“Dejen de vender dispositivos conectados inseguros”: La voz de Internet Society

Redacción15/02/2019

3 minutos de lectura

Megan Kruse, directora de Negocios de Online Trust Alliance, una iniciativa de Internet Society, manifestó que al comprar cualquier tipo de dispositivo conectado a Internet, conlleva el deber de preocuparse por la privacidad e investigar la cantidad y la clase de datos que recopila el dispositivo.

En consideración a lo dicho, informó sobre la unión de su representada con Mozilla, para pedir a empresas como Target, Walmart, Best Buy y Amazon que apoyen y apliquen públicamente las pautas de seguridad y privacidad mínimas recomendadas por Internet Society, y dejen de vender dispositivos conectados inseguros.

De acuerdo con la directiva, la petición plantea: “Dado el valor y la confianza que los consumidores depositan en su empresa, tiene un rol importante para resolver este problema y ayudar a construir un futuro seguro y conectado. Los consumidores pueden y deben confiar en que, cuando le compren un dispositivo, no comprometerán su privacidad y seguridad. Firmar en estas pautas mínimas es el primer paso para cambiar el rumbo y generar confianza en este espacio».

Asimismo comentó que en total, la carta está firmada por 11 organizaciones: Mozilla, Internet Society, Consumers International, ColorOfChange, Open Media & Information Companies Initiative, Common Sense Media, Story of Stuff, Center for Democracy and Technology, Consumer Federation of America, 18 Million Rising, y Hollaback.

Los estándares mínimos de seguridad para dispositivos IoT recomendados por Internet Society son:

Comunicaciones cifradas: el producto debe utilizar el cifrado para todas sus funciones y capacidades de comunicaciones de red. Esto garantiza que todas las comunicaciones no sean escuchadas o modificadas en tránsito.
Actualizaciones de seguridad: el producto debe admitir actualizaciones automáticas durante un período razonable después de la venta, y debe estar habilitado de forma predeterminada. Esto garantiza que cuando se conoce una vulnerabilidad, el proveedor puede hacer que las actualizaciones de seguridad estén disponibles para los consumidores, las cuales se verifican (mediante algún tipo de criptografía) y luego se instalan sin problemas. Las actualizaciones no deben hacer que el producto no esté disponible durante un período prolongado.
Contraseñas seguras: si el producto usa contraseñas para la autenticación remota, debe exigir que se utilicen contraseñas seguras, incluido el requisito de seguridad de la contraseña. Las contraseñas predeterminadas no únicas también deben restablecerse como parte de la configuración inicial del dispositivo. Esto ayuda a proteger el dispositivo de la vulnerabilidad a ataques de contraseña adivinables, lo que podría resultar en un compromiso del dispositivo.
Administración de vulnerabilidades: el proveedor debe tener un sistema implementado para administrar las vulnerabilidades en el producto. Esto también debe incluir un punto de contacto para reportar vulnerabilidades o un programa equivalente de recompensas de errores. Esto garantiza que los proveedores gestionen activamente las vulnerabilidades a lo largo del ciclo de vida del producto.
Prácticas de privacidad: el producto debe tener una política de privacidad de fácil acceso, escrita en un lenguaje que sea fácil de entender y apropiado para la persona que usa el dispositivo o servicio. Los usuarios como mínimo deben ser notificados sobre cambios sustanciales a la política. Si los datos se recopilan, transmiten o comparten con fines de marketing, deberían ser claros para los usuarios y, de conformidad con las normativas vigentes de cada país, debería haber una manera de optar por no participar en dichas prácticas. Los usuarios también deben tener una manera de eliminar sus datos y su cuenta. Esto también debería incluir una política que establezca períodos de retención estándar siempre que sea posible.

“Estos cinco son un subconjunto de nuestro Marco de Confianza de Internet de las Cosas, que es un conjunto más amplio de principios que los fabricantes, revendedores y responsables de políticas pueden usar para ayudar a proteger los dispositivos de IoT y sus datos”, señaló Megan Kruse.

Añadió estar a la espera de que el documento abra la discusión para trabajar en el aumento de la confianza del consumidor de que los dispositivos que traen a sus vidas son seguros. “Estamos comprometidos a ayudar a mejorar la seguridad y la confiabilidad de todos los tipos de productos de IoT”, concluyó la directiva.

[email protected]