Ciberseguridad IoT y su aplicación en Ciudades Inteligentes

Ciberseguridad IoT y su aplicación en Ciudades Inteligentes

Enrique Villa Crespo

Ismael Morales Alonso

Ciberseguridad IoT y su aplicación en Ciudades Inteligentes

Materia: UTN Seguridad de redes

© Enrique Villa Crespo, Ismael Morales Alonso

© De la edición: Ra-Ma 2023

MARCAS COMERCIALES. Las designaciones utilizadas por las empresas para distinguir sus productos (hardware, software, sistemas operativos, etc.) suelen ser marcas registradas. RA-MA ha intentado a lo largo de este libro distinguir las marcas comerciales de los términos descriptivos, siguiendo el estilo que utiliza el fabricante, sin intención de infringir la marca y solo en beneficio del propietario de la misma. Los datos de los ejemplos y pantallas son ficticios a no ser que se especifique lo contrario.

RA-MA es marca comercial registrada.

Se ha puesto el máximo empeño en ofrecer al lector una información completa y precisa. Sin embargo, RA-MA Editorial no asume ninguna responsabilidad derivada de su uso ni tampoco de cualquier violación de patentes ni otros derechos de terceras partes que pudieran ocurrir. Esta publicación tiene por objeto proporcionar unos conocimientos precisos y acreditados sobre el tema tratado. Su venta no supone para el editor ninguna forma de asistencia legal, administrativa o de ningún otro tipo. En caso de precisarse asesoría legal u otra forma de ayuda experta, deben buscarse los servicios de un profesional competente.

Reservados todos los derechos de publicación en cualquier idioma.

Según lo dispuesto en el Código Penal vigente, ninguna parte de este libro puede ser reproducida, grabada en sistema de almacenamiento o transmitida en forma alguna ni por cualquier procedimiento, ya sea electrónico, mecánico, reprográfico, magnético o cualquier otro sin autorización previa y por escrito de RA-MA; su contenido está protegido por la ley vigente, que establece penas de prisión y/o multas a quienes, intencionadamente, reprodujeren o plagiaren, en todo o en parte, una obra literaria, artística o científica.

Editado por:

RA-MA Editorial

Calle Jarama, 3A, Polígono Industrial Igarsa

28860 PARACUELLOS DE JARAMA, Madrid

Teléfono: 91 658 42 80

Fax: 91 662 81 39

Correo electrónico: [email protected]

Internet: www.ra-ma.es y www.ra-ma.com

ISBN impreso: 978-84-19444-73-8

ISBN ePub: 978-84-19444-74-5

Depósito legal: M-5103-2023

Maquetación: Antonio García Tomé

Diseño de portada: Antonio García Tomé

Filmación e impresión: Safekat

Impreso en España en marzo de 2023

A mi familia:

mi mujer y mis hijas por las fuerzas

y la alegría que me dan,

y a mis padres y mi hermano

por su apoyo constante

Enrique Villa Crespo

A mis niñas

Ismael Morales Alonso

AUTORES

ENRIQUE VILLA CRESPO

Ingeniero de Telecomunicaciones por la Universidad de Sevilla. Profesor del Máster de Ciberseguridad de la Universidad de Sevilla. SCCISP por IoTSI Institute y Cisco CCNP/CCDP. CEO de IRIS Sentinel y CTO de Wellness Techgroup. Ha trabajado en el ciclo de vida completo del negocio de desarrollo e implantación de productos de IoT para Smart Cities, y en proyectos de Ciberseguridad IT/OT/IoT nacionales e internacionales en el sector público y privado.

ISMAEL MORALES ALONSO

Ingeniero Técnico en Informática de Sistemas, Ingeniero en Informática y Máster de Investigación en Ingeniería de Sistemas y de la Computación por la Universidad de Cádiz. Auditor Jefe y Especialista Implantador de ISO 27001 por AENOR, CISSP por ISC², CSX por ISACA y SCCISP por IoTSI Institute. CTO de IRIS Sentinel y Cybersecurity Manager de Wellness TechGroup. Ha trabajado para numerosos proyectos de ciberseguridad para el sector público y privado, centrándose en los últimos años a la ciberseguridad en el entorno de las Smart Cities.

