Redes 5G, nuevos enfoques para la ciberseguridad

La velocidad es importante, pero la velocidad sin una buena solución de focalización puede ser desastrosa.

5G será una revisión física de nuestras redes esenciales que tendrá un impacto de décadas.

Debido a que 5G es la conversión a una red principalmente de software, las actualizaciones futuras serán actualizaciones de software muy parecidas a las actualizaciones actuales de un teléfono inteligente.

Debido a las vulnerabilidades cibernéticas de software, la parte más dura de la carrera al 5G es que rediseñar la forma en que aseguramos la red en el siglo XXI y el ecosistema de dispositivos y aplicaciones que brotan de esa red.

Nunca las redes y servicios esenciales que definen nuestras vidas, nuestra economía y nuestra seguridad nacional tuvieron tantos participantes, cada uno dependiente del otro, y ninguno de los cuales tiene la responsabilidad final de la seguridad cibernética.

El adagio «lo que es asunto de todos es asunto de nadie» nunca ha sido más apropiado y peligroso que en la búsqueda de la ciberseguridad 5G.

Las nuevas capacidades posibles gracias a las nuevas aplicaciones que operan en redes 5G son muy prometedoras.

Sin embargo, a medida que buscamos el futuro conectado, debemos colocar un enfoque equivalente, si no mayor, en la seguridad de esas conexiones, dispositivos y aplicaciones.

Construir 5G sobre una base de ciberseguridad débil es construir sobre arena. Esto no es solo una cuestión de seguridad de los usuarios de la red, es una cuestión de seguridad nacional.

¿Cómo garantizar entonces la ciberseguridad en las redes 5G? Vamos a verlo.

Pero primero conoceremos en qué consiste la red 5G y para qué se utiliza.

¿Qué es 5G?

Riesgos cibernéticos del 5G

Los políticos tendrán que realizar una evaluación de riesgos más equilibrada, enfocándose más en las vulnerabilidades, las probabilidades de amenazas y los impulsores de impacto de la ecuación de riesgo cibernético.

Esto debe ser seguido por una evaluación honesta de la supervisión necesaria para asegurar que la promesa de 5G no se supere con vulnerabilidades cibernéticas, que resultan de despliegues apresurados que no invierten lo suficiente en la mitigación del riesgo cibernético.

Dicha revisión de la mitigación de la amenaza cibernética 5G debería centrarse en las responsabilidades tanto de las empresas 5G como del gobierno.

Esto debería incluir una revisión de si las medidas y motivaciones actuales basadas en el mercado pueden abordar los factores de riesgo cibernético 5G y, si se quedan cortos, el papel adecuado de la intervención gubernamental dirigida en una era de rápido cambio tecnológico.

El momento de abordar estos problemas es ahora, antes de que nos volvamos dependientes de los servicios 5G inseguros sin un plan de cómo mantenemos la preparación cibernética para el ecosistema 5G más grande.

El coste posterior de perder una oportunidad proactiva de ciberseguridad 5G será mucho mayor que el coste de la ciber diligencia por adelantado.

El ataque de NotPetya en 2017 causó 10 mil millones de dólares en pérdidas corporativas.

Las redes 5G no existían en ese momento, por supuesto, pero el ataque ilustra el alto coste de tales incursiones y palidece en comparación con un ataque que resultaría en lesiones humanas o pérdida de vidas.

Necesitamos establecer las condiciones por las cuales la inversión en ciberseguridad informada sobre el riesgo es un negocio inteligente para todos los participantes de 5G.

En un mundo de redes, dispositivos y aplicaciones interconectados, cada actividad es un vector de ataque potencial.

Esta vulnerabilidad solo se ve aumentada por la naturaleza de 5G y sus atributos altamente deseables. Los piratas informáticos del mundo ya están recurriendo al ecosistema 5G. Los objetivos de las aldeas de hackers de este año incluyeron partes clave del ecosistema 5G, tales como: aviación, automóviles, sistemas de control de infraestructura, privacidad, centros de llamadas minoristas y mesas de ayuda, hardware en general, drones, IoT y máquinas de votación.

Vulnerabilidades de 5G

Hay cinco formas en que las redes 5G son más vulnerables a los ataques cibernéticos que sus predecesoras:

