Si bien el despliegue de 5G nos abre posibilidades aún inimaginables, nos enfrentamos también a uno los principales desafíos tecnológicos de los próximos años: la ciberseguridad en 5G.

Y, aunque el reto es enorme y absolutamente novedoso, podemos establecer bastantes analogías con la expansión de las ciudades en Europa a finales de los siglos XIII y XIV, tras la peste negra.

La terrible pandemia que había afectado a Europa había terminado. La población, hasta entonces confinada tras las murallas de las ciudades, empezó a crecer rápidamente y a colonizar las tierras extramuros, exponiéndose a un sinnúmero de nuevas amenazas. Las antiguas estrategias defensivas habían quedado obsoletas. De repente había que proteger a un número de personas varias veces mayor, en un territorio mucho más amplio y sin la posibilidad de construir un muro, un día tras otro…

Se necesitaba un nuevo enfoque para la seguridad de los ciudadanos y negocios, con fuerzas más móviles, de respuesta rápida y mayor inteligencia. Para adaptarse, las autoridades dictaron nuevas normas pensadas para una vida sin murallas. Se crearon y entrenaron nuevas unidades de defensa dotadas de carros y caballos, se invirtió en puestos avanzados de vigilancia y sistemas de señales, los arquitectos y constructores trazaron calles anchas, pavimentadas, iluminadas con luz artificial, conectadas con carreteras y puertos fluviales…

Ciberseguridad en 5G: la ciudad crece extramuros

Como les pasaba a las autoridades de aquella época, en la actualidad estamos entrando en un entorno de alta complejidad y muy difícil de acotar.

Factores como la explosión de dispositivos conectados, el cambio de paradigma de red desde esquemas centralizados hacia el edge computing y la diversidad de las aplicaciones que se van a implementar (muchas de ellas inimaginables aún) suponen una combinación de elementos (sus personas y territorios) que dificulta una respuesta formal, como a la que estábamos acostumbrados (las antiguas murallas). Ya no hay procedimientos estándar ni checklists bien definidos.

Para abordar la ciberseguridad en 5G la Fundación Círculo de Tecnologías para la Defensa y la Seguridad celebraba recientemente un interesante encuentro. En él participaron expertos de diversos organismos de la Administración y de las operadoras de telecomunicaciones.

Un reto como la aparición de Internet en los noventa

Aunque el esfuerzo de la ciberseguridad en 5G parece ciclópeo, décadas de experiencia de trabajo en metodologías de seguridad de la información permiten abordar el problema de una forma estructurada y reducir sustancialmente los riesgos.

¿Qué debe tener en cuenta el directivo de una empresa que está pensando en utilizar 5G para mejorar su negocio o desarrollar uno nuevo? ¿Es una tecnología suficientemente segura o sus vulnerabilidades pueden poner en peligro el emprendimiento?

Posiblemente también se podría comparar 5G con la aparición de Internet en los años noventa. Fue una pesadilla para los administradores de sistemas. Pasaron de gestionar una red privada, generalmente local, con usuarios bien conocidos, a gestionar una red con miles de usuarios interconectados con redes externas, muchos de ellos desconocidos, con un comportamiento caótico.

Igual que ahora, la “superficie de exposición” se multiplicó. Pero la aplicación de metodologías estructuradas de seguridad permitió reducir los riesgos y se desarrolló tecnología de seguridad adecuada (por ejemplo, los firewalls). Sobrevivimos y, a pesar de las dificultades, Internet revolucionó los negocios. ¿Cómo lo haremos en este caso?

Una regulación europea para entrar al «club del 5G»

En el evento, Roberto Sánchez, secretario de estado de Comunicaciones, destacó un aspecto importante: el establecimiento de una regulación única en Europa y niveles mínimos de seguridad para entrar al “club del 5G”. “Toda cadena se rompe por el eslabón más débil” y dado que uno de los potenciales del 5G se basa en su conectividad trasnacional, es necesario fijar estos umbrales muy altos.

Luis Jiménez Muñoz, subdirector general del CCN (CNI), detalló las áreas sobre las cuales se está trabajando para definir dichos umbrales. Los agrupó en “siete funciones críticas”, que forman parte de un esquema de certificación europeo en curso.

