Las etiquetas de ciberseguridad pueden transmitir el estado de ciberseguridad de un producto de software o un dispositivo conectado. Pero, ¿serían útiles estas etiquetas y, de todos modos, qué es un producto de software en automóviles conectados y electrodomésticos de consumo?
La idea de las etiquetas de ciberseguridad para Internet de las cosas (IoT) y el software de consumo se ha estado dando vueltas durante años, y recientemente se ha analizado con más seriedad en la UE, Australia, el Reino Unido y otros lugares. En octubre, Singapur y Finlandia acordaron reconocer las etiquetas de ciberseguridad de cada uno para los dispositivos IoT.
Pero se requería que las etiquetas se consideraran seriamente en los EE. UU. como parte de la Orden Ejecutiva 14028 de seguridad cibernética del presidente Biden de mayo de 2021, «Mejora de la seguridad cibernética de la nación». Biden firmó la EO poco después del ataque masivo a la cadena de suministro de software de SolarWinds y una serie de ataques de ransomware en infraestructura crítica.
VER: Ciberseguridad: pongámonos tácticos (Informe especial de MarketingyPublicidad.es)
Parte de la orden requería que el Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) considerara el etiquetado de productos para dispositivos IoT y prácticas de desarrollo de software para software de consumo, a fin de impulsar la educación en ciberseguridad.
NIST solo establece pautas para un esquema de etiquetado de seguridad cibernética de EE. UU., que probablemente sería aplicado por la Comisión Federal de Comercio (FTC), dada su supervisión existente de las leyes de protección al consumidor y privacidad de datos.
El NIST publicó sus directrices para dichas etiquetas el 4 de febrero y ahora sus dos líderes en software de consumo e IoT han compartido sus puntos de vista sobre las ventajas y desventajas de las etiquetas de ciberseguridad.
Como señalan, hay ejemplos prácticos de etiquetas para la seguridad alimentaria, el rendimiento de los dispositivos y la seguridad eléctrica de los electrodomésticos. Estos ayudan a los consumidores a tomar decisiones informadas y brindan incentivos para mejorar la seguridad y la calidad del producto. Pero el software es diferente.
Michael Ogata, científico informático del NIST, dice que desarrollar los criterios recomendados para el etiquetado de software de consumo fue una «experiencia angustiosa», en parte debido a las dificultades para definir dónde comienza y termina el software en la actualidad.
«¿Qué es el software de consumo? ¿El firmware de su automóvil software de consumo? ¿Qué pasa con un servicio en línea como una suite ofimática o un cliente de correo electrónico? Ciertamente, un videojuego cuenta como software de consumo, pero ¿se mide de la misma manera un juego móvil, un juego de consola y un juego de PC?», escribe.
Finalmente, surgió una definición de software de consumo como: «software normalmente utilizado para fines personales, familiares o domésticos».
Una de las recomendaciones clave del NIST para las etiquetas, cualquiera que sea el esquema que lo ejecute, es que son «binarias», en el sentido de que el producto 1) cumple con los criterios en un momento dado o 2) no los cumple. Además, no deberían «atascar» a los consumidores no técnicos con jerga.
Otra complicación en el software de etiquetado se puede ver en las latas de refresco que enumeran la cantidad de calorías por porción. ¿Es precisa la herramienta utilizada para medir las calorías? Entonces, se hace un reclamo explícito e implícito sobre las latas de refresco. Las etiquetas de software recomendadas por NIST deben cubrir tanto las afirmaciones explícitas como las implícitas.
Estos incluyen reclamos descriptivos y reclamos de desarrollo de software de seguridad. Las afirmaciones descriptivas cubren si el software etiquetado aún recibe parches de seguridad y cómo se entregan a los consumidores. Además, qué organismo está detrás de los reclamos y cuándo se realizó el reclamo.
En el lado del desarrollo seguro, NIST se apoyó en su propio marco de desarrollo de software seguro (SSDF) de NIST como base para las mejores prácticas de la industria. Es un documento no prescriptivo, pero «identifica prácticas comunes que están representadas y asignadas a la guía formalizada existente de la industria».
«Nuestras recomendaciones alientan a los propietarios de esquemas a expresar los requisitos de desarrollo a través del SSDF y, al mismo tiempo, identifican elementos específicos que indican que se han empleado las mejores prácticas de la industria», explica Ogata.
Katerina Megas, gerente del programa Cybersecurity for IoT del NIST, ofrece una instantánea de lo complicado que sería crear etiquetas de ciberseguridad para dispositivos IoT. Después de estudiar otros esquemas de etiquetado en todo el mundo, Megan dice que su equipo se aseguró de que parecía haber un «consenso general» en desarrollo de que los productos de IoT incluyen no solo el dispositivo, sino también su software de soporte, como una aplicación de teléfono inteligente o hardware como un dispositivo controlador.
Megas dice que el grupo adoptó una visión basada en el riesgo de la cuestión de la seguridad de referencia con «el riesgo siendo tanto contextual (basado en el uso específico) como en la naturaleza única de los productos de IoT que son capaces de interactuar con el mundo físico mediante la recopilación de datos o efectuar cambios sin intervención humana».
Las pautas del NIST también reconocieron que «no hay una talla única para todos cuando se trata de IoT». NIST parece preferir los líderes del mercado en la creación de una línea de base en lugar de tener reglas estrictas que se transmitan a los fabricantes.
«Permitir que evolucione un mercado de estándares, programas y esquemas permitiría que el mercado impulse la mejor manera de lograr los resultados deseados y ofrezca la flexibilidad para adaptarse a una variedad de necesidades de las partes interesadas. Hacerlo también acomodaría, y no obstaculizaría, un panorama tecnológico en rápida evolución», escribe Megas.
