Quizás algún día todas las plataformas sean tan seguras como Apple

Una mirada a la actualización reciente de la Administración Biden Documento de Estrategia Nacional de Ciberseguridad parece reflejar algunos de los enfoques del ciberdelito que Apple ya emplea.

Tome la privacidad, por ejemplo. La propuesta sugiere que la protección de la privacidad ya no será algo contra lo que las grandes tecnológicas puedan argumentar: las empresas deberán priorizar la privacidad. Eso está bien si tiene un negocio que no requiere la recopilación y el análisis de la información del usuario al por mayor, que siempre ha sido el enfoque de Apple. La mejor manera de mantener la privacidad de la información, argumenta la empresa, es no recopilarla en absoluto.

Si bien ese enfoque no es total, no necesita patear con fuerza los servidores de activación de Apple para reconocer que al menos alguna información sobre usted y sus dispositivos es visible hasta cierto punto, la mayoría de su información personal no lo es. La reciente decisión de Apple de ampliar las protecciones pone a disposición de iCloud también parece reflejar algunos de los compromisos asumidos en el documento NCS.

Así como las aplicaciones de la App Store deben divulgar políticas de privacidad y admitir lo que hacen con su información, la nueva estrategia de seguridad es exigir a los fabricantes de software y proveedores de servicios que asuman mucha más responsabilidad por la seguridad de sus productos.

“Debemos reequilibrar la responsabilidad de defender el ciberespacio trasladando la carga de la ciberseguridad de los individuos, las pequeñas empresas y los gobiernos locales a las organizaciones más capaces y mejor posicionadas para reducir los riesgos para todos nosotros”, explica un Declaración informativa de la Casa Blanca.

Pero nadie es perfecto

La reputación de Apple de crear una plataforma segura siempre ha demostrado que es posible construir y mantener dichas plataformas. Y aunque la protección de seguridad nunca es perfecta, el hecho de que la empresa haya logrado hacer esto significa que es posible que cualquier empresa haga lo mismo.

Eso (y más) es efectivamente lo que exigen las nuevas propuestas. Como era de esperar, esto está provocando cierto rechazo por parte de algunos actores de la industria, ya que significa que serán responsables si se descubre que su software o servicios son vulnerables.

El Consejo de la industria de tecnología de la informaciónpor ejemplo, parece pensar que estos arreglos amenazan los contratos privados realizados entre desarrolladores y clientes.

Al mismo tiempo que informes de la CNN, la propuesta refleja lo que el gobierno de EE. UU. ve como un fracaso de las fuerzas del mercado para mantener segura a la nación. La regulación de toque ligero no debe equipararse a la complacencia. También existe el argumento de que la negligencia no siempre es la razón por la que fallan las protecciones de seguridad.

Aaron Kiemele, CISO de la empresa de seguridad y MDM centrada en Apple Jamf, dice: “Todo el software es vulnerable de alguna manera a la explotación futura. Si surge un nuevo problema y causa un impacto generalizado, eso no significa que el proveedor de software haya sido negligente. Puede hacer todo bien y aun así verse afectado por un incidente de seguridad.

“Dicho esto, hay muchas vulnerabilidades antiguas que permanecen sin parches durante años, así como empresas que realmente no priorizan la seguridad y la privacidad”, dijo. “Cómo tomar el resultado (a menudo un mal indicador de las capacidades de seguridad subyacentes de la empresa) e impulsar la reforma sin que esto se convierta en un castigo punitivo para un entorno de seguridad que no se puede predecir razonablemente que será complicado.

“Lo más interesante para mí sigue siendo que esto suena como un esfuerzo de buena fe para imponer la responsabilidad adecuada a las empresas de software que actualmente no están haciendo lo correcto para proteger sus datos y sus clientes”, dijo Kiemele.

“Será agradable rendir cuentas más sabiendo que seremos recompensados ​​por nuestras buenas prácticas, mientras que otros en la industria deberán hacer lo mínimo para proteger el ecosistema digital”.

Jamf lanzó el año pasado un fondo para invertir en Start-ups de seguridad relacionadas con Apple.

