Creando una estrategia de seguridad integral para el IoT

Creando una estrategia de seguridad integral para el IoT

El tema de la Seguridad ha aparecido prácticamente en cada conversación sobre el Internet de las Cosas (IoT por sus siglas en inglés) que he tenido con clientes y proveedores. Y en cada evento en el que tuve la oportunidad de participar como ponente o panelista resulta ser un tema de discusión. Es fácil entender por qué.

Hace un poco más de 2 años escribí un blog en donde compartía mi opinión de que el IoT no era solamente una tendencia, sino una oportunidad de negocios real. Hoy, creo que es claro que el IoT pasó la etapa de tendencia y cada día estamos más y más inmersos en él. Los puntos que usé entonces para definir su relevancia siguen siendo válidos, pero lo más importante hoy en día es que cada uno de ellos tiene un ángulo relacionado con la seguridad que se vuelve más relevante entre más crece el IoT

Esos 4 factores deben ser considerados en cualquier estrategia relacionada con la implementación de tecnología y soluciones relacionadas con el IoT, ya que la dimensión, alcance e impacto de los riesgos potenciales es inclusive mayor a los que hemos acotado por años para los ambientes tradicionales de TI.

Para muestra bastan ejemplos como los siguientes:

  • En el 2008, un joven de 14 años hackeó el sistema de control de los trenes urbanos de Lodz (Polonia), ocasionando descarrilamientos e hiriendo a 12 pasajeros. Este hackeo no fue “tradicional” ya que no penetró el sistema vía el internet y los sistemas de control… sino que lo hizo modificando un control remoto de TV que apuntado a los puntos de control de señales y cambio de vía le permitió efectivamente tomar el control de dichos dispositivos.
  • En el 2009, debido a una falla en el sistema de control automatizado del Metrorail de Washington DC (EUA), un tren se estrelló contra otro que estaba detenido ocasionando múltiples daños y la muerte de varios pasajeros. Esta tragedia ocurrió debido a que los sensores de las vías que detectan la presencia de los trenes en las vías fallaron, y un tramo entero de la vía del tren “desapareció” del mapa, lo cual fue interpretado por el sistema como vía libre, y por lo cual envió otro tren directamente en colisión con el que estaba detenido.
  • En el 2013, el fin de semana del día de acción de gracias, hackers penetraron las bases de datos de Target en EUA y se robaron 40 millones de números de tarjetas de crédito… y Target no se dio cuenta hasta 3 meses después. Esto no solo ocasionó pérdidas millonarias en cargos no autorizados, sino una caída en el precio de la acción de Target… y eventualmente el despido de su CEO. Los hackers penetraron los sistemas conectándose a través del sistema de aire acondicionado y calefacción (HVAC) de algunas de sus tiendas. Lo más triste es que los 11 pasos que los hackers tomaron para entrar vía el sistema de HVAC hubieran sido detenidos o al menos detectados si hubieran atacado cualquier sistema de TI… ¿Cuántos de nosotros tenemos protegidos contra accesos no autorizados nuestros sistemas de aire acondicionado, video vigilancia, control de acceso físico, etc.?

Históricamente, la seguridad de los sistemas de operación como los sensores de los trenes, las señales de las vías, o los sistemas de HVAC, ha sido responsabilidad de la gente que opera dichos sistemas, que aunque capaces y conocedores de lo que se necesita para operar, carecen la mayoría de los conocimientos y recursos para proteger este tipo de sistemas de ataques informáticos. El modelo de seguridad seguido por los profesionales de Tecnologías de Operación (TO) está enfocado típicamente en “seguridad por obscuridad” – la separación física de los equipos y redes de operación industrial de las redes de información y el internet, o en mecanismos de seguridad física (gabinetes con llaves y candados protegiendo las interfaces de control de dichos dispositivos).

Claramente estos modelos ya no son apropiados dadas las exigencias de visibilidad, monitoreo y control requeridas en los ambientes de operación actuales, y los departamentos y profesionales de Tecnologías de Información tienen mucho que aportar en el desarrollo de nuevos mecanismos y metodologías que respondan al nuevo entorno híper-conectado en el que vivimos hoy.

En ho1a hemos identificado 6 elementos clave que deben ser considerados para crear una estrategia integral de seguridad para IoT:

  • Superficie de Ataque – Estos dispositivos no son computadoras, viven en el exterior, tienen puertos “extraños” (para la gente de TI), no usan protocolos de comunicación estándares, y en su mayoría no están ni al alcance ni bajo la vigilancia de ningún grupo o sistema de seguridad.
  • Acciones de Remediación – Como estos dispositivos no son “PC’s” las acciones de remediación no pueden ser las mismas. Cuando detectamos un virus en una PC lo primero que hacemos es aislarla de la red… si el dispositivo con problemas es un respirador ayudando a un paciente, ¿lo separamos de la red y matamos al paciente?
  • Protocolos de Respuesta – Una máquina de producción que se detiene para arreglar un problema de seguridad significa típicamente millones en pérdidas… los protocolos de respuesta deben depender del dispositivo y sus funciones.
  • Análisis de Riesgo e Impacto – De la mano de los 2 puntos anteriores, se debe analizar a detalle el impacto del daño potencial vs el riesgo de detener la operación. Los escenarios son variados y el alcance del daño potencial típicamente va más allá de la pérdida de información… al igual que los riesgos.
  • Leyes y Regulación Aplicables – Muchos de estos dispositivos están sujetos a leyes de operación y funcionalidad que no contemplan escenarios típicos de TI. Desde los semáforos en las esquinas, pasando por las lámparas de alumbrado público y los medidores de luz, agua y gas, y miles otros más, las leyes de operación y regulaciones son parámetros críticos a considerar.
  • Diversidad de Amenazas – Finalmente, hay que considerar que como los ejemplos de arriba indican, las amenazas no solo incluyen las que conocemos en TI, sino otras más que vienen del ambiente de trabajo y funciones del dispositivo. Inundaciones, descargas eléctricas, múltiples protocolos especializados, variedad de interfaces y medios de conectividad, etc.

 

Lo más importante es recordar que todas estas amenazas, igual que las de TI, se pueden identificar y acotar. Y así como no hay red de TI 100% segura, es imposible crear un sistema de IoT 100% seguro. Pero ho1a ofrece metodologías, mejores prácticas y arquitecturas de seguridad que ayudan a las empresas a identificar los riesgos, y a prepararse para afrontarlos y resolverlos de manera ágil y efectiva, con un modelo de seguridad que mira no solo cómo prevenir ataques, sino como responder a ellos cuando están sucediendo, y aprender de ellos cuando fueron resueltos.

Los beneficios derivados del IoT son mayores a los riesgos. La oportunidad de diferenciación, innovación y crecimiento no está limitada sino por tu visión y ambición. La Seguridad es un factor importante a considerar. Dinos que quieres lograr de IoT, estamos aquí para acompañar y apoyar tu camino.

 

Roberto de la Mora

Director de Mercadotecnia, Innovación y Nuevos Negocios, ho1a

@rdelamora