Los portátiles reciben parches cada mes, llevan software de protección y están asignados a una persona concreta. El sensor de temperatura de la sala de servidores, el controlador de la caldera y la cámara sobre el muelle de carga a menudo no tienen nada de eso, y sin embargo cada uno es un pequeño ordenador con firmware, credenciales y una conexión a su red o a internet. La seguridad de los dispositivos IoT consiste en asegurarse de que esos pequeños ordenadores no puedan volverse en su contra y de que los datos que producen lleguen solo a las personas a las que van destinados.

La mayoría de las mejoras son poco vistosas: hacer mejores preguntas al comprar, gestionar las claves con sensatez, cifrar los enlaces y usar una plataforma que limite lo que puede hacer cada cual. El resto de este artículo las recorre en el orden en que se las encontrará: de los riesgos a las normas, los datos y el software que lo gestiona todo.

Lo esencial

  • La seguridad IoT abarca cuatro capas: el dispositivo, la red que usa, los datos que envía y la plataforma que lo gestiona.
  • Los principales riesgos son las botnets, los puntos de entrada a la red, los datos expuestos o falsificados y las acciones físicas desencadenadas por quien no debe.
  • Nuevas normativas, como el régimen PSTI del Reino Unido y el Reglamento de Ciberresiliencia de la UE, imponen ya obligaciones de seguridad a los fabricantes.
  • La plataforma merece tanto escrutinio como los dispositivos, porque guarda las claves y puede enviar órdenes a todos ellos.

¿Qué es la seguridad IoT?

La seguridad IoT es el conjunto de prácticas y controles técnicos que protegen los dispositivos conectados, las redes por las que se comunican, los datos que producen y las plataformas que recogen esos datos y controlan los dispositivos. Es una rama de la ciberseguridad, pero las condiciones son lo bastante distintas como para que los hábitos de la informática de oficina no se trasladen sin más.

Cuatro diferencias explican la mayor parte de la dificultad. Muchos dispositivos no pueden ejecutar ningún software de seguridad, porque un sensor con batería tiene un procesador minúsculo y un presupuesto energético que se mide en años. Además, permanecen en servicio mucho tiempo, a menudo bastante más del que el fabricante tiene previsto darles soporte. A eso se suma que están en lugares físicamente accesibles, como pasillos, aparcamientos y salas técnicas, donde alguien puede desatornillar una carcasa. Y los compran los equipos de mantenimiento, de operaciones o de ingeniería tan a menudo como el departamento de TI, así que pueden llegar sin que nadie compruebe cómo están protegidos.

Por eso la seguridad de los dispositivos IoT continúa mucho después de la compra. Abarca cómo está fabricado un dispositivo, cómo se configura, adónde van sus datos y quién puede actuar sobre él, y cada una de esas etapas tiene su propio responsable.

¿Qué riesgos plantean los dispositivos IoT?

El ejemplo más conocido es Mirai. En 2016, este malware se hizo con gran cantidad de cámaras conectadas a internet y routers domésticos probando una breve lista integrada de nombres de usuario y contraseñas de fábrica, y después los usó para inundar objetivos con tráfico. Uno de esos ataques, contra el proveedor de DNS Dyn en octubre de 2016, dejó inaccesibles varios sitios web importantes durante parte del día. Los dispositivos no tenían nada de especial; lo que tenían en común eran las contraseñas por defecto y unos servicios accesibles desde internet.

Aun así, las botnets son solo uno de los riesgos. La tabla siguiente recoge los que importan en un despliegue empresarial, cómo se manifiesta cada uno y la causa que hay detrás.

Riesgo Cómo se manifiesta Causa habitual
Captación para una botnet El dispositivo envía tráfico de ataque por cuenta de otro Contraseñas por defecto o compartidas, servicios expuestos a internet
Punto de entrada a la red Un atacante llega a los servidores a través de un dispositivo comprometido Red plana, firmware sin parchear
Datos expuestos Personas ajenas ven lecturas, vídeo o ubicaciones Tráfico sin cifrar, cuentas de la plataforma poco protegidas
Datos falsificados Lecturas falsas o reenviadas ocultan un problema real Sin autenticación de mensajes ni protección contra ataques de repetición
Acción física no deseada Quien no debe acciona un relé, una válvula o una cerradura Permisos amplios para enviar órdenes, sin límites sobre lo que se puede enviar
Dispositivos abandonados Fallos conocidos que nunca se corregirán Fin del soporte del fabricante, sin un periodo de soporte declarado

Las dos últimas filas apenas tienen equivalente en la informática de oficina, donde lo peor suele ser la pérdida de datos. Con equipos conectados, lo peor puede ser una puerta que se desbloquea de noche o una bomba que se apaga. Y como los dispositivos a menudo duran más que su soporte de software, un dispositivo bien protegido el día de la instalación puede convertirse unos años después en el punto más débil del edificio. Los datos falsificados son aún más sutiles. Si los mensajes del sensor de una cámara frigorífica pudieran grabarse y reenviarse, una copia de la lectura normal de ayer, 3 °C, podría hacer que un panel siguiera mostrando normalidad mientras el compresor ya ha fallado hoy.

Estándares de seguridad para dispositivos IoT

Durante años, la seguridad de los dispositivos fue voluntaria. Eso está cambiando, y las normas que surgieron mientras tanto dan ahora a los compradores un vocabulario útil.

ETSI EN 303 645, una norma europea publicada por primera vez en 2020, establece un nivel básico para los dispositivos IoT de consumo en 13 categorías de disposiciones. Las tres primeras son no usar contraseñas por defecto universales, ofrecer una vía para notificar vulnerabilidades y mantener el software actualizado. Una contraseña por defecto universal es la que es idéntica en todas las unidades, el clásico admin/admin, que cualquiera puede consultar en un manual. Aunque está redactada para productos de consumo, muchos compradores empresariales la usan como referencia porque es breve y concreta.

En Estados Unidos, el NIST publicó en 2020 un conjunto básico de capacidades de los dispositivos, NISTIR 8259A. Nombra seis: identificación del dispositivo, configuración del dispositivo, protección de datos, acceso lógico a las interfaces, actualización del software y conocimiento del estado de ciberseguridad, es decir, que el dispositivo pueda informar de su propio estado de seguridad.

La regulación ha llegado después. El régimen de seguridad de productos del Reino Unido, basado en la ley Product Security and Telecommunications Infrastructure (PSTI), entró en vigor el 29 de abril de 2024. Prohíbe las contraseñas por defecto universales en los productos de consumo conectables, exige publicar una vía para notificar vulnerabilidades y obliga a los fabricantes a declarar un periodo mínimo de actualizaciones de seguridad. En la UE, el Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847, entró en vigor el 10 de diciembre de 2024. Sus obligaciones de notificar vulnerabilidades explotadas activamente se aplican desde el 11 de septiembre de 2026, y la mayoría de sus demás requisitos, desde el 11 de diciembre de 2027.

No hace falta memorizar nada de esto para comprar bien. Las normas se reducen a preguntas que puede plantear a cualquier proveedor de dispositivos:

  1. ¿Cada unidad se entrega con una contraseña o una clave única, u obliga a definir una durante la configuración?
  2. ¿Cómo se distribuyen las actualizaciones de firmware y durante cuántos años habrá actualizaciones de seguridad?
  3. ¿Existe una vía publicada para notificar una vulnerabilidad, y dice el proveedor con qué rapidez responde?
  4. ¿Los datos van cifrados entre el dispositivo y la pasarela o el servidor, y con qué claves?
  5. ¿Las claves son únicas para cada dispositivo, y se pueden cambiar si una queda expuesta?
  6. Si alguien abre la carcasa, ¿quedan accesibles puertos de depuración o secretos almacenados?

¿Cómo se garantiza la seguridad de los datos IoT?

La seguridad de los datos IoT consiste en proteger lecturas, imágenes y ubicaciones en cada etapa: mientras viajan, mientras están almacenadas y cuando alguien las consulta. Cada etapa necesita su propio control.

En tránsito, el propio protocolo de radio del dispositivo hace parte del trabajo. LoRaWAN, un protocolo de radio de bajo consumo muy extendido en sensores, cifra las cargas útiles con AES-128 y usa claves de sesión distintas para dos tareas: una clave de sesión de red que comprueba la integridad de un mensaje y una clave de sesión de aplicación que cifra su contenido. Los contadores de tramas permiten a la red rechazar un mensaje grabado que alguien intenta reenviar. Además, un sensor LoRaWAN no tiene dirección IP, así que no se puede escanear ni se puede iniciar sesión en él desde internet como en una cámara; sus puntos débiles son sus claves y el acceso físico a la propia unidad. Los dispositivos que usan IP, como cámaras y pasarelas, deberían usar TLS con verificación de certificados, para que nadie pueda engañar a un dispositivo y hacer que envíe datos a un servidor impostor.

En reposo, los datos de los servidores deberían estar cifrados, y las claves que los protegen deberían guardarse separadas de los propios datos. La misma disciplina se aplica a las claves de los dispositivos durante la instalación. Una hoja de cálculo con claves de dispositivos que los instaladores se envían por correo electrónico es un punto débil habitual, porque cualquiera que consiga el archivo puede suplantar a todos los dispositivos que contiene.

Luego está la minimización. Un sensor que informa de la ocupación cada minuto ofrece una imagen mucho más detallada del comportamiento de las personas que uno que informa de un recuento diario. Si el caso de uso solo necesita el recuento diario, configure el recuento diario, para que la imagen detallada no llegue a existir en ningún sitio donde pueda quedar expuesta. Decida también la conservación desde el principio: cuánto tiempo se guardan las lecturas, las ubicaciones y las grabaciones, y quién decide eliminarlas.

¿Qué abarca la seguridad de una plataforma IoT?

