Una implementación satisfactoria del IoT requiere numerosos componentes, cada uno de los cuales conlleva riesgos de seguridad, lo que complica la gestión. Sin embargo, desglosar una solución de IoT en sus elementos clave puede ayudar a garantizar una seguridad adecuada para cada parte de la pila. Hemos dado a conocer las tres «capas» fundamentales que conforman la seguridad del IoT, junto con las mejores prácticas esenciales para mitigar los riesgos.
1. Capa de dispositivos
La capa de dispositivos en la seguridad del IoT se refiere al dispositivo final. Para proteger adecuadamente una solución de IoT en la capa de dispositivos, las organizaciones deben asegurarse de que tanto las propiedades físicas (por ejemplo, carcasas metálicas para evitar el robo de tarjetas SIM) como las propiedades de software (por ejemplo, el firmware, los sistemas operativos y las aplicaciones que se ejecutan en el dispositivo) estén protegidas. En cuanto a las propiedades de software, deben tenerse en cuenta los posibles problemas de seguridad a lo largo de todo el proceso de diseño para garantizar que el firmware pueda actualizarse, protegiendo así el dispositivo frente a accesos no deseados y cambios de configuración. Desde el punto de vista del software, existen varias medidas que las empresas pueden adoptar para ayudar a proteger sus dispositivos. Algunos ejemplos son:
- Uso del arranque seguro para garantizar que solo el software verificado pueda ejecutarse en el dispositivo
- Autenticación y autorización de usuarios para garantizar un control de acceso adecuado
- Firmware de los dispositivos seguro y actualizado periódicamente para evitar un uso no deseado de la red o de las aplicaciones
Es importante señalar que algunos dispositivos IoT son pequeños y cuentan con recursos de memoria y procesamiento limitados para admitir funciones de seguridad avanzadas. En estos casos, las organizaciones deberían plantearse el uso de soluciones de seguridad para el IoT basadas en la nube.
2. Capa de comunicación
La capa de comunicación en la seguridad del IoT se refiere a la tecnología de conectividad de red que permite al dispositivo enviar y recibir datos. Las organizaciones deben plantearse la implementación de soluciones centradas en la infraestructura y en los datos para proteger adecuadamente la capa de comunicación de una solución de IoT.
La seguridad de la infraestructura de red suele verificarse con el proveedor o proveedores de conectividad de red de una organización. Algunas preguntas fundamentales que las empresas deberían plantear a los proveedores de conectividad durante el proceso de selección de socios son, entre otras, las siguientes:
- ¿Qué métodos de cifrado y tecnologías de cortafuegos utiliza el proveedor de red?
- ¿Se dispone de un sistema de prevención de intrusiones (IPS)?
- ¿Están todos los servidores y componentes de red de la red de la organización actualizados con los últimos parches de seguridad y actualizaciones? ¿Existe un proceso establecido para aplicar los nuevos parches y actualizaciones con prontitud?
En lo que respecta a las medidas de seguridad del IoT centradas en los datos, las soluciones recomendadas giran en torno al cifrado de datos. El cifrado de datos en tránsito ( Encryption ) protege los datos del IoT para que no se pueda acceder a ellos ni leerlos mientras circulan por diferentes redes, incluida la Internet pública. Las soluciones de red privada virtual (VPN) de sitio a sitio (VPN) y las soluciones de firma de datos son algunos ejemplos que garantizan la autenticidad y la integridad de los datos transmitidos.
3. Capa de aplicación
La capa de aplicación en la seguridad del IoT se refiere a la protección de la aplicación y las bases de datos que constituyen el núcleo de la solución. Al igual que con las demás capas, la seguridad de la aplicación debe tenerse en cuenta para proteger los componentes web, móviles y en la nube a lo largo de todo el proceso de desarrollo. Entre las mejores prácticas para proteger esta parte de la solución de IoT se incluyen:
- Herramientas de análisis de código para inspeccionar automáticamente el código fuente e identificar posibles fallos de seguridad
- Actualizaciones automáticas y oportunas de las aplicaciones para actualizarlas de forma rápida y eficaz, con el fin de protegerlas frente a nuevos ataques de virus u otros riesgos de seguridad emergentes
- Soluciones de intercambio de claves para el IoT que permiten actualizar de forma segura las claves de seguridad de las aplicaciones del IoT, incluso a través de redes públicas
Soluciones de inscripción de certificados para dotar a cada dispositivo IoT de un identificador único y verificar dicho identificador antes de permitir el acceso a sistemas o redes.
Además, las organizaciones deben implementar medidas de gestión de amenazas para garantizar la disponibilidad y la integridad de sus soluciones. Dado que el mundo de la tecnología está en constante evolución y los piratas informáticos mejoran continuamente sus ataques, las empresas deben comprender a fondo los patrones de comportamiento de sus soluciones de IoT para detectar y responder rápidamente ante cualquier anomalía. La mejor forma de lograrlo es implementando sistemas de monitorización en todos los elementos de la solución de IoT que avisen a los equipos de seguridad cuando se detecte un cambio en el comportamiento de un dispositivo o una aplicación.