Seguridad móvil e IoT

Los dispositivos móviles y los productos IoT comparten exposición física, comunicaciones inalámbricas y dependencia de servicios externos, pero no son la misma superficie. Un móvil suele tener un sistema operativo general, gestión empresarial y un usuario interactivo. Muchos productos IoT combinan dispositivo, aplicación, backend cloud y soporte del fabricante, con recursos y ciclos de actualización muy distintos.

Ese conjunto importa más que el dispositivo aislado. Un sensor puede proteger bien su firmware y delegar la autenticación en una aplicación móvil vulnerable. Un teléfono administrado puede estar actualizado y filtrar datos a través de una copia personal en cloud. La evaluación debe seguir el dato y la identidad por todos los componentes que participan.

• pérdida, robo, manipulación o acceso físico
• identidades débiles y credenciales predeterminadas
• interfaces locales, inalámbricas o de red innecesarias
• datos sensibles en el dispositivo, en tránsito o en servicios asociados
• software, firmware y componentes sin soporte
• aplicaciones o integraciones con permisos excesivos
• inventario incompleto y baja visibilidad operativa.

La gestión debe cubrir adquisición, configuración, uso y retirada. Los controles habituales incluyen bloqueo robusto, cifrado, actualización, gestión centralizada mediante Mobile Device Management (MDM) o Enterprise Mobility Management (EMM), separación de datos, instalación controlada de aplicaciones, protección de credenciales y borrado remoto.

En un modelo Bring Your Own Device (BYOD), el dispositivo pertenece a la persona que lo utiliza. Esto añade decisiones de privacidad y propiedad, porque la organización no debe asumir el mismo control que tendría sobre un equipo corporativo.

NIST propone un conjunto básico de capacidades (baseline) formado por identificación del dispositivo, configuración autorizada, protección de datos, restricción de interfaces, actualización segura, conocimiento del estado de seguridad y protección del propio dispositivo. Estas capacidades deben acompañarse de soporte del fabricante, documentación, recepción de vulnerabilidades y comunicación de actualizaciones.

La segmentación limita el movimiento desde un dispositivo comprometido, pero no sustituye identidad, actualización ni monitorización. Tampoco corrige un backend o una aplicación móvil inseguros.

Los límites de hardware también condicionan las soluciones. Algunos productos carecen de memoria para mecanismos de actualización complejos o dependen de una raíz de confianza instalada en fábrica. Esa restricción no elimina la necesidad de seguridad. Obliga al fabricante a diseñar desde el principio el ciclo de claves, la recuperación ante una actualización fallida y el final del soporte.

Antes de incorporar un dispositivo conviene comprobar:

• periodo de soporte y mecanismo de actualización
• inventario de componentes y proceso de divulgación de vulnerabilidades
• capacidad de cambiar credenciales y desactivar interfaces
• datos recogidos, destino, retención y eliminación
• dependencia del fabricante o de un servicio cloud
• registros disponibles y procedimiento de retirada segura.

La retirada cierra el mismo ciclo que abrió el alta. Debe revocar identidades, borrar datos, retirar certificados y eliminar el dispositivo de los sistemas de gestión. Un producto que deja de recibir actualizaciones antes de que termine su vida operativa convierte el soporte del fabricante en una dependencia de riesgo.

• ¿Qué diferencia estructural existe entre un móvil y un producto IoT?
• ¿Qué problema no resuelve la segmentación de un dispositivo IoT?
• ¿Qué cambia en seguridad y privacidad cuando el dispositivo es BYOD?

• NIST SP 800-124 Rev. 2: Managing the Security of Mobile Devices
• NIST IR 8259 Rev. 1: Foundational Cybersecurity Activities for IoT Product Manufacturers
• NIST IR 8259A: IoT Device Cybersecurity Capability Core Baseline