PRÓLOGO

"En el mundo de la inmediatez, un profuso libro sobre tecnología podría sonar a contradicción. Sin embargo, es más necesario que nunca. Detenerse a estructurar las ideas, desarrollarlas, organizarlas e intentar explicarlas es un ejercicio tan necesario como escaso en la actualidad, donde se ha convenido que la atención fragmentada y superficial es más rentable que la reflexión profunda. ¿Pero rentable para quién? ¿Para los que monetizan y distribuyen esas distracciones o para sus consumidores? Un libro debe apostar por la concentración frente a la cultura de la distracción. Y como ejercicio de reflexión profundo, a largo plazo, es una inversión y un ahorro de tiempo para el lector, que podrá localizar en un solo punto toda la información condensada relativa a una disciplina y, además, disponer de esos datos en futuras consultas. Y por eso debemos celebrar estas obras que, tras un enorme esfuerzo por parte de los autores, nos ofrecen visiones desarrolladas y esquemáticas sobre una tecnología tan relevante (más de lo que pensamos) como el IoT en ciudades inteligentes.

Ciberseguridad IoT y su aplicación en Ciudades Inteligentes ofrece una visión global de un mundo tan heterogéneo como interesante. Ordena y estructura las ideas de forma que no solo podrá leerse en orden sino consultado en el futuro como una valiosa referencia. Desde la base de las tecnologías IoT, hasta su aplicación en Smart Cities siempre con la ciberseguridad como vertebrador del discurso. El estado del arte de las amenazas, descripción de los protocolos, incidentes más destacados… Una lectura que aglutina y a su vez establece un punto de partida para ahondar en otros muchos aspectos gracias a sus profusas referencias a investigaciones recientes y clásicas. Se convierte este libro así en un trabajo tanto de síntesis de conocimiento como, además, de proyección perfectamente documentado para quien quiera ir más allá.

Por si fuera poco, el libro realiza una propuesta de framework de ciberseguridad para Ciudades Inteligentes que esperamos se estandarice y ponga orden para facilitar su implantación en un sistema tan heterogéneo. Y esto me parece especialmente importante porque considero que la implementación de ciudades inteligentes será uno de los elementos imprescindibles para la adaptación de los seres humanos al inminente escenario de superpoblación (como se indica en la obra, en 2030 habrá 43 megaciudades frente a las 31 actuales). O abrazamos nuevos modelos o resultará muy difícil una habitabilidad de las ciudades compatible con la sostenibilidad del planeta. Y para ello, el uso inteligente de la tecnología me parece la herramienta clave. Porque si el IoT en Smart Cities tiene sentido y resulta relevante, es para mejorar nuestros desplazamientos, consumo, actividades urbanas y calidad de vida. Al fin y al cabo, creo que lo práctico es recopilar y usar los datos necesarios que nos permitan convivir de forma óptima. Esto es, ser eficientes en todos los aspectos: social, turístico, económico, transporte, ecológico, turístico, etc. que se entrelazan en una ciudad. Como en toda tecnología, hay que aplicar transversalmente la ciberseguridad, por supuesto.

Agradezco a Enrique e Ismael la oportunidad de escribir este prólogo y les deseo la mejor de las suertes con el proyecto. También les agradezco apostar, en un mundo donde la suma de distracciones no equivale a la concentración, por la recopilación de información sobre una disciplina que requiere una reflexión profunda. Estas apuestas por allanar el camino del conocimiento de estas tecnologías son importantes para alcanzar un mundo inteligente de verdad y, en consecuencia, sostenible para todos.

