Las ciudades del futuro pueden ser inteligentes, pero ¿serán ciber seguras?
A medida que los centros urbanos continúan aumentando en población, muchos se convierten en «ciudades inteligentes» a través de una transformación digital destinada a mejorar la vida de sus residentes, la gobernanza más efectiva y el consumo de recursos más eficiente, a través de la instrumentación de casi todo en una ciudad.
Las luces de la calle, las señales de tráfico y las cámaras, los medidores de electricidad y gas y las alcantarillas de cualquier metrópolis pueden alimentar esta infraestructura digital. Los ciudadanos también se conectarán con la infraestructura de la ciudad inteligente para obtener servicios municipales o pagar facturas.
En conjunto, se espera que el mercado de las ciudades inteligentes supere los 1.7 trillones de dólares en los próximos 20 años. Pero la interconectividad a través de la infraestructura física y virtual que hace que una ciudad inteligente funcione también crea riesgos nuevos y sustanciales de ciberseguridad.
Con cada punto de acceso adicional, las vulnerabilidades de exposición a datos confidenciales se expanden. Las ciudades inteligentes pueden ser susceptibles a numerosas técnicas de ataque cibernético, como la ejecución remota y la interferencia de señales, así como a los medios tradicionales, como malware, manipulación de datos y DDOS.
Para contrarrestar los riesgos, se necesitan planes integrales de ciudades inteligentes diseñados para salvaguardar lo que claramente es «infraestructura crítica» en nombre de todas las partes involucradas, desde el ciudadano individual hasta las grandes instituciones públicas y privadas.
¿Cuáles son las principales amenazas cibernéticas de las smart cities y qué medidas deben implementarse para evitarlas? Vamos a verlo aquí.
Indice
¿Qué es una ciudad inteligente?
Esencialmente, una ciudad inteligente es el re-desarrollo de un área o ciudad que usa tecnologías de información y comunicación (TIC) para mejorar el desempeño y la calidad de los servicios urbanos, tales como energía, conectividad, transporte, servicios públicos y otros.
Una ciudad inteligente se desarrolla cuando se implementan tecnologías ‘inteligentes’ para cambiar la naturaleza y la economía de la infraestructura circundante. Es una red inteligente de objetos y máquinas conectadas que transmiten datos utilizando tecnología inalámbrica y la nube.
En esencia, las aplicaciones de IoT basadas en la nube reciben y administran datos en tiempo real para ayudar a las empresas y los residentes a tomar mejores decisiones que mejoren la calidad de vida.
Estas decisiones pueden conducir a la mejora de la congestión del tráfico, la interrupción de la energía, la conectividad a Internet y otros servicios al tiempo que se reducen los costes.
El ejemplo más conocido de una aplicación de ciudad inteligente son los automóviles conectados, llamados también vehículos autónomos.
Los fabricantes de automóviles han comenzado a trabajar para el desarrollo de automóviles conectados, y fabricantes como Tesla ya están a la vanguardia en la conducción autónoma dentro de EE.UU.
¿Por qué necesitamos ciudades inteligentes?
La población mundial está en continuo crecimiento, y se espera que la urbanización agregue otros 2.500 millones de personas a las ciudades en las próximas tres décadas.
El aumento de la población humana ya está generando hacinamiento en megaciudades de todo el mundo, como Nueva York, Tokio y Londres.
El departamento de transporte del Reino Unido informó que es uno de los países más congestionados del mundo.
Debido a razones como esta, las ciudades se ven obligadas a encontrar formas de eliminar las presiones que enfrentan los residentes y los viajeros al abordar la vida urbana y la movilidad con políticas inteligentes.
A medida que aumenta el número de población, varios países ven la sostenibilidad ambiental, social y económica como una necesidad para mantenerse al día con el crecimiento. De hecho, casi 200 países dicen que la tecnología de ciudad inteligente es primordial para el éxito.
¿Son seguras las ciudades inteligentes?
La seguridad y la protección son dos de las principales preocupaciones en cualquier ciudad, y con la incorporación de tecnologías digitales, la preocupación se vuelve mayor.
Más aún, con el creciente riesgo de delitos cibernéticos y robos de datos, las ciudades inteligentes deberían estar preparadas para enfrentar cualquier amenaza potencial.
Como se mencionó anteriormente, se espera que las tecnologías ayuden a los ciudadanos a tomar mejores decisiones informadas. De hecho, la inclusión de tecnologías inteligentes tiene el potencial de reducir las muertes y mejorar los tiempos de respuesta ante emergencias.
En general, la adopción de varias tecnologías conectadas conlleva riesgos. Las ciudades necesitan integrar soluciones que brinden soluciones sólidas de autenticación y gestión de ID para garantizar un entorno urbano seguro y protegido.
Vulnerabilidades de Smart cities
Debido a que una amenaza podría introducirse en la infraestructura de una ciudad inteligente en cualquier lugar comprometido, el riesgo puede aumentar con rapidez ya que un sistema puede comprometer al siguiente.
