2024.08.06. The Fair Economy — "Los equipos de hogar inteligente, como los dispositivos de terminal de generación (wallpad) y otros, deben cumplir con los requisitos de seguridad establecidos por la legislación, pero no existen criterios concretos para verificar si cumplen con esos requisitos. En última instancia, el gobierno está obligando a usar solo productos que hayan recibido la 'certificación de seguridad IoT'." Así lo expresó un responsable de la entidad contratante que había exigido que solo se propusieran productos con 'certificación de seguridad IoT' en los proyectos de construcción de viviendas.
En varios proyectos de construcción de viviendas multifamiliares se están instalando equipos de red doméstica, pero no existe un criterio concreto para verificar si dichos equipos cumplen los requisitos de seguridad exigidos por la normativa. Por ello, algunos en la industria de Tecnologías de la Información y la Comunicación (TIC) afirman que el gobierno está adoptando una postura pasiva para impulsar la 'certificación de seguridad IoT'. Obtener dicha certificación puede costar hasta 20 millones de won en tarifas. Se critica al gobierno por imponer regulaciones excesivas y pasar por alto la carga que supone para los fabricantes de equipos.
Ley de fortalecimiento de la seguridad tras el masivo hackeo de unidades de apartamento
Tres ministerios, entre ellos el Ministerio de Ciencia, ICT y Comunicaciones, el Ministerio de Comercio, Industria y Energía, y el Ministerio de Infraestructuras, revisaron en diciembre de 2021 el comunicado conjunto 'Normas de instalación y criterios técnicos para equipos de red doméstica inteligente', con el objetivo de reforzar la seguridad de las redes domésticas instaladas en apartamentos y oficinas-residencia (officetels), y entró en vigor en julio de 2022.
Se considera una medida para prevenir la recurrencia del incidente de octubre de 2021, en el que se difundieron ilegalmente videos internos de unidades residenciales de un complejo de apartamentos.
En ese momento, los dispositivos de conexión de red doméstica de numerosas unidades residenciales fueron hackeados simultáneamente, y sus cámaras capturaron y distribuyeron sin consentimiento los espacios internos de los hogares.
Al aumentar la preocupación de los ciudadanos al reconocer que las amenazas cibernéticas ya no son solo un problema ajeno sino propio, el gobierno apresuró la revisión del aviso para reforzar la seguridad de las redes domésticas.
Los principales puntos del aviso revisado, elaborado tres meses después del incidente de hackeo, incluyen: ▲ proporcionar a los administradores de apartamentos un manual de mantenimiento y gestión de equipos de red doméstica; ▲ separar la red doméstica por unidad mediante métodos físicos o lógicos; ▲ instalar equipos que cumplan los requisitos de seguridad como confidencialidad, autenticación y control de acceso; ▲ recomendar la instalación de dispositivos con certificación de protección de la información según la Ley de Redes de Información y Comunicación.
Entre ellos, los requisitos de seguridad de los equipos de red doméstica están especificados en el 'Anexo 1' del aviso. Los requisitos abarcan cinco áreas: confidencialidad de datos, integridad de datos, autenticación, control de acceso y seguridad de datos en tránsito.
La 'confidencialidad de datos' implica aplicar técnicas de cifrado, como algoritmos y gestión de claves, así como controles de acceso a datos sensibles (información de identificación del usuario, datos de autenticación, información personal) para impedir que hackers u otras personas no autorizadas accedan al contenido. Sin embargo, dispositivos como switches de grupo de trabajo que solo manejan la transmisión simple de datos, sin procesamiento (creación, lectura, escritura, modificación, eliminación, almacenamiento), están excluidos de este requisito.
'Integridad de datos' significa que se deben aplicar técnicas como funciones hash y firmas digitales a la información de identificación del usuario, información de autenticación y datos personales, para prevenir alteraciones o falsificaciones. Esto tampoco se aplica a los switches de grupo de trabajo que solo manejan transmisión simple.
'Autenticación' significa que se debe implementar una función de verificación y autenticación de identidad mediante firmas electrónicas, ID y contraseña (Password), y contraseñas de un solo uso (One Time Password, OTP).