Sergio de los Santos

Enero 2023

PREFACIO

Hoy en día, nos encontramos con infraestructuras y servicios cada vez más conectados, a través de los denominados Servicios Inteligentes o Smart. Estos servicios, se ofrecen a través de Territorios Inteligentes o Smart Territories, como pueden ser las Ciudades Inteligentes o Smart Cities) o Puertos Inteligentes o Smart Ports. Estos Territorios Inteligentes, de la mano del Internet de las cosas o IoT (Internet of Things), permiten la consecución y la evolución de las estrategias de digitalización, pero, también, los transforman en escenarios con objetivos de ataque altamente vulnerables, con exposición a nuevas ciberamenazas. Todo ello, unido a la necesidad de preservar la privacidad de los datos de los usuarios y ciudadanos, crean un ecosistema que necesita protegerse a través de una estrategia/marco de ciberseguridad específica Smart.

En el caso de las Smart Cities, nos encontramos con una evolución en las infraestructuras y digitalización de las ciudades, con todos los beneficios que esta evolución aporta, pasando por la digitalización de la administración electrónica hasta las infraestructuras y servicios Smart. Esta evolución, además de ofrecer beneficios a los ciudadanos, también presenta mayores riesgos cibernéticos que impactan directamente en el mundo físico.

La implementación actual de las iniciativas Smart se suele vertebrar a través de plataformas horizontales multipropósito, que generalmente carecen de un enfoque holístico de ciberseguridad. Existe, por tanto, una fuerte necesidad de contar con soluciones capaces de monitorizar toda la información, encontrar anomalías de ciberseguridad y ofrecer planes de acción y soluciones a corto, medio y largo plazo en los proyectos Smart.

Además de la monitorización, no existe actualmente un marco de buenas prácticas o framework de ciberseguridad estándar que cubra las áreas técnicas, social y de cumplimiento. La existencia de un framework con tales características permitiría que los Servicios Smart disminuyeran su superficie de exposición, contaran con menor riesgo de materialización de las ciberamenazas y no quedaran riesgos latentes sin identificar.

De esta manera, las personas, instalaciones, sistemas, comunicaciones y tecnologías de la información que dan soporte a los servicios de los Territorios Inteligentes serían administrados y operados con las medidas adecuadas para proteger a las personas y a los sistemas de información. Esta protección, se realizaría frente a daños accidentales o amenazas deliberadas de rápida evolución con potencial para incidir en la confidencialidad, integridad y disponibilidad de la información tratada y de los servicios prestados.

Por todo lo anterior, el presente libro ofrece una visión de las tecnologías IoT y su aplicación en las Smart Cities, su evolución en lo que respecta a la digitalización junto a los servicios ofrecidos y su relación dentro de lo que conocemos como modelo IoT. También se ahonda en la ciberseguridad de los entornos Smart, indicando el estado del arte en lo que respecta a las amenazas y la fragmentación actual con respecto a las normativas y buenas prácticas existentes. Por último, en el libro se realiza una propuesta de framework de ciberseguridad adaptado para Smart Cities para terminar con un apartado de evolución futura y conclusiones.

Se persiguen los siguientes objetivos en este libro:

Aunar todo el conocimiento de ciberseguridad en IoT y su aplicabilidad en las Smart Cities para que sea fácilmente consultable en caso de necesitarse por parte de todos los interesados.

Conseguir Smart Cities seguras, que detecten y den respuesta las ciberamenazas a las que están expuestas, aumentando su nivel de ciberseguridad.

Creación de un marco de buenas prácticas en ciberseguridad en Smart Cities.

Mejorar la confianza en las Smart Cities por parte de la ciudadanía y los turistas.

Contenido

La obra consta de 5 capítulos. En el Capítulo 1 introducimos el concepto de las tecnologías IoT, empezando por un repaso de su historia y continuando con las aplicaciones de estas tecnologías en distintos sectores o ámbitos. Posteriormente, presentamos la evolución de las ciudades o municipios en relación con su digitalización. Por último, aterrizamos en los servicios IoT que se ofrecen en las Smart Cities y sobre el concepto de Smart City como Infraestructura Crítica.

