Abordar las amenazas de ciberseguridad en la medición inteligente con soluciones IoT: Entrevista con el experto de Telit Cinterion, José Sánchez

En un mundo cada vez más conectado, los medidores inteligentes están revolucionando la gestión de la energía, pero también enfrentan crecientes amenazas a la ciberseguridad.

En esta entrevista, José Sánchez, Director Senior de PM, Conectividad y Servicios de IoT en Telit Cinterion, analiza la evolución de los riesgos y cómo la industria se está adaptando con medidas de seguridad avanzadas y soluciones de IoT para proteger las críticas a la infraestructura.

IoT Business News: Como muchos dispositivos conectados en la actualidad, los medidores inteligentes ofrecen una variedad de beneficios pero también plantean graves riesgos de ciberseguridad. ¿Cuáles son algunos de esos riesgos?

José Sánchez (Telit Cinterión): Los medidores inteligentes son esenciales para la red inteligente, ya que permiten a las empresas de servicios públicos y a los administradores de redes inteligentes mejorar el servicio y la eficiencia. Sin embargo, las redes inteligentes (específicamente los medidores inteligentes) son universalmente reconocidas como infraestructura crítica y, por lo tanto, objetivos principales para actores maliciosos. Los ataques cibernéticos, en general, están creciendo en todo el mundo, siendo los ataques contra infraestructuras críticas los que crecen más rápidamente. Desde 2018, la Agencia Internacional de Energía (AIE) ha advertido sobre un rápido crecimiento de los ciberataques en el sector energético, siendo las infraestructuras críticas, incluidas las de gas, agua y especialmente las empresas de agua y energía, los objetivos favoritos de la actividad cibernética maliciosa.

Las fuentes de los ciberataques son diversas y están evolucionando, y el impacto de estos ataques contra infraestructuras críticas puede ser especialmente dañino debido al efecto dominó en la sociedad, que va desde el robo de datos personales del usuario hasta la reducción de los componentes críticos del sistema de distribución. /utilización de los servicios públicos. o incluso causar daños físicos a personas y propiedades. En los últimos años se han hecho públicos varios incidentes cibernéticos, como el ataque al oleoducto Colonial, el ataque al sistema de agua israelí y el ataque del malware Triton, cada uno de los cuales causó daños millonarios. North American Electric Reliability Corporation estima que los «puntos débiles» físicos y virtuales de la red (puntos de software o hardware susceptibles a los ciberdelincuentes) han aumentado de 21.000 a 22.000 en 2022 a 23.000-24.000 en 2024.

Los vectores de ataque a los contadores inteligentes son variados, pero normalmente implican un acceso físico o remoto al dispositivo a través de una interfaz remota o local. Las vulnerabilidades pueden estar presentes en el firmware, las interfaces de red, las interfaces de programación de aplicaciones (API), las aplicaciones de utilidad o la propia arquitectura del hardware. El enlace de comunicación entre el medidor y el sistema de cabecera (HES) es otro posible punto débil. Por ejemplo, un atacante puede utilizar una interfaz de red para acceder de forma remota a los datos de metrología almacenados en el medidor inteligente, modificar los datos de metrología en su camino hacia el HES o incluso controlar el dispositivo final de la red. Estos ataques pueden afectar a funciones relacionadas con los contadores como datos de metrología, gestión de tarifas, habilitación o desactivación remota de suministro y electrodomésticos, etc.

¿Cómo pueden los fabricantes de contadores inteligentes abordar mejor estos riesgos de seguridad?

A medida que los ataques evolucionan y se perfeccionan, todos los actores involucrados en el ecosistema de la red inteligente deben implementar procesos para garantizar el monitoreo continuo de las amenazas a la seguridad de las operaciones de medición inteligente. Una estrategia de seguridad ideal combina tecnología, procesos y personas para minimizar los riesgos de seguridad cambiantes a lo largo de la vida de un producto o servicio. Si bien no existe el 100% de seguridad, seguir los principios de «seguridad por diseño» y el modelo de la CIA (un sistema bien diseñado que protege la confidencialidad y la integridad de los datos y garantiza la disponibilidad del sistema) ayuda a reducir los riesgos de ciberseguridad. .

Los fabricantes de medidores inteligentes son responsables de proteger sus productos y cumplir con las regulaciones en evolución. Realizar una evaluación o auditoría de seguridad suele ser el primer paso hacia el diseño de un sistema de medición seguro de extremo a extremo. Asimismo, los fabricantes de medidores inteligentes deben analizar los procesos de la cadena de suministro para determinar si los dispositivos son seguros y no exponen datos. Los fabricantes también deben identificar quién gestiona la configuración de conectividad, específicamente quién puede activar o desactivar la tarjeta SIM de un dispositivo.

¿Qué papel desempeñan los proveedores de módulos de IoT como Telit Cinterion a la hora de garantizar la seguridad de los contadores inteligentes?

Como socio confiable de muchas organizaciones durante los últimos 23 años, Telit Cinterion continúa haciendo que los medidores inteligentes sean más inteligentes, conectando con éxito millones de medidores en todo el mundo y permitiendo la evolución de la lectura automática de medidores (AMR) a la infraestructura de medición avanzada (AMI). Somos más que un proveedor de módulos de IoT, sino un habilitador de sistemas de IoT de extremo a extremo, que brinda componentes y servicios integrados en sistemas de medidores inteligentes que contribuyen a la seguridad general del sistema y promueven una red inteligente más segura.