1. La red se ha alejado del cambio centralizado basado en hardware a un enrutamiento digital distribuido definido por software. Las redes anteriores eran diseños de radios en los que todo llegaba a puntos de estrangulamiento de hardware donde se podía practicar la ciber higiene. Sin embargo, en la red definida por software 5G, esa actividad se empuja hacia afuera a una red de enrutadores digitales en toda la red, negando así el potencial para la inspección y el control del punto de estrangulamiento.
2. 5G complica aún más su vulnerabilidad cibernética al virtualizar en software las funciones de red de nivel superior que antes realizaban los dispositivos físicos. Estas actividades se basan en el lenguaje común del Protocolo de Internet y los sistemas operativos conocidos.
3. Incluso si fuera posible bloquear las vulnerabilidades de software dentro de la red, la red también está siendo administrada por software, a menudo inteligencia artificial de primera generación, que en sí misma puede ser vulnerable. Un atacante que obtiene el control del software que administra las redes también puede controlar la red.
4. La expansión dramática del ancho de banda que hace posible 5G crea vías de ataque adicionales. Físicamente, las antenas de células pequeñas de bajo coste y corto alcance desplegadas en áreas urbanas se convierten en nuevos objetivos duros. Funcionalmente, estos sitios móviles utilizarán la capacidad de intercambio dinámico de espectro de 5G en la que múltiples flujos de información comparten el ancho de banda en los llamados «sectores», cada segmento con su propio grado variable de riesgo cibernético. Cuando el software permite que las funciones de la red cambien dinámicamente, la protección cibernética también debe ser dinámica en lugar de depender de una solución uniforme de mínimo común denominador.
5. Finalmente, por supuesto, está la vulnerabilidad creada al conectar decenas de miles de millones de dispositivos inteligentes pirateables a la red coloquialmente conocida como IoT. Hay planes en marcha para una lista diversa y aparentemente inagotable de actividades habilitadas para IoT, que van desde cosas de seguridad pública, cosas de campo de batalla, cosas médicas hasta cosas de transporte, todo lo cual es maravilloso y excepcionalmente vulnerable. En julio, por ejemplo, Microsoft informó que los hackers rusos habían penetrado dispositivos IoT comunes para obtener acceso a las redes. A partir de ahí, los piratas informáticos descubrieron más dispositivos inseguros de IoT en los que podían plantar software de explotación.

Ciberataques multidimensionales

Las redes de quinta generación crean así una vulnerabilidad de ciberataque multidimensional muy expandida.

Es esta naturaleza redefinida de las redes, un nuevo «ecosistema de ecosistemas» de red, lo que requiere una estrategia cibernética redefinida de manera similar.

Las compañías de redes, dispositivos y aplicaciones son conscientes de las vulnerabilidades y muchas están haciendo, sin duda, lo que consideran esfuerzos de buena fe para resolver los problemas.

Los proveedores de servicios de 5G son los primeros en decirnos que 5G respaldará una transformación radical y beneficiosa en lo que podemos hacer y cómo gestionamos nuestros asuntos. Al mismo tiempo, estas compañías se han preocupado públicamente por su capacidad para abordar la totalidad de la amenaza cibernética y han descrito el desafío futuro en términos inquietantemente contundentes.

La naturaleza de las redes 5G exacerba la amenaza de ciberseguridad.

En todos los países, los consumidores, las empresas y las ciudades que buscan usar 5G están mal equipados para evaluar, y mucho menos abordar, sus amenazas.

Colocar la carga de seguridad en el usuario es una expectativa poco realista, pero es un principio importante de las actividades actuales de ciberseguridad. Mirando a los roles de seguridad cibernética de la multitud de empresas en el «ecosistema de ecosistemas» 5G revela una papilla indefinida.

Nuestra trayectoria actual no cerrará la brecha cibernética, ya que 5G expande enormemente tanto el número de dispositivos conectados como las categorías de actividades que dependen de 5G.

Claves para ganar la carrera 5G

La verdadera “carrera 5G” es la más importante del siglo XXI y será suficientemente segura para darse cuenta de sus promesas tecnológicas.

Sí, la implementación rápida es importante, pero la seguridad es primordial. Para responder a esa pregunta primordial se requieren nuevos esfuerzos tanto de las empresas como del gobierno y una nueva relación entre los dos.

Las recomendaciones que siguen son importantes. En tiempos normales, tales sugerencias pueden juzgarse demasiado como una desviación de las prácticas tradicionales. Sin embargo, estos no son tiempos normales.

La perspectiva para un futuro que se basa en 5G y otras nuevas vías digitales está ciberdefinida. Esta nueva realidad justifica las siguientes acciones corporativas y gubernamentales.

Clave 1: las empresas deben reconocer y ser responsables de un nuevo deber de cuidado cibernético

La primera de esta propuesta de dos partes es el establecimiento de un incentivo basado en recompensas (en lugar de multas) para que las empresas se adhieran a un «deber de cuidado cibernético».

Tradicionalmente, se establece que quienes brindan productos y servicios tienen el deber de identificar y mitigar los posibles daños que podrían resultar.

Es necesario que haya una nueva cultura corporativa en la que el riesgo cibernético sea tratado como un deber corporativo esencial y recompensado con los incentivos apropiados, ya sea en forma monetaria, regulatoria u otras. Dichos incentivos requerirían el cumplimiento de un estándar de higiene cibernética que, de cumplirse, daría derecho a que la empresa sea tratada de manera diferente que otras entidades que no cumplen.