Cuando un dispositivo conectado aparentemente inofensivo es pirateado e inyectado con malware, ese ataque podría afectar a otros dispositivos, causando daños en cascada en toda la infraestructura.
Por ejemplo, una violación de los sistemas de alumbrado público podría conducir al control de las luces, lo que podría conducir a servidores, lo que a su vez generaría datos sobre el comportamiento individual de los clientes y, finalmente, terminaría con el acceso a la información financiera y otra información personal sobre los ciudadanos, posiblemente incluso sus registros de salud.
No es diferente a un reciente gran ataque de denegación de servicio distribuido (DDOS), en el que los dispositivos de IoT cotidianos, como los monitores para bebés, fueron pirateados y se convirtieron en una botnet para dominar algunos de los sitios web más grandes del mundo. Las ciudades podrían ser igualmente susceptibles ya que implementan rápidamente dispositivos conectados en dominios municipales.
Además, la información centrada en el cliente, cuyo objetivo es la comodidad para el ciudadano, también puede ser bastante vulnerable. Desafortunadamente, el desarrollo de credenciales de ciberseguridad, sistemas de seguridad y prevención para ciudades inteligentes no ha seguido el ritmo de la creciente adopción de capacidades digitales.
Incluso en las ciudades más conscientes de la seguridad, la tecnología que permite que las ambulancias enciendan los semáforos rojos en verde ya ha sido pirateada, por ejemplo. Mientras tanto, la penetración de la infraestructura de la red eléctrica no es infrecuente. Y, por supuesto, abundan los ejemplos de información personal violada en el sector privado.
Una vez que una ciudad se vuelve «inteligente» a través de la interconectividad, el potencial de estragos es ilimitado. Imagina todas las luces de los semáforos de una ciudad puestas en verde como el peor de los casos.
Algunas ciudades europeas, anticipando el potencial inconveniente de la transformación digital sin controles, ya han implementado salvaguardas. Con el Reglamento General de Protección de Datos de la Unión Europea, los residentes en ciudades europeas pueden optar por participar en lugar de tener que optar activamente por varios sistemas.
Mientras tanto, muchas ciudades han empleado sistemas biométricos certificados, criptografía y políticas de privacidad digital, estableciendo una cultura de ciberseguridad.
Reconocer la necesidad de comenzar y luego presupuestar para la ciberseguridad como parte de una iniciativa general de ciudad inteligente puede ayudar a evitar gastos adicionales una vez que el sistema ya está en funcionamiento. Al igual que con el IoT en productos de consumo, los sistemas conectados en toda la ciudad también necesitan protocolos de seguridad.
Hay un número desconocido de vulnerabilidades y metodologías potenciales, algunos de los ataques más comunes incluyen:
Man-in-the-middle
Un atacante infringe, interrumpe o falsifica las comunicaciones entre dos sistemas. Por ejemplo, un ataque de hombre en el medio contra una válvula inteligente en un sistema de aguas residuales podría usarse para causar un derrame de riesgo biológico.
Datos y robo de identidad
Los datos que la infraestructura de la ciudad inteligente origina sin protección, como los estacionamientos, las estaciones de carga de vehículos eléctricos y los feeds de vigilancia, ofrecen gran cantidad de información personal a los ciberatacantes que puede ser explotada para transacciones fraudulentas e identificar el robo.
Secuestro de dispositivos
El atacante secuestra y asume efectivamente el control de un dispositivo. Estos ataques pueden ser difíciles de detectar porque, en muchos casos, el atacante no altera la funcionalidad básica del dispositivo. En el contexto de una ciudad inteligente, un ciberdelincuente podría explotar los medidores inteligentes secuestrados para lanzar ataques de ransomware en los Sistemas de Gestión de Energía (EMS) o desviar sigilosamente la energía de un municipio.
Denegación de servicio distribuida (DDoS)
Un ataque de denegación de servicio (ataque DoS) intenta hacer que una máquina o recurso de red no esté disponible para sus usuarios previstos interrumpiendo temporal o indefinidamente los servicios de un host conectado a Internet.
Esto generalmente se logra inundando el objetivo con solicitudes superfluas para evitar que se cumplan las solicitudes legítimas. En el caso de un ataque distribuido de denegación de servicio (ataque DDoS), el tráfico entrante que inunda un objetivo se origina en múltiples fuentes, lo que hace difícil detener la ofensiva cibernética simplemente bloqueando una sola fuente.
Dentro de las ciudades inteligentes, es posible atacar a gran cantidad de dispositivos, como parquímetros, y hacer que estos se unan a una botnet programada para bloquear un sistema al solicitar un servicio simultáneamente.
Denegación de servicio permanente (PDoS)
Los ataques de denegación de servicio permanente (PDoS), llamados también phlashing, son ataques que ocasionan un daño en el dispositivo necesitando ser reemplazado o reinstalar su hardware. En el ámbito de una ciudad inteligente, un parquímetro secuestrado también podría ser víctima de sabotaje y debería ser reemplazado.
