El eslabón más débil para la ciberseguridad

Los dispositivos de Internet de las Cosas (IoT por sus siglas en inglés) han invadido nuestra vida cotidiana, con unos 14.000 millones de dispositivos IoT conectados en todo el mundo, según informa Transforma Insights. Desde termostatos y frigoríficos inteligentes hasta automóviles conectados, es difícil pasar un día sin interactuar con un dispositivo IoT, sobre todo teniendo en cuenta que la mayor parte  de la gente lleva uno en el bolsillo o en la cartera. Sin embargo, en la era de la vida conectada, estos dispositivos pueden significar un grave riesgo de ciberseguridad para las aseguradoras y sus asegurados.

En el pasado, los hackers han requisado dispositivos de IoT para causar estragos en vidas personales y en países enteros. En 2017, los ciberdelincuentes manipularon el firmware de más de 465.000 marcapasos implantados, lo que permitió el agotamiento de las baterías, el robo de datos confidenciales y el cambio de ajustes que salvan vidas. Un año después, la botnet Mirai desmanteló el acceso a Internet en varios países.

Riesgos de los dispositivos de IoT

Muchos dispositivos de IoT no cuentan con sistemas de rastreo, se encuentran mal gestionados o sin supervisión, indica Security Scorecard. Combinado con códigos de acceso débiles, con Botnets y con el aumento de los ataques basados en IA, las aseguradoras de daños y patrimoniales y sus asegurados, se vulnerabilizan un poco más cada vez que un dispositivo IoT entra en la propiedad. Según CompTIA, los 4 principales riesgos cibernéticos de los dispositivos de IoT son los siguientes:  

Robo de datos: obtención de acceso indebido a información personal, incluyendo nombres, números de seguridad social, números de identificación sanitaria, números de teléfono, cuentas de usuario y domicilios. 

Interrupción del servicio: utilización de un dispositivo de IoT (o de varios) para inutilizar una infraestructura crucial, como una base de datos, un sistema de abastecimiento de agua o una presa generadora de energía.

Manipulación de servicios o de datos: ajuste de la configuración del dispositivo de IoT para no disponibilizar un servicio, para causar daño físico al usuario o para dañar el dispositivo u otros dispositivos.

Incumplimiento: cambios en el dispositivo IoT que infrinjan las leyes gubernamentales de privacidad, como la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA según sus siglas en inglés), el Reglamento General de Protección de Datos de la Unión Europea (GDPR según sus siglas en inglés) y la Ley de Privacidad del Consumidor de California (CCPA según sus siglas en inglés).

La «amenaza de la contraseña por defecto»

Algunos cambios y protocolos sencillos pueden mitigar los riesgos cibernéticos de los dispositivos de IoT, como, por ejemplo, el cambio de las contraseñas predeterminadas. Muchos dispositivos de IoT son instalados con contraseñas por defecto que nunca son modificadas. La organización Global Information Assurance Certifications (GIAC por sus siglas en inglés) profundizó en la «amenaza de la contraseña por defecto», señalando que los hackers no precisan métodos complejos para la obtención del acceso a los sistemas seguros, ya que las contraseñas por defecto, que aún se mantienen en uso en las cuentas integradas, ofrecen un acceso muy sencillo. 

Las contraseñas por defecto son combinaciones de usuario y contraseña utilizadas en un software, en una  base de datos, en un sistema operativo o en un dispositivo de IoT, como una cámara de seguridad o un enchufe inteligente. Estas contraseñas se encuentran disponibles al público en Internet, en manuales de proveedores y en otras fuentes abiertas. El SANS Institute reconoce que las contraseñas predeterminadas son una de las diez principales amenazas para la ciberseguridad. La simple modificación de una contraseña nueva y más segura, reduce el riesgo cibernético.

Reducción de los riesgos cibernéticos de la IoT

Adicionalmente a la actualización de las contraseñas por defecto, CompTIA recomienda la conexión de los dispositivos de IoT a redes seguras, con contraseñas fuertes y únicas, el agregado de un cortafuegos a la red de la empresa y la limitación de los permisos habilitados para el dispositivo. Por ejemplo, un foco de luz inteligente o una heladera, probablemente no requieran del acceso a los contactos.

Según CompTIA, las aseguradoras y las empresas mejorarán su ciberseguridad de  IoT mediante las siguientes medidas:

Aumento de la supervisión de dispositivos con información de seguridad y de  gestión de eventos (SIEM por sus siglas en inglés) y sistemas de detección de intrusiones (IDS por sus siglas en inglés).

• Mejora de las funciones de seguridad para el cifrado de los datos almacenados y transmitidos.
• Incorporación de una mayor autenticación para un mejor control de las conexiones de dispositivos de  IoT a la red.
• Cumplimiento de  las normas sobre la IoT y el ICS del Instituto Nacional de Normas y Tecnología (NIST por sus siglas en inglés)

FUENTE: www.propertycasualty360.com