La Ley de Resiliencia Cibernética (CRA) ha modificado la seguridad del IoT europeo, que hasta ahora se basaba en recomendaciones y mejores prácticas, en una obligación legal de notificación. En virtud de esta nueva ley, la seguridad se convierte en un requisito legal para la venta de un producto conectado en Europa, lo que obliga a los fabricantes a notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de los productos con elementos digitales.
Sin embargo, muchas organizaciones no comprenden que estas obligaciones van más allá de los fabricantes. Debido al complejo panorama del IoT, garantizar un verdadero cumplimiento exige que la responsabilidad vaya más allá de los propios fabricantes, quienes, en última instancia, no pueden garantizar la seguridad de una arquitectura de implementación que no diseñan, no gestionan ni siquiera saben que existe.
Xabier Olea, Director Técnico en Wireless Logic, explica por qué las organizaciones deben ir más allá del cumplimiento a nivel de producto al considerar las obligaciones de ciberseguridad y reporte en despliegues reales de IoT:
«Aunque la CRA responsabiliza correctamente a los fabricantes por la ciberseguridad de productos con elementos digitales, su asignación centrada en el producto no refleja actualmente cómo se genera el riesgo cibernético en los despliegues reales de IoT. Los fabricantes pueden proteger un dispositivo frente a su uso previsto y razonablemente previsible, pero no pueden asegurar una arquitectura de despliegue que no diseñan ni operan”, confirma Xabier Olea. Para industrias como el IoT, la entidad que ensambla dispositivos, conectividad, plataformas en la nube, aplicaciones y procesos operativos en un servicio puede, de hecho, tener un control y visibilidad sustancialmente mayor sobre el riesgo cibernético sistémico resultante que los fabricantes de equipos.
«Por tanto, la CRA no debe considerarse como una regulación global de ciberseguridad del IoT. En cambio, actúa como punto de partida para garantizar que los productos conectados que entran en el mercado de la UE sean seguros por diseño y estén respaldados durante todo su ciclo de vida”, añade el director técnico. “Una resiliencia genuina a largo plazo requiere que las organizaciones entiendan esta regulación como parte de un modelo más amplio de ciberseguridad que también aborda marcos como el NIS2 y la IEC 62443”.
A medida que entran en vigor los requisitos de informe, las organizaciones deben ir más allá del cumplimiento básico del producto y preguntarse cómo detectarían realmente una brecha en todo el sistema. Como asegura Xabier Olea, “la verdadera resiliencia requiere visibilidad continua entre activos conectados, un control estricto de credenciales, segmentación de redes y planes claros de respuesta a incidentes multi-proveedor”.