El 'control de acceso' requiere tecnologías de identificación de activos y usuarios, gestión de IP y autenticación de dispositivos, que permitan clasificar tipos de usuarios y asignar o restringir permisos de acceso, de modo que solo los usuarios autorizados puedan entrar.
La 'seguridad de datos en tránsito' asegura que la información transmitida entre equipos de red doméstica autorizados no sea filtrada, interceptada o desviada.
El gobierno exige que los equipos de hogar inteligente, como los dispositivos de terminal de generación (wallpad), cumplan con los requisitos de seguridad del decreto para garantizar la seguridad, y reconoce que los wallpads que han recibido la 'certificación de seguridad IoT', que es una certificación de seguridad de la información según el Artículo 48-6 de la Ley de Promoción del Uso de la Información y Comunicaciones y Protección de la Información, cumplen con los requisitos del decreto.
El gobierno estableció que, a partir del 1 de julio de 2022, fecha de entrada en vigor del aviso revisado, la disposición se aplicará a las solicitudes de aprobación de planes de construcción de viviendas.
Falta de criterios concretos para verificar el cumplimiento de los requisitos de seguridad
En los proyectos de construcción de viviendas impulsados recientemente por entidades privadas y públicas, las agencias contratantes están limitando la propuesta y entrega solo a productos de wallpad que hayan recibido la 'certificación de seguridad IoT'. Esto está obligando a que la certificación voluntaria se convierta en una obligación.
Según la investigación de Economía Justa, varias instituciones y empresas que recientemente impulsan la construcción de viviendas han exigido en sus RFP que los equipos de hogar inteligente, como los wallpads, solo propongan productos que hayan recibido la 'certificación de seguridad IoT'.
En el caso de la entidad A, en el proyecto 'Construcción del Village Juvenil de Vivienda Pública', se estableció que los productos de wallpad deben ser 'productos certificados según la legislación pertinente'.
La agencia B relacionada con energía también impuso, en el proyecto de 'Construcción de la residencia oficial del nuevo funcionario y compra de equipos de red doméstica', que los productos deben contar con la 'certificación de seguridad IoT'. En particular, los paneles mensuales deben tener una certificación de al menos el nivel 'Basic+'. La certificación IoT se compone de tres niveles básicos: Light, Basic y Standard; si se cumplen requisitos de seguridad adicionales, se otorga el sufijo plus (+). En conjunto, la certificación se divide en seis niveles.
La entidad C, que lleva a cabo la construcción de viviendas públicas en la zona metropolitana, también exigió en el proyecto de obras de telecomunicaciones en apartamentos dentro de la zona de desarrollo urbano que se adjunte un certificado que demuestre que los wallpads han recibido la 'certificación de seguridad IoT'.
La importante constructora nacional D también adoptó la política de usar únicamente equipos de red doméstica con 'certificación de seguridad IoT' y ya la está aplicando en sus proyectos de construcción de viviendas multifamiliares.
Los responsables de estas empresas y entidades dijeron: "El decreto establece que los equipos de hogar inteligente, como los wallpads, deben cumplir con los requisitos de seguridad, pero el gobierno no ha establecido criterios concretos para verificar su cumplimiento. Por lo tanto, se vio obligado a limitar la propuesta y entrega solo a productos que hayan recibido la 'certificación de seguridad IoT'."
En respuesta, un funcionario del Ministerio de Ciencia y TIC afirmó: "El aviso no obliga a usar solo equipos con 'certificación de seguridad IoT'. Si se desea introducir un producto no certificado, basta con verificar que cumple con los requisitos de seguridad del aviso". Concretamente, indicó que el inspector de telecomunicaciones de cada obra debe elaborar un informe de evaluación del estado de la construcción y realizar una 'inspección de equipos de red doméstica inteligente', a partir de la cual se comprobará si el equipo cumple los requisitos.
El gobierno que impone obligaciones es pasivo en la preparación de mecanismos de verificación de cumplimiento
Sin embargo, las voces del campo difieren considerablemente de la postura del Ministerio de Ciencia e ICT.
