Hace apenas quince años, la idea de que una nevera pudiera avisarnos de que faltaba leche, que una cerradura pudiera abrirse desde el móvil o que una fábrica entera pudiera supervisarse a distancia parecía más propia de una película de ciencia ficción que de la vida cotidiana. Hoy, muchas de esas posibilidades forman parte de una realidad que apenas llama la atención. Relojes, cámaras, electrodomésticos, vehículos, sistemas de climatización, sensores industriales o dispositivos médicos pueden conectarse a internet, intercambiar información y ejecutar determinadas acciones sin que tengamos que intervenir constantemente.
El Internet de las Cosas, conocido como IoT por sus siglas en inglés, ha dejado así de ser una tecnología asociada únicamente a dispositivos novedosos. Se ha convertido en una forma de conectar objetos físicos con sistemas digitales para recoger datos, comunicarlos y utilizarlos en distintos procesos. En una vivienda puede servir para controlar la temperatura o la iluminación; en una empresa, para supervisar maquinaria o gestionar instalaciones; y en sectores como la logística, la agricultura o la industria puede utilizarse para conocer en tiempo real el estado de equipos, productos o infraestructuras.
Esta expansión tiene una consecuencia evidente: cada vez hay más objetos capaces de comunicarse entre sí y con servicios conectados a internet. Y cuanto más amplia es esa red, más difícil resulta separar nuestra vida digital de los dispositivos que utilizamos físicamente. Ya no se trata únicamente de proteger ordenadores y teléfonos móviles. Una cámara conectada, un sistema de acceso, un sensor industrial o incluso determinados elementos de una vivienda pueden formar parte de una infraestructura digital que también necesita protección.
Aquí aparece una de las principales cuestiones que plantea el desarrollo del IoT. La posibilidad de conectar prácticamente cualquier objeto no significa necesariamente que todos deban estar conectados. Cada nuevo dispositivo incorpora una función, pero también puede introducir nuevas necesidades de mantenimiento, gestión de datos y seguridad. Además, muchos de estos equipos permanecen instalados durante años y no siempre reciben las mismas actualizaciones o medidas de protección que un ordenador o un teléfono.
La cuestión, por tanto, ya no es únicamente hasta dónde puede llegar la tecnología, sino cómo se va a gestionar una conectividad cada vez más extendida. ¿Qué objetos tiene sentido conectar? ¿Qué información pueden recopilar? ¿Quién puede acceder a ella? ¿Qué ocurre cuando un dispositivo deja de recibir actualizaciones o se convierte en un punto de entrada para un ataque? Son preguntas que afectan tanto a los fabricantes y empresas que desarrollan estas soluciones como a las personas y organizaciones que las utilizan.
El futuro del Internet de las Cosas probablemente no dependa solo de conectar más dispositivos, sino de conseguir que esa conexión sea útil, fiable y segura. A medida que el IoT se integra en hogares, empresas e infraestructuras, entender cómo funciona y cuáles son sus riesgos resulta cada vez más importante. En este artículo repasamos cómo ha evolucionado esta tecnología, qué aplicaciones tiene actualmente, hacia dónde puede avanzar y cuáles son los principales retos de seguridad que plantea un mundo en el que cada vez más objetos están conectados.
De la domótica a la fábrica inteligente: un crecimiento que no para
El IoT ya no se limita a los electrodomésticos inteligentes o a los asistentes de voz presentes en muchos hogares. Su expansión más relevante se está produciendo también en empresas e instalaciones industriales, donde los dispositivos conectados permiten recopilar información y automatizar procesos que antes requerían una intervención constante. Sistemas de climatización, cámaras de videovigilancia, controles de acceso, impresoras, sensores ambientales o maquinaria industrial pueden formar parte de una misma red y transmitir datos en tiempo real.
El fenómeno, además, afecta a sectores muy diferentes. La logística utiliza dispositivos conectados para seguir mercancías y controlar determinadas condiciones durante el transporte; la agricultura puede recurrir a sensores para conocer el estado del suelo o de los cultivos; y en la industria, la monitorización continua de equipos permite disponer de información que facilita el mantenimiento y la toma de decisiones. La cuestión ya no es solo cuántos dispositivos puede conectar una empresa, sino cómo integra toda esa información en sus procesos y, sobre todo, cómo protege una red cada vez más amplia de puntos conectados.
Entonces, ¿hasta dónde puede llegar?
