La seguridad no puede ser una cuestión secundaria en el IoT
El Internet de las cosas sigue impulsando la innovación y la eficiencia en casi todos los sectores. Sin embargo, un mayor número de dispositivos conlleva un mayor riesgo y, en muchas implementaciones, la seguridad no ha avanzado al mismo ritmo.
En 2022 se produjeron, según las estimaciones, 112 millones de ciberataques relacionados con el IoT, lo que supone un aumento respecto a los 32 millones registrados en 2018. A medida que el número de dispositivos conectados se dispara hasta alcanzar los 40 000 millones en 2030, lo que está en juego es cada vez mayor.
Tanto si se instalan contadores inteligentes, cargadores para vehículos « EV » o dispositivos sanitarios conectados, la seguridad debe estar integrada desde el principio, no añadida a posteriori. Eso significa tener en cuenta la protección desde el primer día, no cuando el daño ya está hecho.
Por qué la seguridad del IoT supone un reto tan grande
Los ecosistemas del IoT son únicos. Los dispositivos suelen tener una potencia de cálculo limitada, funcionan en entornos remotos o poco seguros y pueden tener que funcionar durante años, o incluso décadas, sin reiniciarse. Esto genera vulnerabilidades específicas, sobre todo cuando la seguridad se incorpora a posteriori.
No es raro que, durante el desarrollo de un producto, se dé menos prioridad a la seguridad en favor de las funcionalidades, la rapidez de lanzamiento al mercado o el coste. Sin embargo, las consecuencias de una brecha de seguridad —desde la filtración de datos hasta el control de dispositivos, pasando por el daño a la reputación— pueden ser graves y de gran alcance.
Una vez que un dispositivo está en funcionamiento, incorporar medidas de seguridad a posteriori resulta costoso y complicado. ¿Cuál es la mejor estrategia? Diseñar una arquitectura segura desde el principio.
Ejemplos reales de errores en materia de seguridad
¿Aún no estás convencido? A continuación te ofrecemos algunos ejemplos que demuestran lo cruciales que son las decisiones iniciales en materia de seguridad:
- Zoom (primeras brechas de seguridad)
Antes de que su nombre se hiciera famoso, Zoom fue objeto de críticas por las vulnerabilidades de su plataforma. Aunque la empresa respondió con rapidez y, finalmente, recuperó la confianza, esto tuvo un coste, y se podría haber evitado si se hubieran incorporado medidas de seguridad más sólidas desde el principio. - Hikvision (vulnerabilidad en las cámaras)
Las cámaras de seguridad de una importante marca fueron pirateadas debido a una implementación deficiente de las contraseñas y a una vulnerabilidad de puerta trasera. Con unos conocimientos técnicos mínimos, los atacantes pudieron acceder a las imágenes en directo, lo que supuso una pesadilla para los clientes y una mancha en la reputación de la marca. - Colonial Pipeline (ataque de ransomware)
En 2021, un ciberataque contra Colonial Pipeline paralizó el suministro de combustible en todo el sureste de EE. UU. Los atacantes aprovecharon vulnerabilidades en los sistemas digitales de la empresa, sistemas muy similares a los que gestionan hoy en día las infraestructuras conectadas y el IoT industrial.
Por dónde empezar: aspectos clave a tener en cuenta en materia de seguridad del IoT
Si te dedicas al diseño, la implementación o la gestión de dispositivos de IoT, esto es lo que debes priorizar:
1. Define tu modelo de amenazas
Todo plan de seguridad comienza con un modelo de amenazas. Pregúntate:
- ¿Qué estás protegiendo y de quién lo estás protegiendo?
- ¿Te estás protegiendo contra el uso indebido involuntario? ¿Contra los ataques maliciosos? ¿Contra las amenazas internas?
Para algunas organizaciones, puede bastar con prevenir los ataques que aprovechan contraseñas débiles. Otras deben anticiparse a amenazas complejas en la cadena de suministro o a adversarios a nivel de Estado-nación. Tu estrategia depende de tu contexto.
2. Cumplir con la normativa y las normas
Las mejores prácticas en materia de seguridad se recogen cada vez más en la legislación. Desde la Ley de Seguridad del IoT de California hasta las medidas de protección de los consumidores del Reino Unido, la normativa se está adaptando al ritmo de la innovación.
Evitar el uso de contraseñas predeterminadas y aplicar normas de autenticación ya no es opcional: es algo que se da por sentado.
Los marcos normativos del sector, como la norma ISO 27001, ARM PSA y SESIP, pueden ayudarte a adaptarte a las mejores prácticas internacionales, y es posible que algunos clientes incluso exijan estas certificaciones para la contratación.
3. Diseñar dispositivos seguros desde el principio
Un dispositivo verdaderamente seguro es algo más que una conexión protegida o una contraseña segura. Según las «Siete propiedades de los dispositivos altamente seguros» de Microsoft , tu dispositivo de IoT debería cumplir los siguientes requisitos:
- Raíz de confianza basada en hardware
- Una base informática pequeña y fiable
- Defensas por capas (defensa en profundidad)
- Componentes compartimentados
- Autenticación basada en certificados
- Seguridad renovable y actualizable
- Registro de eventos e informes de fallos
¿Y además de esas siete? Piensa en el arranque seguro, el aprovisionamiento seguro y los controles del ciclo de vida. Si no puedes verificar que tu dispositivo esté ejecutando el código correcto, no puedes confiar en los datos ni en las decisiones que se tomen a partir de ellos.
La seguridad en la fabricación y el suministro es fundamental
La rapidez en la comercialización no puede ir en detrimento de la seguridad. Se han puesto en marcha demasiadas implementaciones comerciales utilizando componentes de nivel aficionado, que son ideales para prototipos pero carecen de características de seguridad como el arranque seguro o el aprovisionamiento de confianza.
Puede que un dispositivo funcione, pero eso no significa que esté listo para su uso comercial.
Con los servicios gestionados de IoT seguros de KORE, ayudamos a las empresas a pasar del producto mínimo viable (MVP) al mercado sin sacrificar la seguridad, garantizando un aprovisionamiento fiable, una conectividad segura y una gestión remota del ciclo de vida desde el primer día.
La seguridad es una decisión empresarial: tómala cuanto antes
La tentación de posponer las decisiones en materia de seguridad es comprensible. Es más rápido, más fácil y, a menudo, más barato limitarse a lo estrictamente necesario… hasta que deja de serlo.
Por eso, la seguridad del IoT debe ser una cuestión estratégica, no una medida reactiva. El coste de hacerlo bien es mucho menor que el de tener que hacerlo dos veces o de tener que explicar a tus clientes por qué se han visto comprometidos sus datos o dispositivos.
Desde la primera decisión de diseño hasta la última actualización de firmware, integra la seguridad en tu arquitectura; no la añadas a posteriori.
Seguro, escalable y diseñado para durar con KORE
En KORE, ofrecemos conectividad segura desde el diseño y gestión del ciclo de vida para dispositivos de IoT en todos los sectores, desde la sanidad hasta EV la infraestructura y la monitorización industrial. Gracias a nuestra amplia experiencia en IoT y a una conectividad global fiable, ayudamos a las empresas a diseñar soluciones que garanticen el éxito a largo plazo.
Hagamos que el IoT sea más seguro, más inteligente y más resistente desde el principio.
Publicado el 17 de abril de 2025.