Medidas de seguridad
Es necesario abordar los problemas asociados con la ciberseguridad, la integración y el intercambio de datos. Pero, hasta que se llegue a un acuerdo sobre estándares concretos, aquí te dejo algunas mejores prácticas fundamentales para la seguridad de las ciudades conectadas:
Políticas inteligentes
Con demasiada frecuencia con IoT, el enfoque son los beneficios con poca atención a los riesgos. Crear una política sobre la privacidad de los datos de IoT y el uso de los datos desde el principio puede ayudar a garantizar un uso indebido inadvertido. Una política sólida puede ayudar a guiar a los empleados y usuarios hacia una mayor seguridad cibernética.
Proteger identidades individuales
La gestión de ID es fundamental en los sistemas conectados. Cada pieza de infraestructura conectada puede tener reglas o estándares diferentes para proporcionar acceso, algunos más débiles que otros. Al sincronizar las credenciales de acceso, eliminando así los puntos débiles, las ciudades pueden ayudar a proteger la información de identidad de los residentes.
Información segura en la fuente
Cada dispositivo conectado comienza a generar datos en el momento en que se conecta y cada segundo a partir de entonces. Previamente a que el sistema comience a funcionar, los gerentes de ciudades inteligentes deben comprender claramente la cantidad de datos que se recopilarán y cómo se usarán.
De esa manera, pueden estar mejor asegurados y encriptados adecuadamente desde el principio, y se pueden evitar costosos esfuerzos forenses y de mitigación en el futuro.
Estandarizar la necesidad de saber
Muy pocas personas en cualquier organización necesitan saber todo en un sistema dado. Los protocolos y las opciones de acceso crean límites y al mismo tiempo proporcionan la apertura y la funcionalidad deseadas para que la infraestructura conectada sea efectiva.
Estos protocolos ofrecen una responsabilidad completa, identificando quién está usando la información, asegurando que estén autorizados y controlando ese acceso. También promueve una cultura de seguridad cibernética al establecer estándares y limitaciones automáticos.
Implementar elementos disuasivos apropiados
Actualmente, las repercusiones para los delitos cibernéticos son limitadas y están mal definidas. Es necesario actualizar las multas, sanciones y penas de prisión para reflejar las consecuencias para quienes incumplen las reglas en un mundo interconectado.
Integridad del firmware y arranque seguro
El arranque seguro utiliza técnicas de firma de código criptográfico, asegurando que un dispositivo solo ejecute código generado por el OEM del dispositivo u otra parte confiable. El uso de la tecnología de arranque seguro evita que los piratas informáticos reemplacen el firmware con versiones maliciosas, evitando así los ataques.
Desafortunadamente, no todos los conjuntos de chips IoT están equipados con capacidades de arranque seguro. En tal escenario, es importante asegurarse de que el dispositivo IoT solo pueda comunicarse con servicios autorizados para evitar el riesgo de reemplazar el firmware con conjuntos de instrucciones maliciosas.
Autenticacion mutua
Cada vez que un dispositivo de ciudad inteligente se conecta a la red, debe autenticarse antes de recibir o transmitir datos. Esto garantiza que los datos se originen en un dispositivo legítimo y no en una fuente fraudulenta.
La autenticación mutua segura, donde dos entidades (dispositivo y servicio) deben demostrar su identidad entre sí, ayuda a proteger contra ataques maliciosos.
Monitorización y análisis de seguridad
Deben recogerse datos sobre el estado general del sistema, incluidos los dispositivos de punto final y el tráfico de conectividad. Luego, estos datos se analizan para detectar posibles violaciones de seguridad o posibles amenazas del sistema.
Una vez detectado, se debe ejecutar una amplia gama de acciones formuladas en el contexto de una política general de seguridad del sistema, tales como dispositivos de cuarentena basados en comportamientos anómalos.
Gestión del ciclo de vida de seguridad
La función de gestión del ciclo de vida permite a los proveedores de servicios y OEM controlar los aspectos de seguridad de los dispositivos IoT cuando están en funcionamiento.
La rápida modificación de la clave del dispositivo durante la recuperación ante desastres cibernéticos garantiza una interrupción mínima del servicio. Además, el desmantelamiento seguro de dispositivos asegura que los dispositivos desechados no se reutilizarán y explotarán para conectarse a un servicio sin autorización.
Una ciudad inteligente interconectada suena muy bien: los conductores evitan los atascos de tráfico; las necesidades de los ciudadanos son previstas con antelación por los servicios de la ciudad; los servicios públicos brindan información en tiempo real, lo que permite a los residentes ajustar el uso, etc.
Sin embargo, una utopía interconectada cibersegura incluye los controles correctos con una implementación adecuada para garantizar que la infraestructura conectada sea accesible solo a las personas adecuadas en el momento correcto por las razones correctas.