Si algo ha demostrado la evolución del IoT en la última década es que resulta extraordinariamente difícil poner un techo a su expansión. Cada vez que parece que ya se ha conectado «todo lo conectable», aparece una nueva categoría de objetos candidatos: ropa con sensores biométricos integrados, infraestructuras urbanas completas gestionadas mediante redes de sensores (las llamadas smart cities), sistemas agrícolas capaces de decidir de forma autónoma cuándo regar un cultivo según datos de humedad y previsión meteorológica, o dispositivos médicos implantables que transmiten datos vitales en tiempo real a los equipos sanitarios.
La combinación de esta tecnología con la inteligencia artificial añade otra capa de complejidad y de potencial: dispositivos que no solo recogen datos, sino que además los interpretan y actúan de forma autónoma sobre el entorno, sin intervención humana directa. Esta tendencia, que ya se observa en fábricas inteligentes y en algunos sistemas de gestión energética, apunta hacia un futuro en el que la frontera entre «dispositivo conectado» y «sistema con capacidad de decisión propia» será cada vez más difusa.
Visto así, es razonable pensar que el Internet de las Cosas no tiene, en la práctica, un límite tecnológico claro. Cualquier objeto capaz de incorporar un sensor y una conexión a la red es, en potencia, un candidato a integrarse en esta red global de dispositivos interconectados. El verdadero límite, probablemente, no vendrá marcado por la tecnología en sí misma, sino por otros factores: la capacidad real de las organizaciones y las personas para gestionar de forma segura toda esta infraestructura, la aceptación social de ciertos niveles de vigilancia y recopilación de datos, y el marco regulatorio que se vaya construyendo alrededor de todo ello.
El lado menos visible del crecimiento: una superficie de ataque que se expande sin control
Aquí es donde conviene detenerse, porque el entusiasmo por las posibilidades del IoT suele eclipsar un problema que crece exactamente al mismo ritmo que la propia tecnología: cada nuevo dispositivo conectado es, también, una nueva puerta potencial de entrada para un ciberataque.
Como señalan los profesionales de Omega 2001, este crecimiento exponencial de puntos finales conectables expande de forma significativa la superficie de ataque corporativa, convirtiendo a los dispositivos no gestionados en una de las principales vías de entrada para ciberamenazas avanzadas. Y el problema, según explican, tiene una raíz estructural: a diferencia de los servidores, los portátiles o los smartphones corporativos, los dispositivos IoT suelen desplegarse sin una estrategia clara de gobernanza de TI. Al considerarse muchas veces tecnología operativa o dispositivos auxiliares, quedan fuera del alcance de las herramientas de monitorización tradicionales y de la gestión de parches, generando un punto ciego crítico para los departamentos de ciberseguridad, que sencillamente no pueden proteger aquello que ni siquiera saben que existe en su propia red.
Este diagnóstico coincide plenamente con el que viene señalando desde hace años la Agencia de la Unión Europea para la Ciberseguridad (ENISA), que en sus informes de referencia sobre seguridad del IoT advierte de que el panorama de amenazas asociado a estos dispositivos es especialmente complejo, precisamente porque implica a múltiples actores —fabricantes, integradores, usuarios finales— con niveles de madurez en seguridad muy dispares, lo que hace que las vulnerabilidades del eslabón más débil de la cadena puedan tener efectos en cascada sobre el conjunto del sistema.
Los riesgos concretos que trae consigo esta expansión
Más allá del diagnóstico general, conviene entender qué tipo de vulnerabilidades concretas afectan habitualmente a estos dispositivos, porque son bastante distintas de las que suelen preocupar en el resto de la infraestructura tecnológica de una empresa.
Un problema recurrente es el de los sistemas operativos limitados y sin actualizar: muchos fabricantes de hardware priorizan el coste y la rapidez de salida al mercado por encima de la seguridad, lo que da lugar a dispositivos con firmware basado en código obsoleto, con vulnerabilidades ya conocidas que nunca llegan a corregirse mediante actualizaciones. A esto se suma el uso, todavía muy extendido, de credenciales por defecto y mecanismos de autenticación débiles, con contraseñas genéricas de fábrica o accesos incrustados en el propio sistema que facilitan enormemente ataques automatizados de fuerza bruta.
