Cómo hacer que su diseño cumpla con los requisitos de ciberseguridad

En los últimos años, el Internet de las Cosas (IoT) ha estado desarrollándose rápidamente, con consumidores y empresas adoptando un número creciente de dispositivos IoT. Sin embargo, esto también ha convertido a los dispositivos IoT en un objetivo para los ataques de hackers, haciendo de la seguridad de los dispositivos IoT una preocupación significativa para consumidores y empresas. Este artículo le presentará los desafíos que enfrentan las aplicaciones actuales de IoT, las regulaciones legales pertinentes y las soluciones de Arrow Electronics y ST Microelectronics.

Según datos estadísticos, los principales desafíos que enfrenta la tecnología IoT actual provienen de que los desarrolladores de dispositivos IoT se apresuran a crear productos que no están adecuadamente protegidos. Otro desafío es la falta de especialistas en análisis de datos, lo que impide a las empresas beneficiarse plenamente del IoT. Además, existe una abundancia de productos IoT fácilmente atacables en el mercado y, junto con la reticencia de los consumidores a actualizar el firmware, la seguridad del IoT enfrenta desafíos significativos.

Los informes de hackers que explotan vulnerabilidades en dispositivos IoT, exponiendo cuentas de usuarios, son frecuentes. Los datos de los usuarios a menudo caen en manos de grupos de fraude, que los utilizan para engañar a los consumidores en estafas financieras. Además, algunos dispositivos IoT son violados por hackers, lo que lleva a infracciones de privacidad. Mediante cámaras comprometidas, se inmiscuye en la vida de los usuarios, semejando un escenario de 'The Truman Show.'

A medida que los dispositivos IoT transmiten y procesan grandes cantidades de datos, que pueden incluir información sensible, garantizar la seguridad de los sistemas IoT y la privacidad del usuario se convierte en un desafío crítico. Es necesario abordar riesgos como ataques maliciosos, violaciones de datos y acceso no autorizado.

La falta de ciberseguridad puede resultar en una serie de problemas graves que afectan a individuos, organizaciones y sociedades enteras. Estos incluyen violaciones de datos, pérdidas financieras, daño a la reputación empresarial, amenazas a la infraestructura, ransomware y riesgos para la seguridad nacional. Para abordar estos problemas, tanto las organizaciones como los individuos deben mejorar las medidas de ciberseguridad, incluyendo actualizaciones regulares de software, el uso de contraseñas seguras, la implementación de autenticación multifactorial, revisiones de seguridad periódicas y capacitación de empleados para aumentar la conciencia sobre seguridad, evitando costosos filtraciones de datos y propiedad intelectual (IP), daño a la reputación de la empresa, retrasos en el tiempo de comercialización e incluso litigios y multas. Además, los gobiernos deben abogar por regulaciones y políticas relevantes, alentando y supervisando a las empresas y organizaciones para que fortalezcan sus sistemas de ciberseguridad.

En la actualidad, existen numerosos estándares y regulaciones de ciberseguridad destinados a proporcionar principios orientadores para que las organizaciones e industrias aseguren la seguridad de la información. Diferentes países y regiones han desarrollado sus propios estándares de ciberseguridad relevantes, incluyendo ETSI EN 303 645 liderado por la Unión Europea, el estándar UL 2900-1 liderado por EE. UU., así como organismos de certificación para dispositivos IoT como CTIA e IoXt.

Un estándar notable introducido por el European Telecommunications Standards Institute (ETSI) es EN 303 645. Es el primer estándar global de ciberseguridad aplicable a dispositivos IoT de consumo. El estándar establece requisitos básicos para IoT de consumo, con el objetivo de integrar medidas técnicas y organizativas para lograr buenas prácticas en ciberseguridad y protección de datos. Incluye 33 disposiciones obligatorias y 35 disposiciones de recomendación en 13 aspectos de ciberseguridad y protección de datos.

ETSI EN 303 645 exige el almacenamiento seguro de parámetros de seguridad sensibles en hardware, comunicación segura, minimizar las superficies de ataque expuestas, asegurar la integridad del software. En términos de software/firmware, requiere evitar contraseñas universales predeterminadas, asegurar la seguridad de los datos personales, habilitar un sistema resiliente a interrupciones y validar datos de entrada. En cuanto a la política de la empresa, requiere la implementación de un método para gestionar informes de vulnerabilidades, mantener el software actualizado, verificar los datos de telemetría del sistema, permitir que los usuarios eliminen fácilmente sus datos, simplificar la instalación y el mantenimiento, explicar claramente qué datos personales se recopilan y con qué propósito, para garantizar que los dispositivos IoT cumplan con los estándares de seguridad requeridos.

Para garantizar el cumplimiento con los productos IoT, se puede buscar la certificación PSA. PSA Certified es un programa de certificación de seguridad diseñado específicamente para dispositivos IoT, iniciado por Arm, una empresa líder en el diseño de semiconductores y software, en colaboración con otros socios de la industria. El objetivo principal de PSA Certified es establecer un marco reconocido globalmente para evaluar y certificar la seguridad de los dispositivos IoT. El programa proporciona un conjunto de directrices de seguridad, criterios de evaluación y metodologías de prueba para garantizar que los dispositivos IoT cumplan con los requisitos mínimos de seguridad.

PSA Certified define un marco de seguridad integral para dispositivos IoT, abarcando varios aspectos de seguridad, incluyendo identidad del dispositivo, arranque seguro, comunicación segura, actualizaciones de firmware y criptografía. Ofrece un enfoque estandarizado para abordar los desafíos de seguridad durante todo el ciclo de vida de los dispositivos IoT. El programa incluye evaluaciones de seguridad independientes realizadas por laboratorios acreditados, evaluando las características de seguridad y la implementación de dispositivos IoT basados en los requisitos de seguridad de PSA Certified. La independencia de estas evaluaciones mejora la credibilidad y la confianza en las afirmaciones de seguridad de los dispositivos certificados.

