Comprendiendo la seguridad del IoT celular: Parte 1

Parte 1: Los Criterios de Servicios de Confianza

La seguridad es una palabra que puede significar diferentes cosas para diferentes personas y casos de uso. Lo creas o no, la seguridad (en sí misma) no es el objetivo final. Más bien, los objetivos son controlar el riesgo y habilitar la confianza. Es por eso que es importante considerar la seguridad junto con los demás componentes necesarios para alcanzar estos objetivos.

Al comenzar esta serie de blog de 3 partes sobre la comprensión de la seguridad celular, me gustaría empezar enmarcando la conversación en torno a un conjunto de criterios aceptados por la industria para calificar los controles de una organización llamado los Criterios de Servicio de Confianza. He encontrado que es tanto útil como de suficiente alcance para abordar lo que es necesario para la gestión de riesgos y la confianza.

Los cinco Criterios de Servicios de Confianza son:

1. Seguridad: Controles que protegen los datos de accesos no autorizados
2. Disponibilidad: Controles que aseguran que los datos estén accesibles cuando se necesiten
3. Procesamiento de integridad: Controles que aseguran que los datos se procesen de manera precisa y confiable
4. Confidencialidad: Controles que restringen el acceso no autorizado a sistemas y datos
5. Privacidad: Controles que protegen los derechos de los consumidores y sus datos

Un buen programa de “seguridad” realmente debería ampliarse para incluir las cinco áreas de Criterios de Servicios de Confianza, ya que estas son realmente inseparables para alcanzar los objetivos de riesgo y confianza de una organización. Echemos un vistazo a cada uno y veamos cómo se aplica al IoT celular.

Comencemos observando cómo los Criterios de Servicios de Confianza son útiles, cómo se aplican al IoT celular y cómo Hologram puede ayudarte a alcanzar tus objetivos de gestión de riesgos y confianza.

Seguridad

Uno de los objetivos principales de un buen programa de seguridad es reducir la superficie de ataque y eliminar los vectores de ataque. Estos vectores de ataque son los pasos que un usuario/sistema no autorizado tomaría para ingresar a un dispositivo.

Aquí hay un ejemplo con el que estoy seguro de que ninguno de nosotros tiene experiencia real - pero que todos podemos entender viendo películas. Finjamos que ibas a robar un banco. Primero escogerías la cerradura de la puerta principal y luego normalmente una segunda puerta. Si lograbas pasar esas hasta el banco, una puerta de rejas bloquea el acceso a la bóveda. Y si lograbas atravesar esa, están las puertas de la bóveda fuertemente reforzadas. En cada puerta, hay un sistema de seguridad que detecta la intrusión.

En el mundo del IoT celular, estas puertas son “vectores de ataque”. Para reducir la superficie de ataque, los cortafuegos ayudan a aislar los dispositivos entre sí. Agregar múltiples cortafuegos entre los dispositivos e Internet reduce aún más la superficie de ataque y minimiza los vectores de ataque.

El holograma proporciona niveles adicionales de seguridad de manera predeterminada.

• La Red Definida por Software (SDN) de Hologram ofrece seguridad avanzada lista para usar hoy y puede adaptarse para satisfacer las necesidades únicas de su organización y crecer con usted mañana.
• Utilizamos una combinación de segmentación de red y múltiples capas de cortafuegos para proteger sistemas y dispositivos del tráfico no autorizado.
• Todo el tráfico está autenticado y controlado: solo los dispositivos celulares autorizados pueden conectarse a la red de Hologram. Se aplican controles como límites de datos para cada línea de servicio. Todas las conexiones entrantes a los dispositivos también están autenticadas.

Disponibilidad

Asegurar que los sistemas estén disponibles para su uso dentro de los plazos especificados y los acuerdos de nivel de servicio (SLAs) es esencial en el Modelo de Servicios de Confianza. Además de minimizar el tiempo de inactividad y las interrupciones en las operaciones normales, los sistemas deben ser resilientes en caso de fallo, con medidas efectivas implementadas para recuperarse de desastres o cualquier incidente que pueda interrumpir la disponibilidad de los servicios. La disponibilidad también implica asegurar que los sistemas tengan la capacidad necesaria para manejar las cargas anticipadas. Esto es especialmente importante para evitar interrupciones del servicio durante períodos de alta demanda.

