Protección de datos en IoT (Internet de las Cosas)

Internet de las cosas (IoT) se encuentra en el epicentro de la revolución de la transformación digital que está cambiando la forma de las empresas y la vida de las personas. Internet de las cosas (IoT) está cambiando la forma en que vivimos, trabajamos, viajamos y hacemos negocios. Incluso es la base de una nueva transformación industrial, conocida como Industria 4.0 , y clave en la transformación digital de las organizaciones, las ciudades y la sociedad en general. Pero, ¿qué es IoT en realidad? ¿qué datos se procesan y cuáles son los peligros para la privacidad? En este artículo, voy a compartir todo lo que necesitas saber sobre la protección de datos en Internet de las cosas.

¿Qué es el Internet de las Cosas (IoT)?

Internet de las cosas esencialmente nos permite conectar «cosas» a Internet (y a las redes que utilizan la tecnología de Internet).

Estas cosas o elementos pueden intercambiar información entre ellos y transmitir datos a otros dispositivos y sistemas. Por lo general, también pueden recibir datos. La información que comparten puede ser sobre los objetos a los que están conectados y el entorno en el que se encuentran (a través de sensores que tienen muchas formas para diferentes parámetros). Los dispositivos y las máquinas inteligentes también pueden compartir información sobre su estado interno.

Por lo tanto, no juegan ni compran en línea, sino que capturan datos, los comparten y, dependiendo de lo que sea preciso, pueden actuar sobre los datos que reciben.

Prácticamente cualquier objeto físico se puede transformar en un dispositivo de IoT si se puede conectar a Internet para controlarlo o comunicar información.

Una bombilla que se puede encender con una aplicación de teléfono inteligente es un dispositivo de IoT, al igual que un sensor de movimiento o un termostato inteligente en tu oficina o una farola conectada. Algunos objetos más grandes pueden estar llenos de muchos componentes de IoT más pequeños, como un motor a reacción que ahora está lleno de miles de sensores que recopilan y transmiten datos para asegurarse de que esté funcionando de manera eficiente. A una escala aún mayor, los proyectos de ciudades inteligentes están llenando regiones enteras con sensores para ayudarnos a comprender y controlar el medio ambiente.

Si bien Internet de las cosas comienza con la infraestructura de las cosas conectadas, tanto sus beneficios como sus riesgos están relacionados principalmente con las tecnologías de red, los sistemas y las aplicaciones construidas sobre esta capa subyacente. En teoría, cualquier cosa puede conectarse a Internet utilizando tecnologías de IoT: objetos físicos y criaturas vivientes, incluidos animales y personas como «seres». Todas las cosas o componentes conectados de objetos físicos más complejos se pueden identificar y abordar de forma única a través de Internet de las cosas.

Cómo funciona IoT

Un ecosistema de IoT consta de dispositivos inteligentes habilitados para la web que utilizan sistemas integrados, como procesadores, sensores y hardware de comunicación, para recopilar, enviar y actuar sobre los datos que adquieren de sus entornos.

Los dispositivos IoT comparten los datos de los sensores que recopilan al conectarse a una puerta de enlace de IoT u otro dispositivo de borde donde los datos se envían a la nube para ser analizados o analizados localmente. A veces, estos dispositivos se comunican con otros dispositivos relacionados y actúan sobre la base de la información que obtienen entre sí.

Los dispositivos hacen la mayor parte del trabajo sin intervención humana, aunque las personas pueden interactuar con los dispositivos, por ejemplo, para configurarlos, darles instrucciones o acceder a los datos.

Los protocolos de conectividad, redes y comunicaciones que se utilizan con estos dispositivos habilitados para la web dependen en gran medida de las aplicaciones de IoT específicas implementadas.

IoT también puede hacer uso de la inteligencia artificial (IA) y el aprendizaje automático para ayudar a que los procesos de recopilación de datos sean más fáciles y dinámicos.

