Con la evolución hacía las redes todo IP, estas están expuestas a nuevas amenazas al tiempo que la sofisticación de los ataques va en aumento. La introducción de 4G y voz sobre 4G (VoLTE) también expone las redes móviles a nuevos riesgos por la interconexión de redes, el roaming nacional e internacional y el Internet de las cosas (IoT).
Por todo ello, Blue Telecom Consulting (BlueTC®) recomienda que los aspectos de seguridad sean tratados de manera integral por los operadores, con una visión holística, y que sea impulsado por la alta dirección. Además, sugiere contar con expertos externos de seguridad por su valor añadido en el análisis de riesgos y recomendaciones de medidas de seguridad.
Hace tres años, BlueTC se convirtió en socio de NextGen, Inc., una compañía líder en seguridad de redes en Japón que además ofrece soluciones de IP Multimedia Subsystem (IMS) y voz sobre IP (VoIP) a operadores. Esa experiencia nos ha convertido en líderes en el área de seguridad de redes móviles en Europa. También nos ha impulsado a contribuir a una iniciativa sectorial europea que pretende ofrecer un conjunto de directrices común en esa área tan compleja.
Nuevos tipos de riesgos y vulnerabilidades
Es bien conocida la preocupación por el aspecto de fraude en las nuevas generaciones de redes móviles. Pero hasta ahora el posible daño en caso de vulnerabilidades en el núcleo del IMS no ha recibido la misma atención. En caso de ataques, y de no contar con la protección debida, se podría ver afectado el servicio, causando interrupciones o un deterioro en el rendimiento.
A pesar de las muchas medidas ya tomadas por los operadores para proteger su infraestructura de red, la realidad es que hemos entrado en una era donde una serie de nuevas aplicaciones y servicios emplean sus redes y sistemas. Además, a medida que las redes basadas en IP sustituyan a las infraestructuras con conmutación de circuitos, opinamos que los operadores móviles se enfrentan a nuevos y diferentes tipos de riesgos de seguridad y vulnerabilidades.
Validaciones externas requeridas
Para establecer las mejores prácticas en el área de seguridad normalmente es necesario contar con expertos, como las consultoras especializadas. Esas aportan su conocimiento, metodologías y herramientas especializados. De entrada, es imperativo disponer de una biblioteca actualizada de amenazas, tanto un gran número de casos de amenazas ya conocidos como teóricos, o potenciales. El servicio de validación ha de ser eficiente en cuanto a costes y tiempo y bien planificado. Por razones de seguridad, el proceso de validación se tiene que realizar a modo de prueba en un entorno de laboratorio.
Además de tener acceso a las bases de datos actualizadas con las amenazas conocidas hasta la fecha, el valor añadido más importante que aporta una validación externa es el análisis de los resultados de las pruebas y cómo mitigar riesgos identificados. Esos deben de ser clasificados según su gravedad para poder contar con una visión global de las amenazas, que a la vez permite tratar las cuestiones más urgentes primero. Todo este proceso proporciona al máximo responsable de seguridad del operador un marco para la gestión de la seguridad muy útil y práctico.
Por último se recomienda que los operadores revisen y vuelven a validar sus configuraciones de sistema con cierta periodicidad, y que de esa forma establezcan un proceso de mejora continua en esa área. Para una mayor protección se pueden incorporar sistemas avanzados de monitorización de riesgos con predicción de ataques.
Este artículo de opinión es una adaptación de uno publicado en inglés en VanillaPlus el 15 de noviembre de 2016.
Miguel Ángel García Matatoros
Director General
Blue Telecom Consulting