El responsable de la entidad local que impulsa el proyecto de instalación de equipos de hogar inteligente en viviendas, en una conversación telefónica, dijo: "No es apropiado pedir a los inspectores de telecomunicaciones que determinen si los equipos de hogar inteligente cumplen con los requisitos de seguridad en los proyectos de construcción de viviendas. Esto implica no verificar el cumplimiento en la fase de propuesta del equipo y, en su lugar, hacerlo de forma retroactiva en el sitio. Si el equipo previsto para la instalación resulta no cumplir con los requisitos de seguridad, el tiempo de construcción (duración del proyecto) se alargará."
Otro funcionario de una entidad señaló: "Exigir a instituciones y empresas de primera línea que verifiquen el cumplimiento de los requisitos de seguridad sin que el gobierno haya establecido criterios concretos equivale a una medida que, en la práctica, impone la 'certificación de seguridad IoT'". Añadió: "Al temer críticas de regulación excesiva, el gobierno introdujo la obligación de verificar el cumplimiento, creando una especie de 'laguna de escape'".
Desde la perspectiva de los fabricantes de equipos de hogar inteligente, como los wallpads, también se menciona que la 'certificación de seguridad IoT' es una carga.
Un empleado anónimo de una empresa fabricante de equipos de red doméstica comentó: "El gobierno ha enfatizado que la 'certificación de seguridad IoT' es una certificación legal pero voluntaria, sin embargo, los trabajadores de primera línea en los sitios de construcción de apartamentos no creen esas palabras. El aviso solo enumera conceptos abstractos de requisitos de seguridad y no indica qué tecnologías, funciones o medidas deben cumplir los productos para satisfacer dichos requisitos".
Él explicó la situación de las empresas: "Para que los equipos de hogar inteligente obtengan la 'certificación de seguridad IoT', deben pagar tarifas de certificación que varían de 6 a 20 millones de wones por modelo. El gobierno, prometiendo reducir la carga de la industria manufacturera, ha reducido el costo de certificación a entre 700.000 y 1,4 millones de wones para los modelos derivados con cambios menores respecto al modelo base. Sin embargo, al exigir que se realicen actualizaciones de firmware, como parches de vulnerabilidades, y al producir una 'inconsistencia de configuración' debido a cambios en el software, se obliga a volver a certificar. En consecuencia, la carga solo puede aumentar, no disminuir."
El sector prevé que, a menos que se establezca un criterio de verificación del cumplimiento de los requisitos de seguridad mediante una lista de comprobación (checklist) que sea equivalente a los elementos de evaluación de la 'certificación de seguridad IoT', en el campo no quedará más remedio que utilizar únicamente productos con dicha certificación. Además, advirtieron que las entidades adjudicadoras, con el fin de introducir productos seguros, exigirán gradualmente productos con certificaciones de seguridad de grados más altos, lo que aumentará la carga para las empresas fabricantes de equipos de red doméstica.
Los no especialistas en protección de la información encuentran difícil verificar los requisitos de seguridad
Se criticó que se exija a inspectores de telecomunicaciones sin especialidad en protección de la información que verifiquen si los equipos de red doméstica instalados en el sitio cumplen con los requisitos de seguridad del aviso.
Se cuestiona si es razonable pedir a los inspectores de telecomunicaciones que no tienen especialización en seguridad de la información que verifiquen el cumplimiento de los requisitos de seguridad establecidos en el aviso, dado que el sector de ICT se ha subdividido en diversas áreas especializadas.
El director de una empresa que brinda consultoría en ICT declaró: "En el pasado, la telecomunicación se limitaba a llamadas de voz o telegramas con código Morse. Hoy, gracias al avance tecnológico, existen redes móviles, Wi‑Fi, Bluetooth, comunicaciones ópticas, satelitales y una variedad de medios inalámbricos y cableados; los protocolos, infraestructuras y sistemas también se diversifican según su propósito. Por ello, las certificaciones nacionales y profesionales en el sector ICT ahora suman decenas, reflejando una alta especialización y fragmentación".
Continuó: "Ya no es la era en la que un solo técnico de comunicaciones puede ejercer su expertise en todos los campos de ICT. Sin embargo, la política de desarrollo y gestión de técnicos de comunicaciones del gobierno sigue atrapada en el nivel de hace décadas. ¿No es extraño que se permita a un no especialista en seguridad de la información realizar tareas especializadas en la seguridad de los equipos de hogar inteligente?"
