Las obligaciones en materia de interceptación legal en el ámbito del IoT se están ampliando rápidamente a medida que proliferan los dispositivos conectados en las redes. El Internet de las cosas (IoT) está transformando sectores que van desde la logística y la agricultura hasta la sanidad y las ciudades inteligentes. Miles de millones de dispositivos conectados se comunican actualmente a través de redes móviles y fijas, generando enormes cantidades de datos de máquina a máquina (M2M). Para los operadores de telecomunicaciones —especialmente aquellos que ofrecen conectividad de redes de área amplia de baja potencia (LPWAN) y servicios M2M—, este crecimiento no solo supone una oportunidad comercial, sino también un aumento de las obligaciones normativas, incluida la interceptación legal.
La aplicación de las obligaciones de interceptación legal a las comunicaciones del IoT y M2M es un ámbito regulatorio en desarrollo, pero la tendencia es clara: a medida que el tráfico del IoT crece y cobra mayor relevancia para las investigaciones penales, los organismos reguladores y las fuerzas del orden esperan cada vez más que los operadores sean capaces de interceptar estas comunicaciones. Este artículo analiza la situación actual de las obligaciones de interceptación legal para los operadores de IoT, los retos técnicos que ello conlleva y las medidas que los operadores deberían adoptar para prepararse.
Por qué es importante la interceptación legal en el ámbito del IoT
La cuestión de si las comunicaciones del IoT y M2M entran dentro del ámbito de aplicación de las obligaciones de interceptación lícita es, ante todo, de carácter jurídico, y la respuesta varía según la jurisdicción. En la Unión Europea, la obligación de facilitar la interceptación lícita se aplica, en general, a los proveedores de servicios de comunicaciones electrónicas disponibles para el público. La clasificación de la conectividad del IoT como servicio público de comunicaciones electrónicas depende de la naturaleza del servicio, de la relación con el usuario final y de la aplicación nacional específica del marco normativo de la UE.
En Alemania, el TKÜV (Telekommunikations-Überwachungsverordnung) se aplica a todos los proveedores de servicios de telecomunicaciones disponibles al público, y la BNetzA ha indicado que los operadores que prestan servicios de conectividad para el IoT podrían entrar en su ámbito de aplicación en función de la naturaleza de su oferta. En otros Estados miembros de la UE, la situación no está definida de forma tan explícita, pero la tendencia general apunta hacia una aplicación más amplia de las obligaciones en materia de inteligencia de datos a medida que los servicios de IoT se generalizan y que las fuerzas del orden identifican nuevos casos de uso de los datos del IoT.
Incluso cuando la normativa sea ambigua, los operadores deben tener en cuenta la realidad práctica: si las fuerzas del orden presentan una orden de interceptación válida relativa a un dispositivo de IoT de su red, se esperará que la cumplan. Un operador que no pueda demostrar su capacidad para facilitar la interceptación de las comunicaciones de IoT se expone a un riesgo normativo, independientemente de si la obligación legal está definida explícitamente para los servicios de IoT en la jurisdicción correspondiente.
Por qué los datos del IoT son importantes para las fuerzas del orden
Los dispositivos del IoT generan datos que pueden resultar muy relevantes para las investigaciones penales. Los vehículos conectados generan datos de ubicación, patrones de conducción y registros de comunicaciones. Los dispositivos domésticos inteligentes registran datos ambientales, patrones de uso y, en algunos casos, audio o vídeo. Los dispositivos de salud portátiles recogen datos biométricos y patrones de movimiento. Los sensores industriales del IoT pueden revelar actividades operativas, movimientos de la cadena de suministro y condiciones ambientales. Incluso los dispositivos M2M más sencillos, como las máquinas expendedoras o los contadores de servicios públicos, generan datos de ubicación y uso que pueden resultar relevantes en determinadas investigaciones.
A medida que las fuerzas del orden son cada vez más conscientes del potencial de los datos del IoT para la investigación, es cada vez más probable que soliciten a los operadores del IoT la interceptación o la divulgación de datos. Los operadores que no puedan responder a estas solicitudes se enfrentan no solo a consecuencias normativas, sino también al riesgo de que las fuerzas del orden los consideren poco cooperativos, lo que puede tener implicaciones más amplias para la relación del operador con los organismos reguladores.