Tal deber cibernético de cuidado incluye lo siguiente:

• Revertir la subinversión crónica en la reducción del riesgo cibernético. La inversión cibernética proactiva hoy es la excepción más que la regla. Y un punto de entrada favorito para los ataques cibernéticos sigue siendo las compañías más pequeñas, muchas de las cuales están fuera del alcance de estos esfuerzos.
• Implementación de aprendizaje automático y protección de inteligencia artificial. Los ataques cibernéticos en 5G serán ataques de software; deben ser contrarrestados con protecciones de software.
• Cambio de indicadores de retraso de preparación cibernética (post-ataque) a indicadores principales. El reino cibernético 5G necesita adoptar una metodología de indicadores líderes para comunicar la preparación cibernética entre empresas comerciales interdependientes y con entidades gubernamentales encargadas de las responsabilidades de supervisión.
• La ciberseguridad comienza con las propias redes 5G. Cualquier reemplazo debe incluir la expectativa de que las compañías establecerán suficientes procesos de ciberseguridad que sustenten las protecciones.
• Insertar seguridad en el ciclo de desarrollo y operaciones. Tal seguridad por diseño debería ser un deber mínimo de cuidado en todo el espacio comercial para las innovaciones en el entorno emergente 5G.
• Mejores prácticas. Existen cinco áreas para la gestión de mejores prácticas de ciberseguridad que podrían convertirse en la base de las mejores prácticas de la industria: identificar, proteger, detectar, responder y recuperarse.

Clave 2: El gobierno debe establecer un nuevo paradigma de regulación cibernética para reflejar las nuevas realidades

Las reglas de procedimiento actuales para las agencias gubernamentales se desarrollaron en un entorno industrial en el que la innovación y el cambio, y las amenazas de seguridad, se realizaban más lentamente.

El rápido ritmo de la innovación y las amenazas digitales requiere un nuevo enfoque de la relación entre empresas y gobierno.

• Relaciones cibernéticas regulatorias más efectivas. Se debe desarrollar un nuevo paradigma regulatorio de seguridad cibernética que busque reducir la relación de confrontación que puede desarrollarse entre los reguladores y las empresas que supervisan.
• Reconocimiento de las deficiencias del mercado.
• Transparencia del consumidor. Los consumidores deben recibir las herramientas para tomar decisiones informadas.
• Inspección y certificación de dispositivos conectados.
• Los contratos no son suficientes. La mayoría de los proveedores de redes 5G pequeñas y medianas no están obligados por ninguno de estos contratos gubernamentales.
• Estimular el cierre de las brechas de la cadena de suministro 5G. El análisis del mercado de la cadena de suministro 5G debe ser continuo con un compromiso regular entre los reguladores, la industria y las ramas ejecutiva y legislativa para incentivar adecuadamente las alternativas de abastecimiento interno competitivas a nivel mundial.
• Nuevos compromisos con organismos internacionales. Debe haber una supervisión de terceros informada al principio del ciclo de diseño e implementación de la industria 5G para priorizar la seguridad cibernética.

Estándares de seguridad 5G

Para que todo eso funcione, debe haber un conjunto unificado de estándares que definan 5G. Esa misma metodología debería, y hasta cierto punto, aplicarse a la ciberseguridad que protege los datos transmitidos a través de redes 5G en cualquier parte del mundo.

La ciberseguridad para redes móviles sigue un modelo jerárquico y puede clasificarse por dominio.

La arquitectura de seguridad cibernética 5G comprende la seguridad de:

• acceso a la red;
• dominio de red;
• dominio del usuario;
• Aplicación de seguridad de dominio;
• dominio SBA.

El nivel de seguridad integrado en 5G desde el nivel de estándares representa numerosas mejoras sobre su predecesor LTE. Estas mejoras incluyen:

• Mayor seguridad de la interfaz aérea;
• Mejor seguridad de interconexión;
• Protección mejorada de la privacidad del usuario;
• Y una actualización al cifrado de 256 bits.

Nuestra primera recomendación es considerar de antemano qué riesgos de seguridad puede plantear el lanzamiento de 5G. Una opción es realizar una evaluación de riesgos de seguridad cibernética 5G que examine la gobernanza, la arquitectura, la resiliencia cibernética y las cadenas de suministro.

El resultado del análisis se puede utilizar para desarrollar medidas específicas adaptadas al contexto de aplicación específico.

La segunda recomendación es utilizar siempre la arquitectura de confianza cero como base para un despliegue de 5G. En una red de confianza cero, las aplicaciones y los flujos de datos están estrictamente segmentados, el acceso identificable se emite según sea necesario y las desviaciones del comportamiento esperado están sujetas a una monitorización explícita.

Al combinar los principios de confianza cero con un conjunto de medidas específicas basadas en una evaluación de riesgos 5G, pueden abordarse, monitorizarse y corregirse riesgos específicos de ciberseguridad 5G.