Hay cuatro áreas principales en las que Telit Cinterion contribuye a la seguridad de los contadores inteligentes:

• Protección de la comunicación: módulos celulares seguros y probados con lápiz con un amplio conjunto de características de seguridad (arranque seguro, protección de firmware, interfaces seguras/comandos AT, etc.)
• Protección de aplicaciones: protección segura de identidad y datos. Identidades confiables, diversificadas e inmutables que ayudan a asegurar el enlace de comunicación entre el medidor inteligente y los sistemas de gestión de datos del dispositivo/medidor.
• Protección de red: red central celular geográfica global con características de seguridad avanzadas para comunicaciones confiables (VPN, APN, monitoreo y alertas de QoS de red, etc.)
• Protección del ciclo de vida: gestión segura de dispositivos. Los proveedores de medidores pueden usarlo para monitorear la calidad del enlace celular y mantener actualizado el firmware del módem celular con el último parche de seguridad (FOTA). La eSIM o SIM integrada también es fundamental para garantizar la administración del dispositivo, ya que permite el aprovisionamiento remoto de SIM, lo que ayuda a mantener actualizados la seguridad y el firmware del dispositivo.

A medida que las amenazas cibernéticas se vuelven más avanzadas, la industria de medición está trabajando para mantener el ritmo y seguir estableciendo nuevos estándares de seguridad. ¿Cómo pueden los fabricantes y proveedores de IoT asegurarse de mantenerse al día con estas regulaciones en evolución?

Debido a que la medición inteligente pertenece a infraestructuras críticas, los reguladores miran a los fabricantes y vendedores de medidores inteligentes con ojos críticos. Como tal, la industria debe reconocer que la ciberseguridad es una actividad continua que no se detiene después de que se implementa un medidor inteligente. Por el contrario, hay que permanecer alerta e implementar procesos que garanticen que la seguridad de su sistema esté a la altura de la creciente sofisticación de los ciberataques maliciosos. Afortunadamente, el ecosistema, al menos en la UE, está evolucionando hacia un conjunto de estándares armonizados que deberían ayudar a aportar claridad a los diferentes actores involucrados sobre el cumplimiento necesario.

Algunos de los estándares de la industria con los que los proveedores de medidores inteligentes deben estar familiarizados incluyen el estándar ISO15408 Common Criteria adoptado por la UE en el esquema EUCC, así como IEC 62443, que en Europa es esencial para cumplir con la directiva NIS. Aunque son específicos de la UE, estos estándares serán relevantes para los proveedores de medidores inteligentes y las empresas de servicios públicos de todo el mundo. La industria de los contadores inteligentes también debería prepararse para la próxima Ley de Resiliencia Cibernética de la UE, que abordará los dispositivos y sistemas de IoT. De manera similar, ESMIG, la Asociación Europea de Proveedores de Soluciones Energéticas Inteligentes, desempeña un papel clave en la representación de la industria de los medidores, ya que aborda las barreras regulatorias para acelerar la transición a la energía verde de manera práctica y alcanzable.

Navegar por estos diferentes estándares y regulaciones en evolución puede ser un desafío, lo que subraya la necesidad de un socio, como Telit Cinterion, junto con estos cambios y ajustar la política y sus prácticas de seguridad en consecuencia.

De cara al futuro, ¿cómo afectará la IA al IoT y a la seguridad de los dispositivos perimetrales?

Es difícil predecir cómo la IA afectará a la IoT y a la seguridad de los dispositivos perimetrales. Sin embargo, está claro que la IA proporcionará tanto a los actores cibernéticos maliciosos como a los proveedores de medidores/servicios inteligentes una tecnología más poderosa para propósitos buenos o malos. Los ataques se volverán más sofisticados, pero también lo harán las contramedidas y las defensas. Si se hacen correctamente, las tecnologías de inteligencia artificial en el borde y en la nube tienen el potencial de descubrir patrones que pueden indicar violaciones de ciberseguridad de manera más eficiente que nunca.

Dadas las complejidades que rodean las regulaciones de medición y el cambiante panorama de amenazas cibernéticas, ¿cómo pueden los proveedores de medidores inteligentes interactuar con un socio de IoT?

Como se mencionó anteriormente, no tiene sentido comenzar a implementar medidas de seguridad antes de evaluar la situación mediante una auditoría de seguridad. Esta evaluación es un paso obligatorio para cualquier proveedor de medidores inteligentes que se tome en serio la seguridad de los medidores inteligentes. Después de establecer qué problemas están presentes y dónde falta seguridad, los proveedores de medidores inteligentes pueden comunicarse con un socio de IoT para ver qué servicios y productos serían los más adecuados. Idealmente, los proveedores de medidores inteligentes deberían buscar socios confiables, como Telit Cinterion, que diseñan sus módulos celulares y servicios de conectividad para que sean seguros por diseño.

Acerca de: José Sánchez es Director Senior de Gestión de Productos para Conectividad y Servicios de IoT en Telit Cinterion, donde lidera iniciativas globales en conectividad, seguridad y gestión de dispositivos de IoT. Con más de diez años de experiencia en Thales en IoT y seguridad, también cofundó una startup tecnológica y tiene una maestría en ingeniería de telecomunicaciones, además de haber completado un programa ejecutivo en ESMT Berlín.