Hechos reales, consecuencias reales y lo que nos enseñan
La seguridad del IoT suele tratarse en términos abstractos.
Cifrado. Certificados. «Zero Trust».
Son temas importantes, pero no siempre transmiten un sentido de urgencia.
Nada lo ilustra mejor que los casos reales.
En los últimos años, varios fallos de seguridad muy sonados relacionados con el IoT han puesto de manifiesto la misma verdad incómoda:
La mayoría de los desastres de seguridad relacionados con el IoT no los causan hackers sofisticados,
, sino debilidades básicas en la arquitectura y el funcionamiento.
En este blog se analizan casos reales de seguridad del IoT, las consecuencias que tuvieron y, lo más importante, cómo se podrían haber evitado.
El mito de «Ya lo protegeremos más adelante»
Una de las suposiciones más peligrosas en el IoT es:
«Añadiremos medidas de seguridad en cuanto el producto esté en funcionamiento».
En el IoT, «más tarde» suele significar:
- una vez que se hayan instalado los dispositivos
- una vez que se haya arreglado el hardware
- una vez que se haya bloqueado la conexión
En ese momento, las opciones son limitadas y los costes se disparan.
Patrón de incidente n.º 1: Dispositivos expuestos a la Internet pública
Uno de los fallos de seguridad más comunes en el IoT es la simple exposición.
En muchos casos:
- se podía acceder a los dispositivos desde la red pública de Internet
- Los puertos predeterminados estaban abiertos
- la autenticación era débil o no existía
Los atacantes no necesitaron exploits de día cero.
Simplemente escanearon Internet.
Consecuencias:
- toma de control del dispositivo
- filtraciones de datos
- interrupción del servicio
- daño a la reputación
Causa principal: Falta de aislamiento a nivel de red.
Patrón de incidente n.º 2: Redes planas y confianza ilimitada
Otro problema que se repite a menudo es el uso de arquitecturas de red planas.
En estas configuraciones:
- Todos los dispositivos comparten el mismo segmento de red
- un dispositivo infectado puede afectar a otros
- Moverse de lado es fácil
Consecuencias:
- Las pequeñas irregularidades se convierten en algo generalizado
- los atacantes se desplazan por toda la flota
- los incidentes se agravan rápidamente
Causa principal: Falta de segmentación. Falta de control del radio de explosión.
Patrón de incidente n.º 3: No te das cuenta hasta que ya es demasiado tarde
Muchas organizaciones no se enteran de los incidentes de seguridad relacionados con el IoT hasta que:
- los clientes se quejan
- los servicios fallan
- En las facturas aparecen consumos de datos anormales
Para entonces, el daño ya está hecho.
Consecuencias:
- respuesta lenta
- alcance del impacto poco claro
- cortes prolongados
Causa principal: Falta de visibilidad y supervisión en tiempo real.
El verdadero coste de los fallos de seguridad en el IoT
Los incidentes de seguridad relacionados con el IoT casi nunca se quedan solo en el ámbito técnico.
Enseguida se convierten en:
- cuestiones legales
- problemas de cumplimiento
- crisis de confianza de los clientes
- cuestiones que competen al consejo de administración
En los sectores regulados, también pueden dar lugar a:
- multas
- retiradas obligatorias
- rediseños obligatorios
El coste indirecto suele ser mucho mayor que la solución técnica.
Cómo se podrían haber evitado estos incidentes
La mayoría de las pesadillas en materia de seguridad del IoT tienen en común las mismas vulnerabilidades que se pueden evitar.
- Aislamiento a nivel de red: usar APN privadas o mecanismos equivalentes para mantener los dispositivos fuera de la red pública de Internet.
- Segmentación y contención: Diseñar arquitecturas que tengan en cuenta los fallos y limiten el alcance de los efectos.
- Enfoque de seguridad basado en el ciclo de vida: Proteger los dispositivos durante toda su vida útil, no solo en el momento de su lanzamiento.
- Preparación operativa: Responsabilidades claras, procesos de respuesta ante incidentes y capacidad para actuar con rapidez.
La seguridad es una disciplina operativa
Una de las lecciones más importantes que se pueden sacar de los incidentes reales es esta:
La seguridad del IoT no es solo un problema técnico.
Es una disciplina operativa.
La tecnología permite la seguridad, pero son las operaciones las que determinan si funciona en la práctica.
Reflexión final
Todos los incidentes de seguridad relacionados con el IoT parecen obvios cuando se miran en retrospectiva.
Las señales de alerta estaban ahí:
- exposición
- falta de visibilidad
- confianza excesiva
- decisiones aplazadas
La diferencia entre las organizaciones que superan los incidentes y las que no es muy sencilla:
Diseñan pensando en los fallos antes de que se produzcan.