Servicios de seguridad del IoT
Los dispositivos IoT se implementan porque resuelven un problema empresarial —un sensor, una cámara, un lector de tarjetas inteligente— y la seguridad suele ser una cuestión secundaria que se añade a posteriori, si es que se tiene en cuenta en absoluto. Estos dispositivos suelen suministrarse con credenciales débiles o preconfiguradas, con parches poco frecuentes (o inexistentes) y con un acceso a la red mucho más amplio de lo que realmente requiere su función.
El riesgo no radica únicamente en el propio dispositivo. Radica en lo que el dispositivo puede alcanzar una vez que se ha visto comprometido. Una sola cámara sin parches en una red plana puede servir de punto de acceso a todo lo demás en esa red, razón por la cual la seguridad del IoT debe abordarse tanto desde la perspectiva de la red como desde la del dispositivo.
Por dónde empezaría
En primer lugar, el inventario: no se puede proteger lo que no se sabe que está conectado, y el «IoT en la sombra» —dispositivos que alguien ha conectado sin decírselo a nadie— es extremadamente común. En segundo lugar, la segmentación: los dispositivos IoT deben pertenecer a su propio segmento de red con un acceso estrictamente delimitado, y no encontrarse en la misma red plana que sus sistemas financieros. En tercer lugar, el ciclo de vida: ¿quién es responsable de las actualizaciones de firmware, la rotación de credenciales y la retirada del servicio cuando un dispositivo llega al final de su vida útil o es sustituido?
Evaluación de lo que ya ha implementado
En el caso de los dispositivos que ya están en producción, evalúo cuál es su alcance real, qué credenciales utilizan y si el firmware está actualizado; a continuación, priorizo las correcciones en función de la exposición real, y no de lo interesante que resulte el dispositivo. Un termostato inteligente situado en un segmento aislado tiene una prioridad mucho menor que un controlador de acceso a un edificio ubicado en su red central.
No se trata de un proyecto puntual si su organización sigue incorporando dispositivos conectados, como ocurre en la mayoría de los casos. Merece la pena establecer un proceso permanente para evaluar los nuevos dispositivos antes de su implementación, y no después.
Si dispone de dispositivos IoT en su entorno y no tiene una idea clara de su alcance, echemos un vistazo.