En el Capítulo 2 describimos el modelo IoT, profundizando en los componentes principales: dispositivos, comunicaciones y plataformas software, terminando el capítulo describiendo la convergencia de los entornos IoT con los entornos IT o Tecnologías de la Información y OT o Tecnologías de la Operación.

El Capítulo 3 está orientado a describir la ciberseguridad en los entornos Smart. Para ello, introducimos el capítulo describiendo las distintas amenazas que encontramos en estos entornos, describiendo previamente las amenazas presentes en los entornos IT u OT. Luego, presentamos una taxonomía de amenazas propuesta para estos entornos. Finalmente, detallamos la normativa y buenas prácticas existente en los entornos IoT y Smart Cities, haciendo un repaso de la fragmentación tan extensa que existe actualmente, pero enfocándonos a las prácticas de seguridad aplicables, concretamente, a los entornos IoT y Smart Cities.

En el Capítulo 4 proponemos un framework de ciberseguridad para Smart Cities, aplicable internacionalmente. Como hemos comentado anteriormente, no existe un consenso de cómo abordar la ciberseguridad en las Smart Cities concretamente, más allá de normativa o guías aplicables de manera parcial. Por ello, con toda la información especificada en los anteriores capítulos, proponemos el framework detallando la elección del mismo, la personalización en el ámbito de las Smart Cities, y una guía de implementación para cada uno de los controles propuestos.

En el Capítulo 5 y último aportamos las conclusiones y reflexionamos sobre dónde pensamos que evolucionarán las Smart Cities y, con ello, la ciberseguridad.

Orientación a los lectores

Hasta hace pocos años, los proyectos de las Smart Cities no pasaban de algunos demostradores de servicios con proyección a futuro. Esto quiere decir que la ciberseguridad prácticamente no se ha tenido en cuenta, ya que el impacto que podría haber causado en servicios de unos dispositivos que no son críticos eran mínimos, además de la dificultad de aplicar medidas de ciberseguridad en estos entornos, que no está estandarizada, entre otros motivos.

Hoy en día, se realizan proyectos que involucran miles de dispositivos, grandes exigencias en las comunicaciones en áreas de difícil cobertura y plataformas software que necesitan ingestar, procesar y analizar miles de eventos en cortos periodos de tiempo. Estos proyectos sí que tratan activos críticos y el impacto de un ciberataque puede llegar a causar daños físicos.

Encontrándonos en este punto, y por nuestra experiencia y conocimiento en el sector, el principal propósito de elaborar este libro ha sido la realización de un compendio de la ciberseguridad para las Smart Cities y facilitar a todas las personas involucradas en estos proyectos que la ciberseguridad sea tenida en cuenta cumpliendo unos mínimos para que la madurez en ciberseguridad aumente, y que esto ocurra en el máximo de ciudades posibles.

Agradecimientos

En primer lugar, queremos dar las gracias a Sergio de los Santos, por haber aceptado escribir el prólogo del libro.

Queremos también agradecer a Juan Boubeta-Puig, Javier Tallón Guerri y David Romero Santos por haber revisado y poder aportar su experiencia en algunos capítulos del libro.

También agradecer al equipo de IRIS Sentinel por haber ayudado a hacer realidad la ciberseguridad en los entornos Smart y al equipo de Wellness TechGroup por su apoyo y soporte.

Por último, agradecer también a la editorial Ra-Ma, especialmente a Julio Santoro por su apuesta en la temática propuesta y por la facilidad en la comunicación durante el desarrollo del libro.

Enrique Villa Crespo

Ismael Morales Alonso

Sevilla, Enero 2023.

1

INTRODUCCIÓN A LAS TECNOLOGÍAS IoT

En la actualidad vivimos una etapa de progreso tecnológico sin parangón en la historia de la humanidad. Los grandes avances en los campos de la electrónica y las comunicaciones de las últimas décadas, con el desarrollo de Internet a la cabeza y seguido por las mejoras en tecnologías de sensores y sistemas energéticos, la creación de nuevos protocolos de comunicación y algoritmos de análisis de datos, y los aumentos de capacidades de procesamiento, almacenamiento y anchos de banda disponibles, entre otros, han permitido que una gran variedad de escenarios hayan sido digitalizados, automatizados e interconectados mediante Internet.