Retos técnicos del IoT LI
La implementación de la interceptación legal de las comunicaciones de IoT y M2M plantea varios retos técnicos que difieren significativamente de la interceptación tradicional de voz y datos. El primero es la diversidad de protocolos de comunicación. Los dispositivos del IoT se comunican mediante una amplia gama de protocolos —MQTT, CoAP, LwM2M, HTTP y protocolos propios— a través de diversas tecnologías de red, entre las que se incluyen LTE-M, NB-IoT, LoRaWAN, Sigfox y satélite. Cada protocolo y tecnología de red presenta características diferentes que influyen en la forma en que se puede llevar a cabo la interceptación.
El segundo reto es el volumen y el patrón de las comunicaciones. A diferencia de las llamadas de voz o las sesiones de navegación web, las comunicaciones del IoT suelen ser breves, poco frecuentes y de bajo ancho de banda. Un sensor puede transmitir unos pocos bytes de datos cada hora. Este patrón hace que los enfoques tradicionales de interceptación basados en sesiones sean menos pertinentes y requiere sistemas de interceptación de datos (LI) capaces de capturar transmisiones de datos individuales en lugar de sesiones continuas.
El tercer reto es la identificación de los objetivos. Los dispositivos del IoT pueden identificarse mediante el IMSI, el IMEI, la dirección IP o identificadores específicos del dispositivo que no se corresponden con las identidades tradicionales de los abonados. Asignar estos identificadores a un objetivo concreto —especialmente cuando el dispositivo es propiedad de una organización y no de un particular— puede resultar complejo. El sistema LI debe admitir una gama más amplia de tipos de identificadores y debe ser capaz de asociar dichos identificadores a dispositivos y flujos de datos específicos dentro de la red.
El cuarto reto se refiere al cifrado y la seguridad. Muchos protocolos de IoT implementan el cifrado en la capa de aplicación, lo que significa que el operador puede capturar el tráfico cifrado, pero no acceder al contenido. Las implementaciones de DTLS y TLS utilizadas por CoAP y MQTT, por ejemplo, pueden cifrar la carga útil de la aplicación de tal forma que el operador no pueda descifrarla. Esta limitación debe comunicarse de forma transparente a las fuerzas del orden al responder a las solicitudes de interceptación.
Un quinto reto es la enorme magnitud de las implementaciones del IoT. Un operador puede tener millones de dispositivos IoT en su red, y el sistema de interceptación en línea (LI) debe ser capaz de identificar e interceptar de manera eficiente dispositivos específicos dentro de esta gran población. Es posible que los sistemas utilizados para gestionar las interceptaciones tradicionales basadas en abonados no puedan adaptarse eficazmente a poblaciones de dispositivos a escala del IoT sin modificaciones.
Consideraciones específicas sobre LPWAN
Las tecnologías LPWAN —entre las que se incluyen NB-IoT, LTE-M, LoRaWAN y Sigfox— presentan características específicas que influyen en la implementación de la LI. NB-IoT y LTE-M operan dentro del ecosistema 3GPP y se gestionan a través de la red central celular. En principio, los mismos mecanismos de LI que se aplican a otros servicios de telefonía móvil pueden aplicarse al tráfico de NB-IoT y LTE-M. Sin embargo, el bajo ancho de banda y la naturaleza intermitente del tráfico requieren sistemas de LI capaces de capturar transmisiones de datos individuales en lugar de sesiones continuas.
LoRaWAN y Sigfox operan al margen del ecosistema 3GPP y utilizan arquitecturas de red propias o basadas en estándares abiertos. La aplicación de la interceptación de datos (LI) a estas tecnologías está menos definida en términos de estándares, por lo que es posible que los operadores tengan que desarrollar soluciones de interceptación a medida. La arquitectura de red de LoRaWAN, por ejemplo, incluye pasarelas, servidores de red y servidores de aplicaciones, y es posible que el punto de interceptación deba situarse a nivel del servidor de red para capturar el tráfico antes de que se reenvíe a la capa de aplicación.
IRI y CC para las comunicaciones del IoT
Es posible que las estructuras de datos IRI del ETSI, diseñadas principalmente para las comunicaciones de voz y datos, no recojan en su totalidad los metadatos relevantes para las comunicaciones del IoT. Los metadatos específicos del IoT —como el tipo de dispositivo, las lecturas de los sensores, la versión del firmware, los parámetros operativos y la pertenencia a grupos de dispositivos— pueden ser importantes para las investigaciones policiales, pero no están contemplados en las definiciones estándar de los IRI. Es posible que los operadores tengan que ampliar sus capacidades de generación de IRI para incluir elementos de datos específicos del IoT, quizá en coordinación con la autoridad nacional responsable de los LI.