PSA Certified incluye evaluaciones de seguridad independientes realizadas por laboratorios acreditados, que evalúan las características de seguridad y la implementación de dispositivos IoT según los requisitos de seguridad de PSA Certified. A través de estas evaluaciones, las organizaciones pueden obtener una evaluación objetiva de las características de seguridad de sus dispositivos, demostrando cumplimiento con regulaciones y estándares.

PSA Certified se alinea con las regulaciones y estándares de ciberseguridad existentes, como la Directiva de la UE sobre redes y sistemas de información (NIS) y las pautas de mejores prácticas de seguridad de IoT para consumidores en el Reino Unido. Al adherirse a los principios y requisitos de seguridad definidos por PSA Certified, las organizaciones pueden garantizar el cumplimiento de estas regulaciones, demostrar su compromiso con la seguridad y generar confianza con clientes, socios y autoridades reguladoras. Proporciona un enfoque estructurado para cumplir con regulaciones y estándares específicos de ciberseguridad para dispositivos IoT, lo que permite a las organizaciones abordar de manera más efectiva el complejo panorama de requisitos de seguridad de IoT.

Obtener PSA Certified significa cumplir con las regulaciones de la industria. La certificación PSA se alinea activamente con las próximas regulaciones y estándares, incluidos EN 303 645, NIST 8259A, SB-327, UK DCMS, ENISA (WIP), IEC 62443 4-2, CSA-311 y colabora con organizaciones como UL, ioXt, SESIP, DLC, Amazon Alexa, Munich RE, Matter, fomentando la colaboración y permitiendo la reutilización.

Los pasos del marco de PSA Certified incluyen analizar los requisitos de seguridad, diseñar un diseño seguro, crear el diseño y verificar el diseño seguro. El marco de seguridad IoT de PSA Certified Nivel 1 para OEMs tiene diez objetivos destacados, incluyendo identificación única, ciclo de vida de seguridad, atestación, arranque seguro, actualización segura, anti-retroceso, aislamiento, interacción, almacenamiento seguro y servicios criptográficos/de confianza, proporcionando un camino para evaluaciones de seguridad IoT validadas de manera independiente.

Arrow Electronics está colaborando con aplicaciones certificadas de nivel 1 de PSA Certified, permitiendo que los OEM las usen como base para sus diseños de seguridad conectada. Los OEM pueden adoptar diseños de referencia, superponer su IP y completar toda la aplicación a través de un proceso de certificación acelerado, lo que les permite lanzar productos al mercado de manera segura, rápida y con confianza.

PSA Certified, en colaboración con Arrow Electronics, ayudará a los clientes finales a crear soluciones de colaboración en seguridad únicas específicamente para el IoT. Esta colaboración tiene como objetivo liberar nuevas oportunidades de negocio para todo el ecosistema, proporcionar soluciones integrales con seguridad incorporada, cumplir con estándares y regulaciones críticas, reducir el costo de inversión en el desarrollo de características de seguridad, extender la gestión empresarial de la cadena de suministro y logística, y obtener garantía a través de la certificación de terceros.

Arrow Electronics ha introducido el STM32U5 Secure Embedded Development Kit, que incluye soporte para TrustZone, conectividad WiFi y Bluetooth, así como múltiples sensores. Utilizando el microcontrolador STM32U5 de STMicroelectronics, que cuenta con un núcleo Arm Cortex-M33 de bajo consumo, este kit de desarrollo seguro ayuda a integrar la seguridad, una tarea compleja para los desarrolladores de IoT. El diseño de referencia de Arrow Electronics es adecuado para aplicaciones embebidas seguras y ha recibido la Certificación de Nivel 1 de PSA, asegurando una colaboración sin problemas con proveedores de nube líderes como Amazon Web Services (AWS) y Microsoft Azure.

Por otro lado, Silicon Labs ha lanzado la plataforma Secure Vault™, que comprende avanzadas características de seguridad de vanguardia para abordar las amenazas emergentes de IoT. La plataforma ayuda a reducir las vulnerabilidades de seguridad en el ecosistema de IoT y minimiza el riesgo de fugas de propiedad intelectual o pérdidas de ingresos debido a la falsificación. La tecnología Secure Vault previene ataques de software locales y remotos escalables y defiende contra ataques de hardware locales.

Las características clave de Secure Vault incluyen gestión segura de claves, prevención de retroceso, anti-manipulación, depuración segura bloqueada/desbloqueada, enlace seguro, arranque seguro con RTSL, atestación segura, contramedidas de análisis diferencial de potencia (DPA) y un generador de números aleatorios reales (TRNG). Además, Secure Vault ha obtenido la certificación PSA Certified Level 3 en EFR32FG23B y EFR32MG21B, lo que acelerará el proceso de desarrollo de productos del usuario.

Con la adopción generalizada de aplicaciones de IoT, la seguridad de los dispositivos IoT se ha convertido en una preocupación significativa. Los dispositivos IoT que han pasado por la certificación PSA Certified significan que el producto cumple con los requisitos de los estándares de seguridad IoT. Esta certificación mejora el valor añadido del producto e incrementa la confianza del consumidor y su disposición a comprar. Arrow Electronics colabora con la organización PSA Certified para asistir a los desarrolladores de dispositivos IoT en obtener la certificación PSA Certified para sus productos. Ofrece soluciones para acelerar el proceso de desarrollo de productos, haciendo de Arrow Electronics un socio ideal para los desarrolladores de productos IoT.