El desarrollo presente y futuro de las ciudades inteligentes no se concibe sin la incorporación de las nuevas tecnologías con el fin de crear entornos más sostenibles y eficientes. La apuesta por este nuevo modelo de ciudad se basa en la interconexión de áreas tan diversas como la economía, el transporte, la sanidad, la seguridad, la energía o el medio ambiente. Surge así el concepto de Ciudad Inteligente o Smart City.
Riesgo para las ciudades inteligentes
Este nuevo modelo de ciudad se construye sobre dos pilares fundamentales: la innovación tecnológica y la toma de decisiones basada en datos. Junto a las grandes oportunidades que se vislumbran, surgen también riesgos asociados a la utilización de la tecnología.
La ciudad inteligente interconecta la tecnología con las infraestructuras OT de los distintos servicios gestionados. Esto hace que la potencial superficie de ataque se amplie considerablemente, convirtiéndose en un objetivo muy codiciado para los ciberatacantes. En la ciudad tradicional las diferentes infraestructuras son gestionadas de forma individual por lo que las amenazas se circunscriben a un determinado objetivo. Ahora, la ciudad inteligente interconecta todas esas infraestructuras creando una macro superficie de ataque. Este nuevo escenario abre la puerta a que los actores maliciosos puedan, por ejemplo, moverse lateralmente a través de la red después de haber comprometido un determinado dispositivo. Consecuencia de todo ello es el incremento constante de ataques que se observa contra los dispositivos OT integrados en las infraestructuras de las ciudades.
Otro de los retos que debe afrontar la ciudad inteligente es definir los procedimientos que permitan establecer la gobernanza necesaria para coordinar el trabajo de los administradores y responsables de seguridad de las diferentes infraestructuras. Por este motivo, se deberán fijar claramente los roles y responsabilidades de los encargados de la gestión de estas infraestructuras críticas.
El desarrollo de las ciudades inteligentes no se concibe sin la participación de proveedores de servicios y tecnología que faciliten la integración del hardware y el software de cada infraestructura, así como su mantenimiento. Estos actores necesarios deberán adoptar estrictos controles de seguridad con el fin de evitar convertirse en una puerta trasera de acceso para los ciberatacantes.
La materialización con éxito de ciberataques contra la tecnología que sustenta la ciudad inteligente puede llegar a generar un gran impacto sobre las infraestructuras, provocando la interrupción de los servicios, pérdidas económicas, desconfianza de los ciudadanos en la prestación de los servicios e, incluso, afecciones a la salud y la seguridad de las personas.
Ciberprotección de las ciudades inteligentes
El desarrollo de las ciudades inteligentes deberá tener en cuenta estos riesgos como uno de los aspectos fundamentales a gestionar. Se deberán contemplar medidas que permitan minimizar o eliminar estos riesgos, para lo cual se podrán tomar como referencia las implementadas en otros ámbitos donde la ciberseguridad tiene una presencia consolidada. Veamos algunas de ellas:
Seguridad desde el diseño:
La incorporación de la ciberseguridad desde fases tempranas de los proyectos se debe considerar como un aspecto estratégico. La integración de la tecnología heredada requerirá de una exhaustiva planificación con el fin de que ésta pueda ser conectada de forma segura.
Control de activos:
El mantenimiento de un inventario actualizado de activos permite identificar manipulaciones, cambios de ubicación físicos y fallos en los activos que forman parte de las infraestructuras.
Principio de mínimo privilegio:
El acceso a la red se deberá regir por este principio. Los administradores deberán evitar las configuraciones predeterminadas y actualizar los permisos según se produzcan cambios en los roles de los usuarios. Se deberá limitar el número de cuentas con privilegio de acceso total a los sistemas. Igualmente, se deberá implementar un modelo de acceso por capas. Estas medidas deberán asociarse a la implementación de una arquitectura Zero Trust.
Autenticación multifactor:
El acceso a los servicios debe realizarse aplicando autenticación multifactor (MFA), tanto desde ubicaciones locales como remotas.
Parcheo de sistemas y aplicaciones:
Se deberán implementar procesos de parcheo y remediación de vulnerabilidades apoyados en herramientas automáticas con capacidad para analizar activos tanto en entornos IT como OT.
Sistemas de respaldo:
Se deberá diseñar un sistema de copias de seguridad que permita restaurar información de los sistemas IT y OT y que esté aislado de tal manera que una potencial amenaza de ransomware no pueda afectarle.
Planes de respuesta ante incidentes:
Éstos incluirán procedimientos que faciliten la intervención de los técnicos responsables de gestionar las operaciones de las infraestructuras para hacer frente a situaciones de contingencia. Los planes de respuesta ante incidentes detallarán las funciones y responsabilidades de todas las partes vinculadas a la implementación de la ciudad inteligente de manera que aseguren la resiliencia operativa.
Evaluación de proveedores:
Las organizaciones deben evaluar los riesgos de cada proveedor y evitar exponerse a la utilización de hardware o software poco confiable que permita la explotación de vulnerabilidades. Así mismo, se deberán establecer requisitos de seguridad detallados para los proveedores de servicios gestionados y de servicios en la nube.
Cumplimiento normativo:
Se deberán evaluar los riesgos legales, especialmente los referidos a la privacidad, y adoptar los marcos de referencia en materia de ciberseguridad que faciliten la auditoría de los controles implementados.
Anticípate a los riesgos de las ciudades inteligentes
Global Technology tiene una dilatada experiencia en el análisis e implementación de soluciones de ciberprotección en multitud de sectores, entre los que se incluyen infraestructuras críticas. El equipo de expertos en ciberprotección de Global Technology le guiará en el proceso de creación de la mejor estrategia de ciberseguridad para implementar la tecnología en el marco de las ciudades inteligentes.
Responsable de SOC en Global Technology