El sólido enfoque de Apple para asegurar sus plataformas puede hacer que quiera hacer una declaración similar.

Aumentar la responsabilidad

Luego está la consideración sobre los dispositivos conectados. Piense en la historia de la solución para el hogar inteligente de Apple, HomeKit, y podrá ver que su adopción nunca fue tan rápida como se esperaba. Los observadores de la historia de Apple sabrán que una de las razones de esto fue que Apple insistió en que los fabricantes cumplieran con los estándares de seguridad y utilizaran su propio silicio. Otros no requerían la misma protección estricta y hemos visto mucha evidencia de cómo se puede abusar de eso. Incluso Apple abusó de esta confianza cuando puso a Siri a espiar.

Pero cuando se trata de seguridad nacional, las vulnerabilidades se extienden más allá de los sistemas de altavoces domésticos que escuchan lo que dice. Sabemos que la Industria 4.0 se está implementando a nivel mundial, incluso cuando los sistemas de atención médica conectados ven cómo se acelera su implementación.

Todos esos dispositivos conectados se basan en software y servicios, y parece lógico que los proveedores de esos espacios sean más responsables de esos sistemas.

Sabemos desde el infame ataque HVAC contra Target cómo incluso un sistema conectado menos importante puede ser atacado. Si bien nadie debe comprar ningún dispositivo conectado que no se pueda asegurar o actualizar, ningún fabricante debe vender artículos con un código de acceso débil como 0,0,0,0 instalado de manera predeterminada.

Hacer que los proveedores sean responsables de fortalecer esos sistemas tiene sentido porque hemos visto demasiadas incidencias de fallas.

Las propuestas de seguridad de la Casa Blanca también contemplan amenazas futuras, como el impacto de la computación cuántica en la protección de seguridad perimetral y de punto final tradicional. Se podría argumentar que Apple tiene algunas respuestas aquí, con identificación biométrica y su soporte para Passkeys sin contraseña, pero habrá muchas más millas en ese viaje, y hemos necesitado ir más allá de las contraseñas durante años.

Pero al menos las propuestas deberían significar que todos los involucrados en ese espacio estarán más motivados para trabajar para asegurar sus productos, en lugar de esperar a que alguien más lo haga.

Necesitamos destruir el mercado de la inseguridad del diseñador.

Y ese es el gran positivo de estas propuestas. En esencia, decirles a los proveedores de software y servicios que asuman una mayor responsabilidad por la seguridad probablemente impulsará a la mayoría a endurecerse. Habrá inconsistencias evidentes a lo largo del camino; por ejemplo, ¿el impulso normativo para obligar a todos los proveedores de teléfonos inteligentes a admitir todas las tiendas de aplicaciones es compatible con la necesidad de proteger las plataformas y los servicios?

Si la seguridad y la privacidad son tan importantes, ¿cómo es correcto que Apple se vea obligada a reducir la seguridad y la privacidad de los productos y servicios que ofrece?

La Estrategia Nacional de Ciberseguridad no tiene todas las respuestas a esta compleja red de problemas cambiantes, pero ofrece un punto de partida más sólido desde el cual avanzar. Las empresas de redes sociales pueden esperar una gran cantidad de escrutinio, por fin.

Recuerda una cita de Steve Jobs, que puede ser relevante aquí:

“Cuando comienzas a intentar resolver un problema, las primeras soluciones que se te ocurren son muy complejas y la mayoría de la gente se detiene ahí. Pero si continúa y vive con el problema y quita más capas de la cebolla, muchas veces puede llegar a algunas soluciones muy elegantes y simples. La mayoría de las personas no dedican el tiempo o la energía para llegar allí”.

Si bien habrá mucho trabajo por hacer, las propuestas establecen cierta urgencia para que la tecnología acelere sus esfuerzos para simplificar la seguridad y ciertamente sugiere que los días en los que las empresas tecnológicas de laissez-faire podrían vender la inseguridad como un servicio están contados.

Eso es algo realmente bueno.

Por favor sígueme en Mastodonteo únete a mí en el Bar y parrilla de AppleHolic y Manzana Discusiones grupos en MeWe.