Otro punto débil habitual es la falta de cifrado en las comunicaciones: no es infrecuente que sensores corporativos y otros dispositivos IoT transmitan datos de telemetría o de control sin cifrar, lo que abre la puerta a ataques de interceptación o manipulación de esa información en tránsito. Y quizá el riesgo más insidioso de todos es el uso de estos dispositivos como vector de movimiento lateral dentro de la red: rara vez un atacante busca comprometer una impresora o un termostato por el valor que ese dispositivo tiene en sí mismo, sino que lo utiliza como punto de apoyo para desplazarse por la red corporativa y escalar privilegios hasta alcanzar objetivos mucho más valiosos, como bases de datos, servidores de directorio activo o sistemas de copias de seguridad. Además, los dispositivos IoT comprometidos son también un objetivo habitual para su reclutamiento masivo en redes de bots, utilizadas después para lanzar ataques de denegación de servicio distribuido o para el minado no autorizado de criptomonedas.
El Instituto Nacional de Ciberseguridad (INCIBE) recoge en sus guías dirigidas a empresas recomendaciones muy en línea con estos riesgos, insistiendo en la importancia de asegurar el acceso a los dispositivos IoT, mantener actualizados tanto el software como el firmware exclusivamente desde fuentes oficiales, y contar con dispositivos de seguridad perimetral como cortafuegos, incluso cuando el propio dispositivo IoT carezca de mecanismos de protección propios.
Una reflexión: ¿estamos conectando más rápido de lo que somos capaces de proteger?
Aquí es donde conviene detenerse a pensar más allá de la mera descripción técnica. El ritmo al que se despliegan nuevos dispositivos conectados en el entorno corporativo supera, con frecuencia, la capacidad de las organizaciones para incorporarlos dentro de una estrategia coherente de gobernanza y seguridad de TI. Es un patrón que se ha repetido en varias oleadas tecnológicas anteriores —la llegada masiva de portátiles a las empresas, la explosión del uso de smartphones personales para el trabajo—, pero que en el caso del IoT adquiere una escala mucho mayor, precisamente porque estos dispositivos suelen instalarse de forma descentralizada, por parte de departamentos distintos al de tecnología, y sin que exista siempre conciencia de que se trata de un elemento que también debe protegerse.
Esto plantea una pregunta de fondo que probablemente irá ganando relevancia en los próximos años: ¿tiene sentido seguir conectando cada vez más objetos a la red simplemente porque la tecnología lo permite, o debería empezar a primar un criterio de conectividad selectiva, donde cada nuevo dispositivo conectado se incorpore únicamente si aporta un valor claro y si existe, desde el primer momento, una estrategia real para gestionarlo y protegerlo? La tentación de conectar por el mero hecho de poder hacerlo es real, y probablemente sea uno de los mayores riesgos silenciosos de esta transformación.
Hacia dónde parece dirigirse el futuro del IoT
Todo apunta a que la tendencia de fondo no se va a detener: cada vez habrá más dispositivos conectados, más datos generados en tiempo real y más procesos automatizados a partir de esa información. Es previsible que la seguridad deje de ser un añadido opcional y se convierta, cada vez más, en un requisito de diseño exigido desde el origen del propio dispositivo —lo que en el sector se conoce como «security by design»—, impulsado tanto por la presión regulatoria europea como por la creciente conciencia de las organizaciones sobre el coste real de un incidente de seguridad derivado de un dispositivo IoT mal protegido.
También es previsible una mayor especialización en la gestión de estos entornos: herramientas específicas de visibilidad y monitorización de dispositivos IoT, capaces de detectar automáticamente qué está conectado a una red corporativa y con qué nivel de riesgo, algo que hoy en día muchas organizaciones todavía gestionan de forma manual o, directamente, no gestionan en absoluto.
El límite no está en la tecnología, está en nosotros
Volviendo a la pregunta inicial —¿hasta dónde va a llegar el Internet de las Cosas?—, la respuesta honesta es que, tecnológicamente, prácticamente no hay límite a la vista. Casi cualquier objeto es susceptible de conectarse, de generar datos y de integrarse en esta red global cada vez más densa. El verdadero límite no lo va a marcar la tecnología, sino nuestra capacidad —como empresas, como administraciones y como sociedad— de gestionar de forma responsable, visible y segura todo lo que decidimos conectar.
El Internet de las Cosas ha demostrado ya su enorme capacidad para optimizar procesos, reducir costes y mejorar la eficiencia en prácticamente cualquier sector. Pero cada nuevo dispositivo que se incorpora a esa red es también una nueva pieza que hay que proteger. Y en esa carrera entre la velocidad con la que conectamos el mundo y la velocidad con la que aprendemos a protegerlo, probablemente se decida buena parte de lo que está por venir en los próximos años.
