al aumento de las muertes por descargas eléctricas le siguió un incremento de los pagos de seguros de vida. Para hacer frente a este gasto creciente, en 1894 se creó Underwriters Laboratories (UL) con el fin de redactar normas de seguridad para máquinas eléctricas. A diferencia de las organizaciones normativas habituales, que solo pueden asesorar y recomendar, las aseguradoras que respaldaban las normas de UL ofrecían un mecanismo de cumplimiento con consecuencias concretas: un comportamiento conforme a las normas se traducía en primas de seguro más bajas, mientras que el incumplimiento aumentaba considerablemente el coste del seguro.
Muchos municipios adoptaron las normas de UL como parte de sus códigos de construcción. Junto con un programa de divulgación para concienciar a los consumidores, UL cambió tanto el diseño de los productos como el comportamiento de compra de los consumidores.
El mundo digital tiene un paralelismo con la electrificación y sus consecuencias imprevistas. En 1959 se instaló el primer sistema industrial de control por ordenador en una refinería de Texas, lo que transformó para siempre los ámbitos de la automatización y el control de máquinas. Los controles digitales se extendieron por las industrias, gracias también a la introducción del controlador lógico programable en 1968 y de CPU de bajo coste como las 8080 y Z80.
Los avances paralelos en redes de datos —entre ellos X.25, Ethernet y el acceso telefónico en la década de 1970— allanaron el camino para conectar entre sí los sistemas de control mediante redes de área extensa. La reducción del coste de los semiconductores, junto con la aparición de las redes de área extensa e Internet, aceleró la implementación y la interconexión de los sistemas de control, a los que llamamos Internet de las cosas (IoT). Hoy, la IoT impulsa la base industrial de las economías del mundo, las infraestructuras que sustentan las sociedades modernas y las fuerzas militares que las protegen.
Al igual que la electrificación, la Internet de las cosas también tiene consecuencias imprevistas: su propio «espejo negro». Pero estas consecuencias son aún más inquietantes porque resulta mucho más difícil detectarlas.
La seguridad es el «aislamiento» que protege la Internet de las cosas del impacto de la manipulación, el engaño y la denegación. A medida que más empresas desarrollan e implementan dispositivos de IoT, las oportunidades de ataque han aumentado exponencialmente, al igual que las consecuencias de las brechas de seguridad. En la prisa por crear productos de IoT, con demasiada frecuencia se ha priorizado la función del producto final y no la seguridad de la infraestructura. La integración de la seguridad de la IoT —por no hablar de la conciencia de que es necesaria— ha sido muy deficiente. En la década de 1950, la vulneración de un sistema de control industrial solo habría afectado a una planta; hoy puede afectar a millones de usuarios. Nuestras economías se sustentan en dispositivos y sistemas de IoT poco confiables.
¿Quién queda para asumir las responsabilidades derivadas de una brecha de seguridad de IoT? Una vez más, las aseguradoras. Son ellas quienes emiten seguros de responsabilidad civil para los fabricantes de IoT que construyen los productos, los integradores de sistemas que los implementan, las empresas que los utilizan y los consumidores afectados.
El problema de la seguridad de la IoT es casi tan antiguo como la propia tecnología y, aunque proveedores como Aruba, una empresa de Hewlett Packard Enterprise, figuran entre quienes integran la seguridad de la IoT en el tejido de sus soluciones, el mercado en general no se ha corregido ni regulado por sí mismo. Debemos romper el espejo negro creando un laboratorio de aseguradoras de IoT que establezca las mejores prácticas de seguridad para la IoT y aporte la capacidad coercitiva de la suscripción de seguros para hacer cumplir las normas. Como ocurre con la seguridad eléctrica, las aseguradoras pueden hacer lo que el mercado no ha hecho: establecer incentivos y desincentivos financieros para cambiar el comportamiento.
Los socios de la Red de Seguridad de la IoT Industrial del Foro Económico Mundial están redactando actualmente el protocolo para una solución de este tipo, y el interés de las aseguradoras va en aumento. La experiencia en el ámbito de la seguridad eléctrica demuestra que un programa así puede cambiar profundamente el comportamiento de la industria y de los consumidores, y no hay razón para que no funcione también en el caso de la IoT.
