¿Deberíamos seguir el ejemplo de la NHTSA?

La Administración Nacional de Seguridad del Tráfico en las Carreteras de EE. UU. (NHTSA) está abordando este problema misión: “Salvar vidas, prevenir lesiones y reducir los costos económicos de los accidentes de tránsito a través de la educación, la investigación, los estándares de seguridad y la aplicación de la ley”. ¿Es hora de crear una organización similar dedicada a la seguridad del software de consumo? La misión sería prácticamente la misma: garantizar que el software cumpla con los estándares básicos de seguridad y sea fácil de entender, implementar y mantener para los consumidores.

Hoy en día, los automóviles deben cumplir una norma básica de seguridad antes de salir a la venta al público, pero el software no. ¿Cómo podemos hacer que sea más fácil para todos los estadounidenses protegerse a sí mismos y a sus datos de los delitos digitales?

Cumplir con los requisitos básicos de seguridad.

La aplicación de Uber para Android tiene más de 10 millones de líneas de código (Había sólo unos 10.000 en el lanzamiento), casi tantos como el sistema operativo típico de un teléfono inteligente, que contiene alrededor de 12 millones de líneas de código. Hay miles de configuraciones disponibles en los teléfonos inteligentes. Muchos comprometen la seguridad y la privacidad y son configurables por el usuario final, lo cual es importante para la mayoría de los usuarios. Desafortunadamente, muchos usuarios de software y dispositivos no se dan cuenta de que deben considerar cuidadosamente cada una de estas configuraciones. No sólo porque ellos configuración incorrecta Podrían exponerlos a posibles atacantes, pero también protegerlos de intentos legítimos de utilizar sus datos de maneras que puedan exponerlos más de lo que creen.

Pocos programas de software y dispositivos protegen de forma predeterminada a los usuarios de la exposición a ataques o del acceso excesivo a datos, lo que convierte a los consumidores en un blanco fácil para actores malintencionados. Para aumentar la seguridad del software, las funciones de seguridad deben estar presentes de forma predeterminada, pero los usuarios también deben aprovecharlas para que sean efectivas.

Crear evaluaciones de seguridad

Un problema con la seguridad del software de consumo es que los fabricantes de software y dispositivos no advierten a los usuarios sobre los peligros de usarlo con la configuración predeterminada. Existen muchas agencias de calificación que comunican el perfil de seguridad de sus vehículos a los clientes. La NHTSA proporciona calificaciones de seguridad de vehículos para ayudar a los consumidores a seleccionar los vehículos más seguros y mantenerse informados fácilmente sobre los retiros del mercado. También está el Instituto de Seguros para la Seguridad en las Carreteras (IIHS), una organización independiente sin fines de lucro que realiza investigaciones y evaluaciones para educar a los consumidores, formuladores de políticas y profesionales de la seguridad. Los consumidores pueden utilizar la información de estas organizaciones para equilibrar la funcionalidad deseada con importantes características de seguridad. Esto permite a los consumidores tomar una decisión consciente en cuanto a funcionalidad y seguridad al elegir un vehículo.

Es comprensible que sea una tarea desalentadora para los desarrolladores de software realizar pruebas exhaustivas del software antes de su lanzamiento para identificar y corregir todos los errores posibles. Es un proceso largo, complejo y propenso a errores. Sin embargo, la Casa Blanca presionó para que así fuera. Mejorando la cadena de suministro de software en el apartado 4 del Orden Ejecutiva para Mejorar la Ciberseguridad del País. Aunque es difícil (y tal vez incluso imposible) lanzar software libre de errores, no es difícil advertir a los clientes que deben revisar y cambiar la configuración predeterminada.

Esta advertencia debe incluirse en todas las aplicaciones y dispositivos de software. Idealmente, debería ser más fácil acceder a él que una página de términos y condiciones larga y difícil de leer o un pequeño trozo de papel mal traducido en la caja del dispositivo. Debe ser fácil de leer y comprender de un vistazo y no requiere lupa, familiaridad con el lenguaje jurídico y mucha paciencia.

Además de advertir a los consumidores que usar la configuración predeterminada de una aplicación puede ser riesgoso, podríamos avanzar hacia un sistema de calificación que permita a los consumidores saber que lo que están comprando es inherentemente riesgoso para que sean conscientes de que pueden hacer los mismos compromisos que hacen al elegir. un vehículo. Por ejemplo, un sistema de calificación podría considerar:

• La forma en que un sistema operativo o aplicación en particular ha sido atacado en el pasado.
• La cantidad de parches de seguridad necesarios a lo largo del tiempo para que la aplicación sea más segura.
• Las características de seguridad de la aplicación, como cifrado, autenticación y autorización.
• Las prácticas de privacidad de la organización, incluida la forma en que se recopila y utiliza la información del usuario.

Esto podría alejar a un usuario de un producto, o al menos aumentar su conocimiento de su perfil de seguridad con el tiempo. Por ejemplo, algunos navegador web Se sabe que son fundamentalmente más riesgosos que otros. ¿Qué pasaría si proporcionaran una calificación de seguridad por adelantado? Los usuarios pueden confiar en esta evaluación para decidir si están dispuestos a hacer concesiones entre funcionalidad y seguridad.

El papel del consumidor en la seguridad del software

Debido a que los usuarios tienen tanto software en sus manos todo el día, todos los días, es esencial que realicen su propia auditoría de seguridad y privacidad del software y los dispositivos que utilizan. La mayoría de los usuarios sólo se centran en configurar las funciones y aplicaciones que son importantes para ellos. Si bien algunas son características de usabilidad importantes, los usuarios también deben ser conscientes de que hay mucho más. Las aplicaciones que utilizan interactúan con la configuración del sistema operativo, lo que puede hacer que la aplicación los ponga en mayor riesgo.

Nuestro papel como educadores de seguridad y proveedores de software debe ser instar a los usuarios a revisar todas las configuraciones predeterminadas de los nuevos dispositivos y software listos para usar y realizar los cambios necesarios. Desafortunadamente, esta no es una tarea fácil para la mayoría de los usuarios.

Actualmente hay guías disponibles para ayudar a los usuarios a configurar ajustes clave y permitirles decidir el equilibrio entre funcionalidad, seguridad y privacidad. Por ejemplo, Consumer Reports publicó su “Guía de privacidad y seguridad digital«para ayudar a los consumidores a mantenerse seguros en línea, controlar el seguimiento en línea y proteger teléfonos y computadoras portátiles de los atacantes. Si bien estas guías son útiles, muy pocas personas las leen y usan. Un sistema de calificación de seguridad simple orientado hacia requisitos más amplios Políticas de ciberseguridad La administración actual podría garantizar que los consumidores comprendan los conceptos básicos de cómo mantenerse a sí mismos (y a su software y dispositivos) seguros y protegidos.