El contenido de las comunicaciones del IoT suele tener un volumen mucho menor que el de las sesiones de voz o de datos, pero puede presentar una mayor diversidad de formatos. El contenido de una transmisión del IoT puede ser una carga útil JSON, una lectura binaria de un sensor, un mensaje de Protocol Buffers o un formato de datos propio. El sistema de LI debe ser capaz de capturar y entregar este contenido en un formato que las fuerzas del orden puedan procesar y analizar. En muchos casos, el enfoque más práctico consistirá en proporcionar la carga útil del protocolo en bruto junto con los metadatos IRI.
Preparación para las obligaciones relacionadas con el IoT LI
Los operadores que prestan servicios de IoT y M2M deben adoptar medidas proactivas para prepararse para las obligaciones en materia de LI, incluso cuando los requisitos normativos aún no estén plenamente definidos. En primer lugar, evalúen la situación normativa en cada mercado en el que operen, consultando con asesores jurídicos y con la autoridad reguladora nacional pertinente. En segundo lugar, evalúe sus capacidades actuales en materia de LI en relación con los requisitos específicos de la interceptación de datos del IoT, identificando las deficiencias en la identificación de objetivos, la captura de tráfico, la generación de IRI y la entrega de CC.
En tercer lugar, elabora una hoja de ruta técnica para mejorar tus capacidades de LI con el fin de facilitar la interceptación del IoT. Esta hoja de ruta debe abordar la integración de los elementos de red del IoT con la función de mediación de LI, la ampliación de la identificación de objetivos para incluir los identificadores de dispositivos del IoT y la captura de metadatos y contenidos específicos del IoT. En cuarto lugar, colabore con su proveedor de soluciones de LI para conocer su hoja de ruta en materia de compatibilidad con el IoT y para influir en sus prioridades de desarrollo en función de sus necesidades.
Por último, documenta tu enfoque respecto al cumplimiento de la normativa sobre IoT LI, incluyendo cualquier limitación en tus capacidades actuales y las medidas que estás adoptando para subsanarlas. Esta documentación resultará muy útil para demostrar ante las autoridades reguladoras que actúas de buena fe en el cumplimiento de la normativa, incluso si tus capacidades aún no han alcanzado su plena madurez.
Conclusión
El crecimiento de las comunicaciones del IoT y M2M está generando nuevas obligaciones en materia de interceptación legal para los operadores, impulsadas tanto por la evolución de la normativa como por la creciente relevancia de los datos del IoT en las investigaciones. Si bien los retos técnicos de la interceptación legal del IoT son significativos —y abarcan la diversidad de protocolos, los patrones de tráfico, la identificación de objetivos, el cifrado y la escala—, no son insuperables. Los operadores que analicen su exposición normativa, evalúen sus capacidades técnicas e inviertan en soluciones de interceptación compatibles con el IoT estarán bien posicionados para cumplir estas nuevas obligaciones y mantener el cumplimiento normativo a medida que el ecosistema del IoT siga creciendo.
La intersección entre el IoT y la interceptación legal también plantea cuestiones más amplias sobre el alcance de la vigilancia en un mundo cada vez más conectado. A medida que los objetos cotidianos se conectan a la red y generan flujos de datos, la frontera entre la interceptación de comunicaciones y la recopilación de datos en general se vuelve menos clara. Los operadores deberían colaborar de forma proactiva con los organismos reguladores y los organismos del sector para ayudar a dar forma al marco emergente de la interceptación legal en el IoT, aportando conocimientos técnicos prácticos para garantizar que los requisitos resultantes sean eficaces para las fuerzas del orden y aplicables por parte de los operadores.
El alcance de las obligaciones en materia de interceptación legal en el ámbito del IoT varía según la jurisdicción y el tipo de servicio. Los operadores deben identificar los requisitos de interceptación legal en el ámbito del IoT en una fase temprana de la planificación de su despliegue.
Artículos relacionados
Si desea leer más sobre temas relacionados, consulte estos artículos:
- El «network slicing» en 5G SA: cómo complica (y puede simplificar) la selección de objetivos de LI
- eSIM e interceptación legal: Qué significa la arquitectura RSP para el cumplimiento de la normativa
- OMV vs. OMR: ¿Quién es legalmente responsable de la interceptación legal?
Recursos externos
Los siguientes recursos externos proporcionan contexto adicional y documentación oficial:
