No basta con contraseñas: el reto normativo de Europa para evitar ciberataques a cafeteras o neveras conectadas

En un mundo hiperconectado, es cada vez más frecuente ver como los objetos o los dispositivos interaccionan entre sí gracias a la tecnología, lo que se conoce internet de las cosas (IoT). Una tendencia que se acelerará a medida que avance el despliegue masivo del 5G, la nueva generación de la telefonía móvil cuyas características suponen oportunidad única para lograr un mejor el desempeño de los objetos conectados.

Según la última edición del Ericsson Mobility Report, a finales de 2020 se estimaba que ya existían alrededor de 12.400 millones de dispositivos IoT conectados en el mundo. Una cifra que las previsiones de la compañía sueca anticipan que va a más que duplicarse hasta 2026, cuando se situará en torno a los 26.400 millones. 

Sin embargo, este rápido crecimiento del número de dispositivos conectados también plantea otros desafíos. De hecho, a medida que haya más objetos conectados, también aumentarán los riesgos de ciberseguridad y los ciberdelincuentes intentarán aprovechar las posibles vulnerabilidades de estos dispositivos. 

Asegurar la seguridad de los objetos de IoT y, en consecuencia, mejorar la resiliencia digital se ha convertido en una prioridad para Europa. Y así se refleja en diferentes iniciativas recientes, como los fondos de recuperación y transformación, el nuevo presupuesto europeo o los objetivos fijados para la Década digital europea. 

Pese a ser consciente de esta importancia, todavía queda mucho por hacer en el Viejo Continente para garantizar que estas conexiones se realicen de forma segura. Así se desprende de un informe sobre la ciberseguridad de IoT publicado por DigitalEurope, la patronal europea de la industria digital.

Riesgos e inseguridad jurídica

El estudio, elaborado a partir entrevistas a 18 expertos en estándares, señala que el enfoque actual de la Comisión Europea (CE) en este campo genera riesgos de ciberseguridad e inseguridad jurídica. Por ello, ve necesaria una nueva ley horizontal para la ciberseguridad de los dispositivos conectados, junto con un marco de tiempo que permita desarrollar estándares armonizados para la ciberseguridad.

"Habrá casi 30.000 millones de dispositivos conectados para 2026 y garantizar su seguridad será el próximo gran desafío digital. Sin las normas adecuadas, aparatos como cámaras o cafeteras son vulnerables a los piratas informáticos, lo que pone en peligro a los europeos y facilita que haya ciberataques más importantes", advierte la directora general de DigitalEurope, Cecilia Bonefeld-Dahl.

En este sentido, la organización defiende que la legislación de producto debe, a partir de ahora, evolucionar de forma acompasada con la seguridad de los dispositivos conectados. Así, admite que "no es una tarea fácil", ya que la ciberseguridad es algo relativamente nuevo en comparación con las décadas de historia en normativa de producto. 

Sin embargo, advierte de que, dada la velocidad de los avances tecnológicos, establecer un marco erróneo hoy en día para este mercado podría tener consecuencias no intencionadas en el diseño y el desarrollo de los objetos conectados en los próximos años. 

Requisitos y medias de ciberseguridad

Uno de los principales hallazgos del análisis es que la mayoría de los requisitos básicos de ciberseguridad (en torno al 70%) son comunes en todos los productos conectados, frente un 30% que serían más específicos para tipos concretos. De ahí que DigitalEurope considera que una legislación básica horizontal sea la mejor manera de abordar esta cuestión.

Bonefeld-Dahl incide en que los riesgos de seguridad de la mayoría de los objetivos son similares, pero el enfoque actual de la CE propone diferentes regulaciones para diferentes servicios. "Nuestro estudio claramente muestra que amplias normas horizontales para todos los dispositivos conectados debe ser una prioridad en Europa", subraya. 

Además, un 94% de los expertos entrevistados coinciden en que no es posible garantizar la suficiente ciberseguridad centrándose única o principalmente en las características físicas del producto, como las contraseñas, algo que ocurre generalmente hoy en día.

Estas deben ser acompañadas, en su opinión, por cuestiones más de organización, como normas de gestión de la ciberseguridad. "Por esta razón, la legislación de producto que existe hoy en día no debe utilizarse para abordar la ciberseguridad. O si es necesario, debería centrarse estrictamente en los requisitos relacionados con el producto", remarca. 

Por otro lado, todos los expertos coinciden en que definir los requisitos básicos de ciberseguridad para todos los objetos conectados sería "crucial" para mejorar el nivel general de ciberseguridad, que en la actualidad se considera bajo. En concreto, esto conduciría a un nivel bueno o muy bueno de ciberseguridad general para el 53% de los expertos, mientras que el 47% considera que sería justo.

Sin embargo, los expertos también advierten que esto no será tarea fácil, ya que desarrollar unos estándares de ciberseguridad para IoT armonizados y apropiados "llevará al menos cinco años". Por ello, la patronal defiende que los encargados de diseñar las políticas deben tomarse el tiempo suficiente y maximizar el vínculo entre la legislación y los estándares.

"Debemos evitar absolutamente los obstáculos en el diseño y desarrollo de productos conectados ciberseguros dentro de unos años", remarca Bonefeld-Dahl, quien añade que, además de una normativa básica para todos los productos, es necesario darse un margen de tiempo para el desarrollo de los necesarios estándares armonizados que garanticen que los productos cumplen con la legislación. 

"Europa es actualmente un líder en cumplimiento normativo de producto gracias a los estándares. Hacerlo mal ahora pondría en peligro nuestro futuro liderazgo en ciberseguridad", advierte la directora general de DigitalEurope. Así, la patronal añade que unos estándares armonizados garantizan a fabricantes, consumidores y autoridades por igual que un producto cumple con la ley, evitando así procesos largos y caros de evaluación.