• Gestión usuarios y criptografía
• Interfases de interconexión (roaming, portabilidad)
• Servicios de gestión de red (autorización, metadatos)
• Virtualización (redes definidas por software)
• Gestión de sistemas de apoyo
• Nivel de trasporte (Flow control)
• Interceptación legal de comunicaciones (normas para su correcto empleo)

La concienciación, clave

Ignacio González Ubierna, subdirector de Tecnologías de ciberseguridad del INCIBE, amplió la respuesta al desafío de la ciberseguridad en 5G con los aspectos de concienciación. De nada sirve establecer unos exigentes estándares de seguridad si falla el factor humano, tanto desde el punto de vista de los usuarios y administradores de sistemas como, sobre todo, de los desarrolladores de aplicaciones que aprovecharán la tecnología 5G.

INCIBE está trabajando en distintas iniciativas para mejorar este aspecto:

• Guías de buenas prácticas para desarrolladores 5G
• Cursos y material de concienciación
• Procedimientos para el desarrollo de métodos de respuesta

La ciberseguridad en 5G desde el punto de vista de Telefónica

Desde el punto de vista de los operadores, Patricia Díez, manager global de Seguridad de Red de Telefónica, dio algunas pautas del enfoque de la compañía para aislar y establecer controles en los distintos componentes de la solución:

• El primer eslabón es el propio terminal móvil. Es preciso revisar sus funciones de autenticación y encriptación, al margen de la red. Telefónica trabaja sobre la certificación de terminales para que cumplan un estándar exigente de seguridad y la monitorización proactiva de los dispositivos.

• El segundo elemento es la red de acceso. Una cuestión crítica aquí es la coexistencia de 5G con redes 4G/3G/2G. Implica mantener altos los estándares para mitigar los gaps de generaciones anteriores. Se aplica también una estrategia de open RAN, que consiste en dividir el procesamiento de la estación base en una unidad central (protegida en un recinto seguro del operador) y una unidad distribuida en entornos no confiables. La comunicación entre ambas ha de ir cifrada.

• El tercer gran elemento son los componentes de software. Su control se basa en establecer requisitos de seguridad exhaustivos como criterio de peso en la selección de proveedores, así como en procesos intensivos de verificación de las implementaciones. 

Además de las regulaciones nacionales e internacionales, las operadoras están en proceso de establecer estándares de seguridad propios de la industria, a través de organismos como el 3GPP, que contemplan particularidades de la nueva tecnología como el network slicing, es decir, la posibilidad de crear redes virtuales con diferentes prestaciones sobre la misma infraestructura física. En estos foros se discuten también los protocolos de roaming y los controles de interoperabilidad entre operadores.

Uso intensivo de la inteligencia artificial

El principal desafío ahora en ciberseguridad en 5G es, como en los años noventa, aplicarse con método y desarrollar los estándares y las tecnologías adecuadas. Igual que entonces se inventó el firewall, en las próximas décadas veremos surgir nuevas categorías de software de seguridad. Si tratamos de imaginar cómo será, todo apunta a que haremos un uso intensivo de capacidades de la inteligencia artificial.

El enorme número de dispositivos y aplicaciones hará necesario el análisis en tiempo real de multitud de eventos, con la necesidad de tomar decisiones en milisegundos. Actualmente los SOC (Security Operations Center) de las empresas y organismos ya utilizan estas tecnologías para “filtrar” las amenazas más comunes. Así se reduce la carga de trabajo de un recurso escaso: el analista de seguridad.

Machine learning en la red

Pero de ahora en adelante tendremos que tomar una mayor cantidad de decisiones en menos tiempo y en diferentes niveles. Los procesadores que estén en “el borde de la red” deberán lidiar por sí solos con gran número de amenazas sin la intervención de un ser humano. Para ello deberemos aplicar algoritmos de análisis de patrones y sistemas de aprendizaje automático. Se trata de que la red “aprenda” a defenderse y sea capaz de responder por sí misma.

La «autonomía estratégica» de Europa y nuevos puestos de trabajo

Por supuesto esto requerirá un gran esfuerzo de investigación y desarrollo. Roberto Sánchez cifró en “miles” los puestos de trabajo que se podrían generar. Además, la política de la UE es apoyar estos esfuerzos en aras de lograr la “autonomía estratégica” de la región (evitar la dependencia europea de proveedores asiáticos o americanos). Habrá, por tanto, fondos de fomento de I+D+i para acelerar estos desarrollos.

En síntesis, como le pasaba a las autoridades y empresas del siglo XIV, estamos ante el desafío de adaptarnos a una nueva realidad: la sociedad hiperconectada en la era del milisegundo en esta ocasión. Y, aunque nos cueste ver el resultado final, tenemos las metodologías y las bases de conocimiento para lograrlo.

Imagen: andy carter