El estudio de seguridad de HP Wolf revela brechas de seguridad en las plataformas que amenazan a las organizaciones en cada etapa del ciclo de vida de los dispositivos

El informe destaca los desafíos de ciberseguridad que enfrentan las organizaciones a lo largo del ciclo de vida de sus dispositivos terminales, desde fallas en las auditorías de proveedores hasta contraseñas de BIOS débiles, miedo a realizar actualizaciones (FOMU), una epidemia de dispositivos perdidos o robados por $8,6 mil millones y un creciente desperdicio electrónico.

PALO ALTO, California, 12 de diciembre de 2024 – HP Inc. (NYSE: HPQ) publicó hoy un nuevo informe que destaca las implicaciones de gran alcance para la ciberseguridad que tiene no proteger los dispositivos en cada etapa de su ciclo de vida. Los hallazgos muestran que la seguridad de la plataforma (proteger el hardware y el firmware de PC, portátiles e impresoras) a menudo se pasa por alto, lo que debilita la postura de ciberseguridad en los próximos años.
 
El informe, basado en un estudio global de más de 800 tomadores de decisiones de TI y seguridad (ITSDM) y más de 6000 empleados que trabajan desde cualquier lugar (WFA), muestra que la seguridad de la plataforma es una preocupación creciente: el 81 % de los ITSDM está de acuerdo en que la seguridad del hardware y el firmware debe convertirse en una prioridad para garantizar que los atacantes no puedan explotar los dispositivos vulnerables. Sin embargo, el 68 % informa que la inversión en seguridad de hardware y firmware a menudo se pasa por alto en el costo total de propiedad (TCO) de los dispositivos. Esto genera costosos dolores de cabeza en materia de seguridad, gastos generales de gestión e ineficiencias en el futuro.
 
Los hallazgos clave de las cinco etapas del ciclo de vida del dispositivo incluyen:
 

1. Selección de proveedores : además, el 34 % afirma que un proveedor de PC, portátiles o impresoras no ha superado una auditoría de ciberseguridad en los últimos cinco años, y el 18 % afirma que el fallo fue tan grave que rescindió su contrato. El 60 % de los responsables de TI y seguridad afirman que la falta de participación de TI y seguridad en la adquisición de dispositivos pone en riesgo a la organización.
2. Integración y configuración : más de la mitad (53 %) de los responsables de TI afirman que las contraseñas del BIOS se comparten, se usan de forma demasiado amplia o no son lo suficientemente seguras. Además, el 53 % admite que rara vez cambian las contraseñas del BIOS durante la vida útil de un dispositivo.
3. Gestión continua : más del 60 % de los responsables de TI no realizan actualizaciones de firmware tan pronto como están disponibles para computadoras portátiles o impresoras. Otro 57 % de los responsables de TI afirman que tienen miedo de realizar actualizaciones en relación con el firmware. Sin embargo, el 80 % cree que el auge de la IA significa que los atacantes desarrollarán vulnerabilidades más rápido, por lo que es vital realizar actualizaciones rápidamente.
4. Monitoreo y remediación : cada año, los dispositivos perdidos o robados cuestan a las organizaciones aproximadamente $8.6 mil millones ¹ . Uno de cada cinco empleados de WFA ha perdido una PC o le han robado una, y han pasado un promedio de 25 horas antes de notificar al departamento de TI.
5. Second Life y desmantelamiento: casi la mitad (47 %) de los ITSDM dicen que las preocupaciones sobre seguridad de los datos son un obstáculo importante cuando se trata de reutilizar, revender o reciclar PC o portátiles, mientras que el 39 % dice que es un obstáculo importante para las impresoras.

«Comprar PC, portátiles o impresoras es una decisión de seguridad que tiene un impacto a largo plazo en la infraestructura de puntos finales de una organización. La priorización, o la falta de ella, de los requisitos de seguridad de hardware y firmware durante la adquisición puede tener ramificaciones a lo largo de toda la vida útil de una flota de dispositivos (desde una mayor exposición al riesgo hasta un aumento de los costes o una experiencia de usuario negativa) si los requisitos de seguridad y capacidad de gestión se establecen demasiado bajos en comparación con el estado del arte disponible», advierte Boris Balacheff, director de tecnología de investigación e innovación en seguridad de HP Inc.

Balacheff continúa: «Es esencial que las infraestructuras de dispositivos de los usuarios finales se vuelvan resistentes a los riesgos cibernéticos. Esto comienza con la priorización de la seguridad del hardware y el firmware y la mejora de la madurez de la forma en que se gestionan a lo largo de todo el ciclo de vida de los dispositivos de toda la flota».

De la fábrica a la punta de los dedos: los descuidos en el proceso de selección de proveedores y las limitaciones de incorporación y configuración afectan la seguridad del dispositivo a lo largo de su ciclo de vida.

