Hoy en día la mayor parte del presupuesto mundial dedicado a ciberseguridad se emplea en dos objetivos: la detección y prevención de amenazas, y la protección de elementos que se consideran infraprotegidos (móviles, nube). El presupuesto dedicado a mantener seguras las cosas que se consideran ya suficientemente protegidas es muy inferior en comparación a los dos conceptos anteriores.
El responsable de ciberseguridad sabe que la mayor parte de los ataques que sufren los activos bajo su responsabilidad se aprovechan de vulnerabilidades conocidas, esencialmente defectos en el software de los sistemas en producción que pueden repararse actualizando dicho software. Este responsable, para ello, tiene desplegado un sistema de actualización de parches, que consiste en una modificación del software que hace que deje de ser vulnerable. Una organización que cuenta con un esquema fiable de identificación de vulnerabilidades y despliegue de parches queda protegida en gran medida, expuesta únicamente a las denominadas vulnerabilidades zero-day que son explotadas por una fracción muy pequeña de los ataques sufridos. Es por tanto razonable que la gestión de este ‘parcheado’ no sea la principal preocupación del mencionado responsable, que dedica la mayor parte de su tiempo a los esfuerzos de detección, prevención y protección que decíamos se llevan la mayor parte de su presupuesto. Expresado así, uno diría que la cosa tiene su sentido. Sin embargo, este panorama tan lleno de sentido está a punto de cambiar. Todos los días hacemos uso de elementos que contienen software: una lavadora programable tiene software, como un televisor, un ecógrafo, un termostato…
Estos elementos con software incrustado están aumentando su nivel de interconexión a medida que nuestra sociedad avanza hacia la digitalización: Internet of Everything. El problema radica en que en general los fabricantes de estas ‘things’ no tienen previsto cómo van a parchearlas. Para ser justos, la cosa va por barrios. No es probable que en los próximos años se parchee el software de una lavadora, y es casi seguro que no se podrá parchear un ecógrafo, dado que la regulación que le es aplicable se caería por su peso si eso pudiera hacerse regularmente y de forma automatizada como con un Windows Update.
El problema radica en que en general los fabricantes de estas ‘things’ no tienen previsto cómo van a parchearlas
Sin embargo, muy pronto nuestro día a día va a verse rodeado de nuevos objetos que sí necesitarán parchearse. Estos son objetos a medio camino entre un ordenador que puede parchearse automáticamente y el ecógrafo cuyo software no va a parchearse durante su vida útil. Son coches conectados, altavoces conectados, televisores conectados, sensores conectados, juguetes conectados, elementos que contienen software, que serán atacables y atacados y que nadie tiene muy claro cómo parchear a gran escala, de forma barata y en tiempos razonables. La amenaza es real.
Recientemente hemos asistido a la publicación de vulnerabilidades que afectan a la seguridad de los protocolos WiFi, Bluetooth, de las claves almacenadas en algunos de los elementos hardware (TPM) más seguros que tenemos… todos ellos elementos que forman y seguirán formando parte de esta categoría de cosas interconectadas que no sabemos parchear. Por ello, podemos asegurar que el problema de cómo parchear nuestro emergente mundo digital conectado va a superar al del ransomware, al de la privacidad en la nube, al del malware en los móviles y a cualquier otro problema de ciberseguridad que hoy esté de moda. Su resolución requerirá combinar a los mejores expertos en seguridad y en desarrollo, porque la distribución de parches en entornos productivos críticos es un problema de operaciones y de desarrollo, no de seguridad. Parchear el mundo es un problema de SecDevOps en definitiva, y es un desafío enorme por su novedad y su magnitud. Cuanto antes nos pongamos a trabajar en él, antes nos podremos despreocupar de qué haremos el día que nos enteremos de que el juguete conectado comprado a nuestros hijos para que jueguen en red permite sacarles fotos mientras duermen.
