Esta pregunta es clave en el mundo de la seguridad actual, especialmente al enfocarse en las cámaras de seguridad. Como parte del mundo IoT, las cámaras de seguridad de hoy desempeñan roles importantes no solo en el área de seguridad, sino también en proporcionar inteligencia para acelerar la eficiencia operativa y la toma de decisiones en muchas otras áreas de negocio. A medida que se vuelven más inteligentes y complejas, también crecen sus riesgos de ciberseguridad. En los últimos años, el mundo ha experimentado varios incidentes de ciberseguridad con cámaras, siendo el “Mirai Botnet” uno de los ejemplos más conocidos. El malware Mirai aprovechó dispositivos IoT inseguros de una manera simple pero ingeniosa. Escaneó internet en busca de puertos Telnet abiertos e intentó iniciar sesión con contraseñas predeterminadas. De esta manera, pudo reunir un ejército de botnets, utilizando el poder computacional de millones de cámaras con contraseñas predeterminadas en todo el mundo[1].
El ataque de Mirai ocurrió en 2016 y, afortunadamente, la ciberseguridad de los dispositivos IoT ha mejorado significativamente desde entonces. Pero, algunas cosas siguen siendo las mismas y/o no pueden cambiarse. Mikko Hypponen, un evangelista cibernético finlandés, es conocido por su declaración: “Si un dispositivo es inteligente, es vulnerable”. Con esta afirmación, muestra que todos los dispositivos que consisten en hardware y software, y que están conectados a internet, son inseguros (y por lo tanto 'hackeables'). Aunque hizo esta declaración hace algunos años, sigue siendo cierta y muy relevante - un ejemplo de algo que no ha cambiado.
Sistemas complejos son un blanco atractivo para hackers no autorizados
Las cámaras de seguridad son dispositivos IoT y, por lo tanto, son vulnerables. También son abundantes en el mercado en diversas formas y están siendo diseñadas, desarrolladas y fabricadas por varios productores de diferentes países. Las cámaras actuales son tan avanzadas tecnológicamente que vienen con muchos procesos complejos y potencia computacional a bordo.
Estos desarrollos tecnológicos proporcionan capacidades de seguridad innovadoras increíbles, pero también serios riesgos digitales. Las cámaras consisten en componentes avanzados de hardware y software que son producidos tanto internamente como por terceros. Debido a esta complejidad, una cámara puede verse como un tipo de ecosistema por sí sola y es extremadamente desafiante protegerla de manera holística contra las cosas que podrían salir mal en este ecosistema. Una cámara se convierte en una superficie de ataque interesante y atractiva para los 'malos'.
Afortunadamente, la ciberseguridad también ha evolucionado en los últimos años y hay diferentes tipos de medidas de seguridad digital para cámaras que pueden ser aplicadas por los fabricantes de cámaras. Pero, esto primero requiere la voluntad del fabricante de cámaras de invertir esfuerzo y presupuesto en la seguridad de la cámara misma. Esta se convierte en una pregunta clave en esta discusión.
Ciberseguridad ‘integrada’ en lugar de ‘añadida’
Como se mencionó anteriormente, todas las cámaras de seguridad son vulnerables. Sin embargo, también es cierto que cuanto más difícil sea hackear una cámara, más probable es que un ciberatacante salte a otra cámara que sea más fácil de hackear. Los ciberatacantes son muy inteligentes y sofisticados, pero también muy pragmáticos. Prefieren objetivos fáciles (si logran un resultado similar). Un fabricante de cámaras que invierte en construir una base de ciberseguridad que garantice cámaras más ciberresistentes, se convertirá en un objetivo menos favorable para esos ciberatacantes, porque prefieren enfocarse en cámaras que generen los mismos resultados con menos esfuerzo (en otras palabras, 'más fáciles de hackear').
Todos los fabricantes de cámaras y clientes deben ser plenamente conscientes de que cuanto más ciberresistentes sean sus cámaras, menos interesantes serán para los hackers no autorizados. Esta ciberresiliencia requiere inversiones serias en ciberseguridad en una base sólida, y una de las inversiones más efectivas es la implementación de Secure-by-Design en el proceso de producción. Esto significa que la ciberseguridad se integra durante cada fase del proceso de producción y no se ve como una reflexión posterior cuando la cámara se produce e implementa en la ubicación del cliente. Un buen ejemplo de un proceso de producción Secure-by-Design dentro de la industria IoT es el Ciclo de Vida de Desarrollo Seguro de Hikvision (HSDLC) como se describe en el Documento Blanco de Ciberseguridad de Hikvision[2].
Además de la implementación de Secure-by-Design, hay otras inversiones en ciberseguridad que demuestran el compromiso de una organización hacia la ciberresiliencia fundamental de su portafolio IoT. Un Centro de Respuesta de Seguridad es otro ejemplo. Este centro es un equipo dedicado de profesionales en ciberseguridad que responde y maneja incidentes de seguridad y asuntos de seguridad enviados por los clientes[3].
Llamado a la acción
Así que, una cámara de seguridad es un dispositivo IoT y vulnerable a hackers que buscan acceso no autorizado. Pero, no tiene que ser así, porque los fabricantes de cámaras pueden mejorar significativamente la ciberseguridad de sus dispositivos IoT siempre que tomen esta tarea muy en serio y estén dispuestos a invertir en los bloques fundamentales de su ciberseguridad. Secure-by-Design y un Centro de Respuesta de Seguridad son solo dos ejemplos de estas inversiones. La pregunta a considerar es si una empresa es consciente de esto y está dispuesta a invertir en ciberseguridad. Porque al final de esta historia, no necesariamente serán las cámaras de una área o las cámaras de menor precio las que serán vulneradas, sino las cámaras de aquellos que no toman en serio la ciberseguridad del producto.
[1] https://www.csoonline.com/article/3258748/the-mirai-botnet-explained-how-teen-scammers-and-cctv-cameras-almost-brought-down-the-internet.html
[2] https://www.hikvision.com/en/support/cybersecurity/cybersecurity-white-paper/hikvision-cybersecurity-white-paper2019/
[3] https://www.hikvision.com/en/support/cybersecurity/report-an-issue/