Los hallazgos resaltan la creciente necesidad de que la TI y la seguridad sean parte del proceso de adquisición de nuevos dispositivos, para establecer los requisitos y verificar las afirmaciones de seguridad de los proveedores:

• El 52% de los responsables de TI afirman que los equipos de adquisiciones rara vez colaboran con TI y seguridad para verificar las afirmaciones de seguridad de hardware y firmware de los proveedores.
• El 45% de los ITSDM admiten que deben confiar en que los proveedores digan la verdad, ya que no tienen los medios para validar las afirmaciones de seguridad de hardware y firmware en las RFP.
• El 48% de los ITSDM incluso dicen que los equipos de compras son como “corderos en el matadero”, ya que creen cualquier cosa que digan los proveedores.

Los profesionales de TI también están preocupados por las limitaciones de su capacidad para integrar y configurar dispositivos hasta el nivel de hardware y firmware sin problemas.

• El 78% de los ITSDM desean una incorporación sin intervención a través de la nube que incluya la configuración de seguridad de hardware y firmware para mejorar la seguridad.
• El 57% de los ITSDM se sienten frustrados por no poder integrar y configurar dispositivos a través de la nube.
• Casi la mitad (48%) de los trabajadores de WFA que recibieron un dispositivo en su domicilio se quejaron de que el proceso de incorporación y configuración era disruptivo.

“Siempre necesitará elegir proveedores de tecnología en los que pueda confiar. Pero cuando se trata de la seguridad de los dispositivos que sirven como puntos de entrada a su infraestructura de TI, no se debe confiar ciegamente”, comenta Michael Heywood, director de seguridad de la información empresarial, seguridad cibernética de la cadena de suministro en HP Inc. “Las organizaciones necesitan pruebas sólidas: informes técnicos, documentación detallada, auditorías periódicas y un proceso de validación riguroso para garantizar que se cumplan las demandas de seguridad y que los dispositivos se puedan incorporar de forma segura y eficiente”.

Desafíos y frustraciones en torno a la gestión, el monitoreo y la reparación continuos de los dispositivos

El 71% de los ITSDM afirman que el aumento de los modelos de trabajo desde cualquier lugar ha dificultado la gestión de la seguridad de la plataforma, lo que afecta la productividad de los trabajadores y crea comportamientos riesgosos:

• Uno de cada cuatro empleados preferiría soportar una computadora portátil de bajo rendimiento antes que pedirle al departamento de TI que la arregle o la reemplace porque no puede permitirse el tiempo de inactividad.
• El 49% de los empleados han enviado su computadora portátil a reparar y dicen que tardaron más de 2,5 días en arreglar o reemplazar el dispositivo, lo que obligó a muchos a usar su computadora portátil personal para trabajar o a pedir prestada una a familiares o amigos, desdibujando las líneas entre el uso personal y profesional.
• El 12% hizo que un proveedor externo no autorizado reparara un dispositivo de trabajo, lo que potencialmente comprometió la seguridad de la plataforma y nubló la visión de TI sobre la integridad del dispositivo.

Monitorear y solucionar las amenazas de hardware y firmware para evitar que los actores de amenazas accedan a datos confidenciales y sistemas críticos es vital. Sin embargo, el 79 % de los ITSDM afirman que su comprensión de la seguridad de hardware y firmware está por detrás de su conocimiento de la seguridad de software. Además, carecen de herramientas maduras que les brinden la visibilidad y el control que desean para administrar la seguridad de hardware y firmware en sus flotas:

• El 63% de los ITSDM afirman que enfrentan múltiples puntos ciegos en torno a vulnerabilidades y configuraciones incorrectas del hardware y firmware del dispositivo.
• El 57% no puede analizar el impacto de eventos de seguridad pasados ​​en el hardware y el firmware para evaluar los dispositivos en riesgo.
• El 60% dice que la detección y mitigación de ataques de hardware o firmware es imposible y considera que la reparación posterior a la violación es el único camino.

“La reparación posterior a una vulneración es una estrategia perdedora cuando se trata de ataques de hardware y firmware”, advierte Alex Holland, investigador principal de amenazas en el Laboratorio de seguridad de HP. “Estos ataques pueden otorgar a los adversarios un control total sobre los dispositivos, incrustándose profundamente en los sistemas. Las herramientas de seguridad tradicionales son ciegas a estas amenazas, ya que tienden a centrarse en las capas del sistema operativo y del software, lo que dificulta la detección.Es casi imposible. Prevenir o contener estos ataques en primer lugar es fundamental para mantenerse a la vanguardia, o de lo contrario las organizaciones corren el riesgo de una amenaza que no pueden ver y que no pueden eliminar”.