Como la columna vertebral de conectividad para los servicios de nuestros clientes, el papel de Hologram es garantizar que nuestros sistemas estén disponibles para que sus sistemas y servicios estén operativos.

• Hologram es el único proveedor de IoT celular que ofrece un tiempo de actividad garantizado contractualmente del 99.95%.
• La Protección contra Interrupciones de Hologram ofrece múltiples núcleos móviles para cada SIM y recurre a un núcleo de respaldo si la red del núcleo principal sufre una falla.
• El holograma utiliza redundancia y balanceo de carga donde sea práctico para ayudar a mantener la disponibilidad y el rendimiento del sistema.

Integridad de procesamiento

La integridad del procesamiento también es crítica de acuerdo con los Criterios de Servicios de Confianza. Asegurar la precisión de los datos y la fiabilidad del sistema es crucial para mantener la confianza del cliente en el producto IoT, especialmente al tratar con datos sensibles. Implementar procesos controlados para la actualización de software y configuraciones en dispositivos IoT y sistemas de backend minimiza las interrupciones y posibles inconsistencias de datos. Restringir el acceso a sistemas críticos de procesamiento de datos solo al personal autorizado y únicamente a través de estos procesos controlados ayuda a prevenir modificaciones no autorizadas que podrían comprometer la integridad.

Los sistemas y la red de Hologram están diseñados con control de calidad e integridad.

• Todos los cambios en el producto y sistemas de Hologram están documentados y revisados.
• Los productos y servicios de Hologram interoperan con numerosas redes celulares en todo el mundo utilizando estándares industriales y mejores prácticas (por ejemplo, eUICC, GSMA, 3GPP y otros).
• Las SIM de holograma pasan por múltiples rondas de pruebas de aseguramiento de calidad, razón por la cual nunca hemos tenido una devolución de un pedido de SIM por motivos de defecto operativo.

Confidencialidad

Es fácil confundir la confidencialidad y la seguridad, pero en los Criterios de Servicios de Confianza tienen significados específicos. La confidencialidad se refiere al principio de que los sistemas y procesos de una organización deben proteger los datos sensibles o confidenciales del acceso, uso o divulgación no autorizados. El objetivo es evitar que la información sea divulgada a personas o sistemas que no están autorizados para acceder a ella, ya sea intencionalmente o por accidente.

Data encryption protects confidential data in transit (when data is being sent over networks). End-to-end encryption ensures that, even if data is intercepted or accessed without authorization, it cannot be read or used by anyone who isn’t the intended recipient. Data retention and disposal policies for how long confidential data should be retained and securely disposing of data when it is no longer needed are also important for confidentiality. This helps prevent unauthorized access to outdated or unnecessary data.

El holograma no tiene acceso alguno a los datos del dispositivo.

• End-to-end encryption results in zero access by Hologram and its partners to customer and end-customer device data transmitted via cellular connectivity.
• Hologram’s connectivity is permitted for use in HIPAA- and PCI-compliant products.
• Hologram’s SIMs and connectivity conform to industry standards and best practices, including GSMA and 3GPP standards that help maintain confidentiality (and security).

Privacy

Privacy refers to the protection of personal data and ensuring that it is collected, stored, processed, and (if necessary) shared in accordance with privacy laws, regulations, and accepted standards. Organizations should only collect the data that is necessary for their service or their purpose. They should also obtain clear, informed consent from users for the collection, use, and sharing of their data, ensuring that individuals can exercise their rights over their personal data, such as requesting access or deletion (e.g., under GDPR).

Hologram has no access to customer and end-customer data transmitted by devices across our networks.

• Data collection of PII, if any, is consensual, limited, transparent, and legitimate and used only for business purposes.
• We do not sell personally-identifiable information.
• Hologram publishes a privacy policy and product privacy disclosure.

It adds up to trust

When each of the elements of a Trust Service Criteria are addressed and achieved, the outcome is TRUST.

• Security
• Availability
• Processing integrity
• Confidentiality
• Privacy

Be sure to know what you are buying from your cellular IoT provider. Ask appropriate questions about their practices, policies, and procedures. Work with your internal teams to ensure the same levels of security in your systems.

Check back for Part 2: What is software-defined networking?