Estamos asistiendo a una (r)evolución tecnológica sin precedentes. De hecho, algunos hablan de una cuarta revolución industrial: la Revolución Digital.
Durante las últimas décadas, hemos sido testigos de un desarrollo tecnológico exponencial que hace difícil imaginar lo que está por venir en los próximos 10 o 15 años. Mientras que aún queda bastante para que podamos disfrutar de todos los beneficios del 5G, en el Mobile World Congress 2023 ya se hablaba de 6G.
Las megatendencias generan muchas expectativas y hype, e invitan a reflexionar sobre su ciberseguridad:
- Si hablar de la relevancia de la ciberseguridad puede entenderse como un freno a las expectativas de una tecnología emergente, ¿qué conclusiones podemos extraer?
- Cómo, quién y cuándo ocuparse de la ciberseguridad en 5G. Si no ha sido antes y no debe ser después, ¿existe alguna razón para no aprovechar el momentum?
Estado del despliegue 5G
Hasta la fecha, el despliegue se ha basado en la integración de nuevos equipos radio 5G con las redes 4G existentes (5G NSA – Non Stand Alone) o en actualizaciones del software de los equipos radio 4G (5G DSS – Dynamic Spectrum Sharing).
Si bien ya estamos entrando en la segunda ola del despliegue, no será hasta dentro de 2 o 3 años cuando se perciba un cambio sustancial.
Las características avanzadas de esta quinta generación (baja latencia, ancho de banda, densidad de dispositivos conectados, menor consumo de batería, virtualización de redes …) permitirán habilitar nuevos casos de uso con un enorme poder para transformar la industria y la sociedad, abriendo la puerta a un colosal desarrollo económico venidero.
No hay liderazgo sin inversión. Disfrutar de la tecnología 5G real (5G SA – Stand Alone) exige desplegar nuevas redes 5G, basadas en nuevas arquitecturas. Y, como todo cambio de modelo, no está exento de nuevos riesgos de ciberseguridad.
Contexto regulatorio
Durante 2019, la Comisión Europea y la Agencia Europea de Ciberseguridad (ENISA), en coordinación con los Estados Miembros y los diferentes operadores de telecomunicaciones, completaron un análisis de los riesgos de ciberseguridad en redes 5G, identificando las principales amenazas y vulnerabilidades.
En enero de 2020 se publicó el conjunto de medidas (EU Toolbox for 5G Security) para mitigar las 9 áreas de riesgo identificadas.
Como consecuencia de estas actuaciones, y en cumplimiento de la Recomendación de la Comisión Europea, el Gobierno de España aprobó el RD-Ley de Ciberseguridad 5G que establece, entre otras, las siguientes obligaciones para los operadores:
- Utilizar únicamente elementos de red certificados para la construcción y operación de sus redes 5G.
- Sustituir cualquier elemento de un suministrador de alto riesgo o que haya sido vetado.
- Diversificar la cadena de suministro, redundando los elementos de red con tecnología de al menos 2 fabricantes diferentes.
- Cumplir las especificaciones del Esquema Nacional de Seguridad para Redes y Servicios 5G.
La guerra comercial entre Estados Unidos y China tiene impacto directo en la tecnología 5G. Varios países se han unido al veto que inició EEUU sobre Huawei y ZTE. A pesar de que ni la legislación española ni el EU Toolbox hacen referencia expresa a estas empresas chinas, los reguladores europeos justifican la necesidad de adoptar medidas que garanticen la ciberseguridad de la tecnología 5G y el refuerzo de la autonomía y soberanía tecnológica de la Unión Europea.
La polémica está servida. Mientras, a fuego lento, se cocina el Esquema Europeo de Certificación 5G.
Seguridad 5G por diseño o por defecto
El estándar 5G incorpora numerosas mejoras de seguridad por diseño, con mejores protocolos de autenticación, generalización del cifrado de datos e incremento de la privacidad para el suscriptor, por citar algunas.
Las encuestas revelan que la mayoría de las personas tiende a pensar que, por defecto, es más seguro que 4G, cuando realmente no lo es. El problema es que muchas organizaciones están pensando que los riesgos de ciberseguridad son esencialmente los mismos que en 4G. Desplegar una función de red 5G, que un fabricante entrega previamente certificada, a priori no proporciona el mismo nivel de seguridad que en 4G.