¿Qué datos procesan los dispositivos conectados y cómo lo hacen?

Internet de las cosas (IoT) describe el concepto de conectar en red objetos físicos con Internet para un propósito específico. Los dispositivos se comunican entre sí y con sus usuarios, funcionan de forma independiente y no requieren supervisión y control regulares por parte de los usuarios. Se recopilan datos precisos en grandes cantidades y se analizan en tiempo real. Combinada con aplicaciones de inteligencia artificial, la tecnología ofrece una amplia gama de poderosas posibilidades de aplicación para empresas de casi todos los tamaños y en todos los campos comerciales.

Dado que estos datos son predominantemente datos personales, Internet de las cosas conlleva desafíos completamente nuevos para la protección de datos y el derecho de las personas a determinar qué información se recopila sobre ellos y cómo se usa.

Por supuesto, el RGPD también se aplica al Internet de las cosas. Sin embargo, solo será relevante para las aplicaciones de IoT si realmente procesan datos personales, por ejemplo, en los siguientes casos:

• Se utilizan sensores acústicos, ópticos o biométricos que procesan datos personales.
• El lugar donde se utiliza un sensor permite sacar conclusiones sobre los hábitos de una persona (por ejemplo, sensores de movimiento).
• Se puede establecer un enlace a una persona cada vez que un usuario inicia sesión con su nombre u otros identificadores para usar o controlar la aplicación de IoT.
• Si un usuario se comunica con una aplicación de IoT, el procesamiento de direcciones IP o el análisis de direcciones MAC para detección de presencia, por ejemplo, pueden permitir identificar a la persona.

Es responsabilidad de los proveedores de aplicaciones de IoT garantizar que se implementen los conceptos de seguridad y protección de datos que cumplan con el RGPD.

Para verificar esto, las empresas que utilizan las aplicaciones de Internet of Things deben realizar una evaluación de impacto de protección de datos (DPIA) como se establece en el RGPD y asegurarse de que los sensores no recopilen más datos de los que son absolutamente necesarios para cumplir con el propósito comercial relevante. Se deben cumplir los principios de minimización de datos y limitación de propósito.

El uso de datos anonimizados solo está permitido si están debidamente anonimizados, es decir, la información ya no se puede rastrear hasta personas individuales, incluso cuando se combinan diferentes conjuntos de datos anonimizados.

Los marcos legales como el RGPD pueden brindar orientación y seguridad jurídica, pero el IoT se caracteriza por los siguientes aspectos:

• Enorme diversidad y alcance
• Una amplia gama de formularios y campos de aplicación.
• Evolución rápida con tecnologías y áreas de uso constantemente nuevas.

Para determinar la forma en que los dispositivos de IoT recopilan los datos, debemos distinguir unas fases.

Envío de datos

Es útil pensar en los datos creados por un dispositivo en tres etapas. La primera etapa es la creación inicial, que tiene lugar en el dispositivo y luego se envía a través de Internet. La segunda etapa es cómo el sistema central recopila y organiza esos datos. La tercera etapa es el uso continuo de esos datos para el futuro.

Esta información se puede enviar a través de la red a la aplicación central. En este punto, debe decidirse en qué estándar se crearán los datos y cómo se enviarán a través de la red. Para devolver estos datos, MQTT, HTTP y CoAP son los protocolos estándar más utilizados. Cada uno de estos tiene sus beneficios y casos de uso.

Almacenar los datos

En Internet de las cosas, los dispositivos crean datos que se envían a la aplicación principal para ser enviados, consumidos y utilizados. Dependiendo del dispositivo, la red y las restricciones de consumo de energía, los datos se pueden enviar en tiempo real o en lotes en cualquier momento.

Los datos recogidos son almacenados para fines estadísticos y científicos. Cada análisis de perfil suma a la base de datos con el objetivo de conocer más las necesidades y hábitos de los usuarios.

