Seguridad del IoT industrial: cómo proteger los dispositivos Edge para minimizar los ciberataques

Esta no es una preocupación infundada, como podemos leer en los medios de comunicación, un número creciente de casos de ciberataques sobre plantas industriales que inutilizan las infraestructuras o incluso alteran su funcionamiento con el riesgo que esto conlleva.

Fue en 2010, cuando nos familiarizamos por primera vez con la ciberseguridad industrial, cuando Stuxnet, un malware descrito por algunos como la primera arma cibernética, se introdujo en una central nuclear iraní con el objetivo de retrasar el programa nuclear de Irán. Este malware logró controlar las válvulas y los sensores de presión de las centrifugadoras de uranio enriquecido.

En el último año, los ciberataques industriales a infraestructuras críticas han crecido considerablemente, atacando centrales térmicas, subestaciones eléctricas, plantas de tratamiento de agua o oleoductos como el orquestado recientemente contra Colonial Pipeline o contra una planta de tratamiento de agua en Florida, que suministra agua a una gran población.

Los riesgos de seguridad residen en los dispositivos IoT

El Internet de las Cosas (IoT) es un conjunto de tecnologías que permite vincular el mundo físico con el mundo digital. A través de sensores, actuadores y otros llamados dispositivos IoT, se recopila información de lo que sucede en el mundo físico y se procesa digitalmente después. Haciendo una analogía con el cuerpo humano, el IoT son los sentidos del mundo digital y el primer paso hacia la transformación digital para muchas empresas industriales, que buscan transformar su modelo de negocio digitalizando procesos y explotando datos.

El primer paso es recopilar datos. A través de las implementaciones de IoT, ahora las empresas pueden conectarse a sus equipos industriales y recopilar datos para tomar decisiones informadas. Muchos de estos dispositivos IoT tienen capacidades informáticas avanzadas y pueden operar equipos industriales de forma remota; por eso es tan importante asegurar adecuadamente estos dispositivos.

Sin embargo, los dispositivos IoT son el elemento más vulnerable de toda la cadena de ciberseguridad y la razón de ello es la falta de actualizaciones de firmware.

‍

‍

En sectores maduros como los ordenadores personales y los teléfonos móviles, es muy común que los dispositivos reciban notificaciones de nuevas versiones y parches de seguridad, que una vez descargados e instalados, protegen los smartphones y los portátiles contra las últimas vulnerabilidades.

Sin embargo, en el mundo industrial esto está lejos de ser la norma, y es muy común que, una vez que los dispositivos IoT se implementan en su entorno físico, nunca se actualicen, lo que aumenta considerablemente el riesgo de sufrir un ciberataque.

Hay principalmente dos razones por las que los dispositivos IoT no se están actualizando de la misma manera que nuestros teléfonos u ordenadores:

1. La inmadurez del mercado del IoT Industrial significa que la ciberseguridad no se percibe como una necesidad primaria

Si tuviéramos que poner todas las necesidades que motivan a una empresa a emprender un proyecto de IoT en una especie de pirámide de Maslow, hay otras preocupaciones que van antes de la ciberseguridad, y ese es precisamente el gran error. Preocuparse por la seguridad de IoT después de que el proyecto se haya desarrollado, en lugar de hacerlo desde el principio, desde la fase de diseño.

2. La complejidad de gestionar un entorno distribuido, remoto y tremendamente heterogéneo

El concepto mismo de IoT se basa en la existencia de una multitud de «cosas» distribuidas. Ser capaz de asegurar que todos estos dispositivos puedan actualizarse de manera eficiente y escalable, hace que sea esencial contar con un sistema de gestión remota seguro. De lo contrario, el coste de tener que actualizar periódicamente los dispositivos IoT de forma local haría inviable cualquier proyecto de cierto tamaño.

Además, la falta de estándares en el desarrollo de dispositivos IoT complica esta gestión, y deja en manos de cada proveedor responder (o no) a esta necesidad.

Seguridad del IoT industrial: recomendaciones para proteger los dispositivos Edge de IoT

Las vulnerabilidades más comunes en IoT giran en torno a los siguientes aspectos:

1. El uso de contraseñas débiles o integradas

2. Servicios de red no seguros

3. Uso de interfaces no seguras

4. Falta de mecanismos de actualización

5. Falta de seguridad en el almacenamiento y la transferencia de datos

6. Gestión inadecuada de dispositivos

A la luz de estas vulnerabilidades, organizaciones como OWASP han publicado en su sitio web las directrices sobre los aspectos a tener en cuenta al desarrollar soluciones IoT y qué medidas de protección deben adoptarse.

En esta línea, Barbara IoT ha elaborado una guía de ciberseguridad en la que se exponen las normativas, los estándares y las recomendaciones que deben seguirse para garantizar la integridad de cualquier solución IoT que una empresa decida adoptar. Si está interesado en este artículo y desea saber más sobre cómo proteger su implementación de IoT, ¡póngase en contacto con nosotros!