De esta forma, Internet se ha convertido en un medio no solo para la comunicación entre personas, si no entre dispositivos, permitiendo su acceso y control remoto. Estos dispositivos han pasado de ser únicamente ordenadores y sistemas de servidores en CPDs (Centros de Procesamiento de Datos) a teléfonos móviles, contadores de energía, pulseras que miden las constantes vitales o dispositivos industriales con sensores embebidos en cadenas de fabricación.

En 2022 se calcula que hay más de 14.000 millones de dispositivos conectados¹ y se prevé una evolución hasta los casi 30.000 millones para 2030². En la Figura 1 puede observarse esta proyección.

Figura 1: Proyección de dispositivos conectados

En términos económicos, algunos estudios³ prevén un impacto de entre 3.9 a 11 billones de dólares al año a partir de 2025, entre un 5% y un 10% de la economía mundial global⁴.

Todo esto ha significado que, a día de hoy, el concepto de Internet de las Cosas o IoT (Internet of Things) se haya convertido en una de las principales tendencias tecnológicas, propiciando el desarrollo dentro del sector de las TIC (Tecnologías de Información y Comunicación) o IT (Information Technology), así como de otros campos que han encontrado en las tecnologías IoT un escenario con muchas posibilidades como fuente de innovación y generación de nuevos modelos de negocio.

¿Pero cuál es la definición del concepto de IoT? La realidad es que nos encontramos con que el IoT es un paradigma con varias visiones diferentes, y sus correspondientes definiciones.

Las dos visiones primarias vienen directamente del término IoT. Una visión desde las "Things o Cosas, que está centrada en los dispositivos y objetos y sus capacidades integradas en un marco de trabajo común, y la otra basada en Internet", con un planteamiento más orientado a un concepto de IoT orientado a las redes de comunicación más importantes.

Una definición directa de estas dos visiones combinadas del término IoT sería una red mundial de objetos interconectados con direcciones únicas, basada en protocolos de comunicación estándar⁵. Pero las direcciones únicas y el contexto, la coherencia, la representación y almacenamiento de los datos intercambiados presentan un desafío que nos lleva a la tercera visión: una perspectiva del IoT desde el punto de vista semántico. Las tecnologías semánticas (utilizadas para conectar datos, darles significado y crear un contexto) juegan un papel clave en la explotación de la información que nos proporcionan los dispositivos, y en la escalabilidad de las soluciones, uno de los puntos disruptivos que nos promete el IoT.

Por tanto, teniendo en cuenta estas 3 visiones vamos a definir el IoT como "Una red abierta y completa de objetos inteligentes que tienen la capacidad de auto-organizarse, compartir información, datos y recursos, reaccionar y actuar ante situaciones y cambios en el entorno"⁶.

La implementación a gran escala de la tecnología IoT promete transformar muchos aspectos del modo en que vivimos. Para los consumidores finales, productos como electrodomésticos inteligentes o aplicaciones de control de la energía doméstica, o que permiten la automatización los lugares de residencia, nos llevan a la realización de las casas inteligentes (Smart Homes), enfocadas a la sostenibilidad energética y medioambiental, así como a mejorar la calidad de vida de sus ocupantes. Otros productos que utilizan la tecnología IoT que se han integrado en el día a día de las personas, como los wearables orientados a la salud, los dispositivos de monitorización de constantes vitales remotos, o los dispositivos médicos conectados en tiempo real, están evolucionando el panorama de los servicios de salud.

Otros sistemas IoT como los vehículos conectados, los sistemas de optimización energética para edificios o alumbrado público, los sistemas de transporte inteligente y los sensores embebidos en infraestructuras como carreteras y puentes nos han llevado al concepto de Ciudades Inteligentes o Smart Cities con el objetivo de mejorar la calidad de vida de los residentes y optimizar los costes energéticos y de mantenimiento.