También se ha reportado que, en el terreno, los inspectores de telecomunicaciones están exigiendo a los contratistas de construcción que obtengan certificaciones relacionadas con ICT.
Un empleado de una constructora que actualmente está edificando apartamentos comentó: "Un inspector de telecomunicaciones dijo que aprobaría la inspección si obtenía una certificación preliminar del 'Certificado de Edificio de Alta Velocidad de Información y Comunicación' de la Korean Association for ICT Promotion (KAIT). También escuché que, con los problemas de red doméstica, se está pidiendo la certificación preliminar de red doméstica de KAIT".
Sin embargo, el 'Certificado de Edificio de Alta Velocidad de Información y Comunicación' y el 'Certificado de Edificio de Red Doméstica' gestionados por KAIT son certificaciones privadas y voluntarias. Al no ser certificaciones legales, carecen de fuerza jurídica, pero los inspectores las utilizan como una forma de evadir responsabilidades.
Un profesor de una universidad metropolitana, especializado en ICT, afirmó: "Ya es hora de distinguir a los técnicos de telecomunicaciones por especialidad, al igual que en medicina los médicos obtienen certificaciones de especialidad después de su título general. En la industria ICT, la protección de la información debe estar a cargo de expertos en seguridad de la información".
Propuesta de lista de verificación y sistema de emisión de certificados de pruebas certificadas
La industria ha sugerido que el gobierno debe establecer medidas concretas para verificar el cumplimiento de los requisitos de seguridad de los equipos de red doméstica.
Primero, proponen crear un criterio basado en una lista de verificación que permita confirmar el cumplimiento de los requisitos de seguridad. Los cinco requisitos definidos en el aviso son conceptos abstractos, lo que dificulta su uso práctico en el terreno para evaluar la seguridad de los equipos.
Dado que existen criterios de certificación de protección de la información por áreas para la 'certificación de seguridad IoT', se sugiere convertirlos en una lista de verificación para que en el terreno se pueda comprobar el cumplimiento de los requisitos de seguridad.
Asimismo, al igual que la 'certificación de seguridad IoT' varía los criterios según el nivel, se considera apropiado diferenciar el nivel de verificación de los requisitos de seguridad en función del tipo y propósito de los equipos de red doméstica en el terreno.
Además, se propone que las instituciones de pruebas certificadas emitan certificados de resultados que acrediten que los equipos de red doméstica cumplen con los requisitos de seguridad.
Un caso similar ocurrió en 2020, cuando la exigencia de la 'certificación Wi‑Fi Alliance' se convirtió en un tema en los proyectos gubernamentales de Wi‑Fi público y de redes inalámbricas escolares. En ese entonces, la Korea Intelligent Information Society Agency (NIA), encargada de ejecutar el proyecto, impuso a los fabricantes de puntos de acceso inalámbrico (WAP) la restricción de proponer solo aquellos equipos que contaran con la certificación.
Ante ello, el sector se opuso, señalando que obtener dicha certificación conllevaba comisiones de certificación elevadas, de decenas de millones de wones por modelo, y el gobierno retiró posteriormente su política de exigir dicha certificación.
En su lugar, el 'informe de ensayo acreditado' recibió atención como medio para demostrar el rendimiento y la estabilidad funcional de los WAP. La Asociación de Tecnología de la Información y las Comunicaciones de Corea (TTA) establece elementos y procedimientos de ensayo mediante consulta con los clientes para productos de red inalámbrica IEEE 802.11, y emite el informe de ensayo acreditado de la TTA tras realizar los ensayos.
Las empresas fabricantes de equipos de red doméstica afirman que, si el gobierno crea un sistema en el que organismos de ensayo acreditados prueben el cumplimiento de los requisitos de seguridad de los equipos de red doméstica y emitan informes acreditados al respecto, esto ayudaría a reducir la carga del sector.
Un funcionario del Ministerio de Ciencia y TIC respondió: "Tras verificar los hechos, estudiaremos medidas para aliviar la carga de los fabricantes de equipos de red doméstica y garantizar una aplicación rigurosa del aviso".
0 comentarios
Aún no hay comentarios.