El Reino Unido ha establecido una nueva legislación que prohíbe las contraseñas predeterminadas de los dispositivos inteligentes que puedan ser fácilmente descifradas. Esta normativa, incluida en la Ley de Infraestructura de Telecomunicaciones y Seguridad de Productos (Ley PSTI) de 2022, busca mejorar la seguridad cibernética al obligar a los fabricantes a cumplir con estándares mínimos.
Requisitos para los dispositivos inteligentes
Según la Ley PSTI, los fabricantes deben garantizar que los dispositivos inteligentes no incluyan contraseñas predeterminadas que puedan ser descifradas fácilmente en línea. Además, se exige que los proveedores dejen claro durante cuánto tiempo recibirán actualizaciones de seguridad.
Los dispositivos cubiertos por esta normativa incluyen: dispositivos de entretenimiento como Smart TV y parlantes inteligentes; sistemas de vigilancia del hogar, como cámaras de seguridad; electrodomésticos conectados a Internet, como frigoríficos o termostatos; y dispositivos portátiles como relojes inteligentes.
Recomendaciones para los usuarios
El Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido ha emitido una guía que recomienda a los usuarios adoptar contraseñas únicas y más seguras. Se mencionan ejemplos como el uso de tres palabras aleatorias para crear contraseñas robustas.
El director técnico del NCSC, Ian Levy, destaca la importancia de usar contraseñas seguras y habilitar la autenticación de dos factores (2FA) siempre que sea posible. Estas medidas ayudan a reforzar la seguridad frente al acceso no autorizado.
Reacciones de expertos
El profesor Alan Woodward, científico informático de la Universidad de Surrey, ha calificado esta normativa como un gran primer paso, aunque considera que aún hay margen para mejorar. Según él, las leyes no van lo suficientemente lejos y quedan por detrás de los estándares recomendados en Europa.
Tim Callan, director de experiencia de Sectigo, ha señalado que la Ley PSTI exige cumplir solo con tres de los 13 estándares del Instituto Europeo de Estándares de Telecomunicaciones (ETSI), lo cual deja una brecha importante en las defensas contra ataques cibernéticos.
Responsabilidad y sanciones
La Oficina de Normas y Seguridad de Productos (OPSS) se encargará de hacer cumplir estas nuevas reglas. El incumplimiento de la Ley PSTI es un delito penal, con una multa máxima de £10 millones o el 4 por ciento de los ingresos mundiales calificados, lo que sea mayor.
Woodward ha expresado su preocupación sobre si el gobierno aplicará realmente esta ley. Ha señalado que las sanciones significativas pueden hacer que las operaciones comerciales tomen nota y adopten prácticas más seguras.