También, la aplicación de tecnologías IoT está transformando los sectores agrícolas, industriales y de generación y distribución de energía (agua, gas, electricidad, renovables, nucleares), usando sensores conectados que aumentan la visibilidad y la eficiencia en los procesos a lo largo toda la cadena de valor de la producción.

No obstante, hay que tener en cuenta que las tecnologías IoT aún se están consolidando en el mercado, y que las siglas IoT son un paraguas para multitud de tecnologías e interrelación entre las mismas. Este campo tecnológico se mueve muy deprisa, y a día de hoy presenta una serie de desafíos que aún no están resueltos. Los más importantes a nuestro juicio están relacionados con los siguientes.

La Energía y su gestión, ya que los dispositivos y aplicaciones IoT consumen energía de la red eléctrica o mediante baterías, y con la explosión de despliegue de dispositivos que se prevé para los próximos años, es necesario que se desarrollen sistemas de almacenamiento de mayor confiabilidad, que sean sostenibles y que permitan aumentar la autonomía de operación de los dispositivos actuales, así como sistemas hardware y protocolos de comunicación que tengan menores demandas energéticas.

La Estandarización, que aún está dando sus primeros pasos, con avances desiguales dependiendo del sector de aplicación. Para que la visión del IoT como tecnología de futuro presente en todos los lugares donde se necesita sea viable y verdaderamente interoperable es esencial una estandarización a diferentes niveles (técnico, normativo, alcance geográfico…), para que la industria y el mercado puedan producir soluciones que aseguren el funcionamiento de ecosistemas IoT heterogéneos.

La Ciberseguridad, en todos sus ámbitos (personas, procesos y tecnología) y a través de toda la cadena de valor que compone el IoT (software, hardware, protocolos de comunicaciones, seguridad física…), es una asignatura pendiente de la tecnología IoT. El carácter transversal del IoT y la novedad de sus aplicaciones ha influido en que no exista aún una visión homogénea de los mecanismos de seguridad y marcos de trabajo que, si están presentes en la TIC como conjunto, ya que son tecnologías con mayor recorrido en el tiempo. A nuestro modo de ver, urge que haya un modelo de ciberseguridad para IoT regulado, con participación de los principales actores (gobiernos, fabricantes, entidades certificadoras, consumidores) que forman el mercado.

1.1 Breve historia del IoT

Como toda tecnología o grupo de tecnologías, el IoT tiene su propia historia que cuenta como hemos llegado a las capacidades de hoy en día. Vamos a aprovechar para repasar los hitos más importantes y/o curiosos que forman parte de la historia del desarrollo del IoT.

Cuando hablamos del Internet de las Cosas estamos refiriendo de una forma u otra a la generación y envío de información entre máquinas a través de un medio de comunicación masivo, Internet.

Las máquinas o dispositivos empezaron a soportar las comunicaciones de datos directas desde que el telégrafo (la primera línea de comunicación por cable) se desarrolló entre 1830 y 1850. Las primeras transmisiones de radio, descritas como telegrafía sin hilos, ocurrieron en las décadas de 1880-1890. No fue hasta 1900 cuando se transmitió voz humana por primera vez.

Unas décadas más tarde, en pleno siglo XX, en la década de 1950, comenzó el desarrollo en masa de ordenadores. La propia Internet, otro de los componentes más significativos del concepto IoT, comenzó como un proyecto de la Agencia del Departamento de Defensa estadounidense DARPA (Defense Advanced Research Projects Agency) en 1962, y evolucionó hacia ARPANET (Advanced Research Projects Agency Network) en 1969.

En la década de 1980, los proveedores de servicios comerciales comenzaron a proporcionar acceso público a ARPANET, evolucionando así hasta nuestra Internet moderna.

Los satélites de posicionamiento global o GPS (Global Positioning System) se convirtieron en una realidad en 1993, cuando de nuevo el Departamento de Defensa estadounidense lanzó la primera red de 24 satélites estables, a los que se sumaron satélites privados comerciales con el paso de los años.

En esta