La plataforma es el software que registra los dispositivos, almacena sus datos, ejecuta las automatizaciones y envía órdenes de vuelta. Como guarda las claves de los dispositivos, las cuentas de usuario y la capacidad de actuar sobre todos los dispositivos a la vez, un punto débil en ella es peor que uno en cualquier sensor individual. Por eso, la seguridad de una plataforma IoT abarca quién puede iniciar sesión, qué puede ver y hacer cada cuenta, cómo se emiten y revocan las credenciales de integración, dónde se guardan las claves de los dispositivos, cómo se limitan las órdenes y qué registros quedan después.

Una forma de poner a prueba cualquier plataforma es repasar qué ocurre cuando un contratista se marcha. Lo ideal es eliminar una cuenta y que el acceso de esa persona a los datos, los dispositivos y las órdenes termine ahí, mientras que las credenciales que usaban sus herramientas pueden sustituirse de una en una sin romper nada más. Si tres instaladores compartían un mismo usuario, o una integración funciona con la contraseña personal de alguien, no se puede retirar nada limpiamente, y después no sabrá quién hizo qué.

¿Cuál es la mejor plataforma IoT para la seguridad de los datos?

Las actualizaciones de firmware, las contraseñas por defecto y los puertos de depuración los decide el fabricante del dispositivo, y por eso importan tanto las preguntas que se plantean a los proveedores de dispositivos. La elección de plataforma cubre todo lo que ocurre después de que una lectura sale del dispositivo, y para la seguridad de los datos IoT la mejor plataforma es la que permite decidir con precisión quién puede llegar a las lecturas, a las claves de los dispositivos y a las integraciones. Con ese criterio, Kilo es la mejor opción, y tres de sus controles muestran por qué.

El acceso se define página por página, así que nadie necesita derechos completos de administrador solo para hacer una tarea. Cada persona recibe «Editar», «Ver» o «Sin acceso» en páginas como «Dispositivos», «Reglas», «Conectores» y «Claves API», y el control de acceso basado en atributos de Kilo tiene en cuenta además la pertenencia y la propiedad. Un instalador puede registrar dispositivos sin tocar la suscripción, y un responsable de las instalaciones puede seguir las lecturas sin poder cambiar una regla.

Las claves de los dispositivos van a la «Bóveda de claves» en lugar de a una hoja de cálculo. Allí se guardan cifradas las claves de los dispositivos LoRaWAN, los EUI y los pares de claves, protegidas por su propio permiso de página, de modo que las personas que añaden sensores pueden acceder a las claves mientras todos los demás tienen «Sin acceso».

Cuando otra herramienta necesita los datos, recibe su propia clave API en lugar del usuario de una persona. Cada clave está vinculada a una organización y limitada por áreas, normalmente con permisos separados de «Lectura» y «Escritura». Una clave nueva no concede nada hasta que se seleccionan sus permisos, puede tener fecha de caducidad, y al rotarla el valor anterior se desactiva de inmediato. El modelo de acceso y los controles de las claves API se describen con más detalle en la página de seguridad IoT de Kilo.

Preguntas frecuentes sobre seguridad de dispositivos IoT

¿Cuál es la vulnerabilidad de seguridad IoT más común?

El OWASP IoT Top 10, publicado en 2018, sitúa en primer lugar las contraseñas débiles, fáciles de adivinar o fijadas en el código. Los servicios de red inseguros ocupan el segundo puesto, y las interfaces inseguras del ecosistema, como las interfaces web, en la nube y móviles que rodean a un dispositivo, el tercero.

¿Durante cuánto tiempo deben recibir actualizaciones de seguridad los dispositivos IoT?

Según el Reglamento de Ciberresiliencia de la UE, el periodo de soporte debe reflejar el tiempo que se espera que se use el producto, y debe ser de al menos cinco años, salvo que se prevea usarlo durante menos tiempo. Muchos dispositivos industriales permanecen instalados más tiempo, así que conviene comparar el periodo declarado con sus propios planes de sustitución.

¿Quién es responsable de la seguridad de los dispositivos IoT?

Tanto el fabricante como el operador. Normativas como el Reglamento de Ciberresiliencia imponen obligaciones a los fabricantes y también a los importadores y distribuidores. El operador sigue controlando la instalación, la ubicación en la red, las credenciales y la retirada, lo que incluye restablecer de fábrica un dispositivo retirado y eliminar sus claves de la plataforma.

¿La seguridad de los dispositivos IoT incluye la seguridad física?

Sí, porque muchos dispositivos están al alcance del público o de contratistas. Las medidas habituales son los interruptores antisabotaje que avisan cuando se abre una carcasa, los tornillos de seguridad, el montaje fuera del alcance fácil y que los fabricantes desactiven o bloqueen las interfaces de depuración, como UART y JTAG, en las unidades de producción.

Puede configurarlo hoy mismo en el plan gratuito de Kilo, que admite hasta cinco dispositivos, no pide datos de pago y no caduca. Registre unos cuantos sensores LoRaWAN con sus claves guardadas en la «Bóveda de claves» en lugar de en un archivo compartido, dé a un compañero que ya tenga cuenta de Kilo acceso «Ver» a la página «Dispositivos» y cree una clave API de solo lectura para la herramienta que vaya a extraer los datos. El diagnóstico de los dispositivos mostrará entonces si cada mensaje se ha enrutado, mapeado y almacenado.