Análisis de datos

El análisis de datos brinda la oportunidad de crear más valor para los propietarios de los dispositivos involucrados, o llevar a cabo tareas automatizadas basadas en un cierto conjunto de condiciones que se cumplen.

Un resultado de la etapa de procesamiento de datos será la creación de un perfil del usuario respectivo, es decir, el establecimiento de determinados rasgos peculiares que caracterizan a ese usuario, usualmente vinculados con preferencias de consumo o determinadas conductas.

Riesgos para la privacidad y la protección de datos personales

El ecosistema de IoT plantea riesgos de protección de datos y privacidad que se extienden más allá de la seguridad de datos tradicional.

Cómo la introducción de IoT en las redes y la infraestructura ha cambiado los riesgos de privacidad que enfrentan las organizaciones, y cómo administrar estos riesgos se ha vuelto cada vez más difícil para los departamentos de seguridad de TI.

Con la rápida proliferación de dispositivos de IoT, se produce una rápida acumulación de datos, datos que ofrecen una gran cantidad de conocimientos y, al mismo tiempo, plantean una serie de riesgos de seguridad y privacidad.

Con tal aumento en el volumen de datos, las organizaciones deben considerar cómo se procesan los datos.

Si bien existen métodos para analizar anomalías en los datos, puede ser difícil analizar cantidades masivas de datos para encontrar discrepancias en tiempo real (lo que necesitan muchas aplicaciones de IoT), especialmente cuando se trata de un ataque de sensor.

El volumen de datos de los sensores también puede ser utilizado tanto por atacantes como por usuarios legítimos para comprometer la seguridad y privacidad de los usuarios. Por ejemplo, los medidores inteligentes se pueden analizar para conocer los hábitos de visualización de televisión de una persona. La orientación del giroscopio se puede utilizar para obtener la contraseña o el texto de un teléfono en función de cómo se inclina la mano de un usuario mientras escribe.

Se ha demostrado cómo los sensores son ahora un vector de ataque factible, ya que se utilizan para comprender un entorno físico y recopilar información. Estos datos informan decisiones y acciones, y cualquier suplantación de identidad puede tener consecuencias imprevistas.

Un ataque de suplantación de identidad podría afectar cosas como un GPS en un bote, el sistema de frenos antibloqueo de un automóvil o un marcapasos ubicado en un cuerpo humano. Incluso un ataque a una unidad de medida fasorial, que mide ondas eléctricas, podría desestabilizar partes de una red eléctrica.

Estos son los principales riesgos para la privacidad de IoT.

Demasiados datos

La gran cantidad de datos que pueden generar los dispositivos de IoT es asombrosa. En un informe se indicó que menos de 10,000 hogares pueden generar 150 millones de puntos de datos discretos todos los días. Esto crea más puntos de entrada para los piratas informáticos y deja vulnerable la información confidencial.

Perfil público no deseado

Indudablemente has aceptado los términos de servicio en algún momento, pero ¿alguna vez has leído un documento completo? Las empresas podrían utilizar los datos recopilados que los consumidores ofrecen voluntariamente para tomar decisiones laborales. Por ejemplo, una compañía de seguros podría recopilar información sobre tus hábitos de conducción a través de un automóvil conectado al calcular la tarifa de tu seguro. Lo mismo podría ocurrir con los seguros de vida o de salud gracias a los rastreadores de fitness.

Escuchas clandestinas

Los fabricantes o los piratas informáticos podrían usar un dispositivo conectado para invadir virtualmente la casa de una persona. Se puede lograr esto interceptando datos no cifrados de un dispositivo medidor inteligente para determinar qué programa de televisión estaba viendo alguien en ese momento.

Confianza del consumidor

Cada uno de estos problemas podría hacer mella en el deseo de los consumidores de comprar productos conectados, lo que evitaría que IoT alcance su verdadero potencial.

Del Internet de las Cosas al Internet de los Cuerpos

Cuando la Internet de las cosas (IoT) se conecta con el cuerpo, el resultado es la Internet de los cuerpos (IoB). Internet of Bodies (IoB) es una extensión de IoT y básicamente conecta el cuerpo humano a una red a través de dispositivos que se ingieren, implantan o conectan al cuerpo de alguna manera. Una vez conectado, se pueden intercambiar datos y el cuerpo y el dispositivo se pueden monitorizar y controlar de forma remota.

Hay tres generaciones de Internet of Bodies que incluyen:

• Cuerpo externo: Son dispositivos portátiles como Apple Watches o Fitbits que pueden monitorizar nuestra salud.
• Interior del cuerpo: Estos incluyen marcapasos, implantes cocleares y píldoras digitales que van dentro de nuestro cuerpo para monitorizar o controlar varios aspectos de nuestra salud.
• Body embedded: La tercera generación de Internet of Bodies es una tecnología integrada en la que la tecnología y el cuerpo humano se fusionan y tienen una conexión en tiempo real a una máquina remota.

Los desafíos de seguridad que enfrenta la tecnología de Internet of Bodies son similares a los que plaga Internet de las cosas en general, pero puede haber consecuencias de vida o muerte cuando los dispositivos IoB están involucrados. Además, los dispositivos IoB crean otro desafío de seguridad cibernética que deberá protegerse de los piratas informáticos.

La privacidad también es de suma importancia. Las preguntas sobre quién puede acceder a los datos y con qué propósito necesitan respuesta. Por ejemplo, un dispositivo que monitoriza los diagnósticos de salud también podría rastrear comportamientos no saludables.

A medida que la tecnología de Internet of Bodies continúe creciendo, los problemas regulatorios y legales deberán resolverse y las políticas se desarrollarán en torno al uso adecuado de la tecnología.

Retos de futuro para la protección de datos en el IoT

Internet de las cosas ya es un factor económico importante y lo será aún más en el futuro. Después de todo, los productos habilitados para Internet primero deben comprarse y utilizarse. Los consumidores privados, las empresas y el sector público tienen que invertir cantidades considerables de dinero para beneficiarse de los estándares tecnológicos en primer lugar.

Para las empresas, invertir en proyectos de IoT vale la pena porque los procesos pueden hacerse más eficientes y las necesidades de los clientes pueden satisfacerse de una manera más específica, lo que a su vez ahorra costes. No solo los productores de tecnología y las empresas clientes tienen un interés personal en promover el Internet de las cosas aún más, sino también los países individuales, ya que también se benefician del potencial económico del uso de aplicaciones de IoT.

Los estándares de seguridad vinculantes podrían disipar las preocupaciones de protección de datos que actualmente obstaculizan el mercado, contribuir a una mayor aceptación de las tecnologías de IoT y dar un impulso al mercado de IoT. La mayoría de las empresas, por ejemplo, aún no están aprovechando por completo las posibilidades que ya ofrece IoT y simplemente se enfocan en optimizar los procesos y productos existentes para reducir costes.

El desarrollo de nuevos modelos de negocio o servicios ha sido un enfoque mucho menor hasta ahora. La incertidumbre debida a la falta de aplicaciones de IoT que funcionen de manera confiable de acuerdo con las regulaciones de protección de datos probablemente juega un papel importante en eso. La protección de datos y las preocupaciones por la seguridad son la razón principal de la renuencia de muchas empresas.

A la luz de todo esto, la protección de datos es actualmente más una amenaza para el Internet de las cosas que al revés. Sin embargo, todas las partes interesadas tienen la responsabilidad de definir normas vinculantes que puedan adaptarse para seguir el ritmo de esta rápida evolución.

Sin los esfuerzos adecuados de los desarrolladores de aplicaciones de IoT, no se puede esperar una solución factible y legalmente sólida para las empresas. Esto es absolutamente esencial para construir una base de confianza para el futuro. Los desarrolladores europeos deberían ver esto como una gran oportunidad para apoderarse de las cuotas de mercado de los proveedores no europeos dominantes.