IoT güvenliği: Kim sorumlu?

13 Tem 19:38

Veamos, esto me recuerda a cuando hace años la industria móvil pasó de fabricar teléfonos sin actualizaciones de seguridad a una guerra de parches mensuales. Al principio, los usuarios creían que "el firmware no se toca", los operadores responsabilizaban a los fabricantes y los gobiernos se lavaban las manos hasta que vino el caos con botnets como Mirai en 2016. Entonces hubo un cambio brutal: los fabricantes fueron obligados a garantizar al menos 5 años de soporte, los operadores dejaron de bloquear actualizaciones y los gobiernos impusieron multas millonarias por dispositivos inseguros. Con el IoT pasa igual, pero con esteroides. Los routers chinos sin cifrado o las cámaras con contraseñas "admin/admin" son el equivalente a los móviles de aquél entonces, pero con peores consecuencias por el volumen de dispositivos. Aquí el problema no es solo la pereza del usuario, sino que muchos fabricantes priorizan el "time to market" sobre cualquier medida mínima de seguridad. ¿La solución? Un modelo similar al de la UE con la Directiva RED o el UK’s PSTI Act: vender un dispositivo inseguro debe ser ilegal, con consecuencias económicas reales para las marcas. Los usuarios pueden fallar —de hecho, lo hacen—, pero los fabricantes no pueden permitírselo. Si no, seguiremos viendo el mismo guión una y otra vez.