Segunda vida y desmantelamiento: cómo las preocupaciones por la seguridad de los datos están provocando una epidemia de desechos electrónicos

Las preocupaciones sobre la seguridad de la plataforma también están impidiendo la capacidad de las organizaciones de reutilizar, reciclar o revender dispositivos al final de su vida útil:

• El 59% de los ITSDM dicen que es muy difícil darle una segunda vida a los dispositivos y por eso a menudo los destruyen por preocupaciones de seguridad de los datos.
• El 69% dice que tiene una cantidad significativa de dispositivos que podrían reutilizarse o donarse si pudieran desinfectarlos.
• El 60% de los ITSDM admiten que su incapacidad para reciclar y reutilizar computadoras portátiles perfectamente utilizables está dando lugar a una epidemia de desechos electrónicos.

Para complicar aún más las cosas, muchos empleados utilizan dispositivos de trabajo antiguos. Esto no solo impide que los dispositivos se reutilicen, sino que también genera riesgos de seguridad de datos en relación con los dispositivos huérfanos que aún pueden contener datos corporativos.

• El 70% de los empleados de WFA tienen al menos una computadora/computadora portátil de trabajo antigua en casa o en su espacio de trabajo de la oficina.
• El 12% de los trabajadores de WFA han dejado un trabajo sin devolver su dispositivo de inmediato, y casi la mitad de ellos afirman que nunca lo hicieron.

“Los equipos de TI están acumulando dispositivos al final de su vida útil porque no tienen la seguridad de que todos los datos confidenciales o personales de la empresa se hayan borrado por completo, lo que“La eliminación de datos en sí misma puede plantear riesgos de seguridad de datos e impactar negativamente en los objetivos ESG. Encontrar un proveedor de eliminación de activos de TI de buena reputación que utilice los últimos procesos de eliminación de medios o de destrucción de medios estándar de la industria y que proporcione un certificado de desinfección de datos para que pueda cumplir con los requisitos de cumplimiento es clave”, comenta Grant Hoffman, vicepresidente sénior de operaciones y cartera de HP Solutions.

Se necesita un nuevo enfoque del ciclo de vida del dispositivo para mejorar la seguridad de la plataforma

Más de dos tercios (69 %) de las organizaciones afirman que su enfoque para gestionar la seguridad del hardware y el firmware de los dispositivos solo aborda una pequeña parte de su ciclo de vida. Esto deja a los dispositivos expuestos y a los equipos incapaces de supervisar y controlar la seguridad de la plataforma desde la selección del proveedor hasta el desmantelamiento.

Para gestionar la seguridad de la plataforma durante todo el ciclo de vida, las recomendaciones de HP Wolf Security incluyen:  

• Selección de proveedores: asegúrese de que los equipos de TI, seguridad y adquisiciones trabajen juntos para establecer requisitos de seguridad y resiliencia para nuevos dispositivos, validar las afirmaciones de seguridad de los proveedores y auditar la gobernanza de seguridad de fabricación de los proveedores.
• Incorporación y configuración: investigue soluciones que permitan la incorporación segura y sin intervención de dispositivos y usuarios, y la gestión segura de configuraciones de firmware que no dependan de una autenticación débil como las contraseñas del BIOS.
• Gestión continua: identifique las herramientas que ayudarán al departamento de TI a supervisar y actualizar la configuración de los dispositivos de forma remota e implementar actualizaciones de firmware rápidamente para reducir la superficie de ataque de su flota.
• Monitoreo y remediación: asegúrese de que los equipos de TI y seguridad puedan encontrar, bloquear y borrar datos de los dispositivos de forma remota, incluso de aquellos que están apagados, para reducir el riesgo de pérdida o robo de dispositivos. Mejore la resiliencia mediante el monitoreo de los registros de auditoría de los dispositivos para identificar riesgos de seguridad de la plataforma, como la detección de cambios no autorizados de hardware y firmware y señales de explotación.
• Segunda vida y desmantelamiento: priorice los dispositivos que puedan borrar de forma segura datos confidenciales de hardware y firmware para permitir un desmantelamiento seguro. Antes de volver a implementar dispositivos, intente auditar su historial de servicio de por vida para verificar la cadena de custodia y la integridad del hardware y el firmware.

Para obtener más información y recomendaciones, descargue el informe completo ‘Cómo proteger el ciclo de vida del dispositivo: desde la fábrica hasta la palma de la mano y la redistribución futura’ aquí .

Acerca de los datos

1. Muestra de WFA: encuesta a 6055 trabajadores de oficina que trabajan de forma híbrida, a distancia o desde cualquier lugar de EE. UU., Canadá, Reino Unido, Japón, Alemania y Francia. El trabajo de campo se llevó a cabo del 22 ^al 30 ^de mayo de 2024. La encuesta fue realizada en línea por Censuswide.
2. Muestra de ITSDM: encuesta a 803 responsables de la toma de decisiones en materia de TI y seguridad en Estados Unidos, Canadá, Reino Unido, Japón, Alemania y Francia. El trabajo de campo se llevó a cabo del 22 ^de febrero al 5 ^de marzo de 2024. La encuesta fue realizada en línea por Censuswide. HP News. Traducido al español