Una lista de verificación de seguridad de ICS

En la ciberseguridad tradicional, una infracción puede exponer, corromper o incluso mantener cautivos los sistemas de datos empresariales. .

Si bien una violación de datos tradicional puede costar dinero y debilitar los sistemas de TI de la empresa, un ataque cibernético a los sistemas de control industrial puede afectar los datos y las operaciones de misión crítica. Dado que los sistemas de control industrial controlan todo, desde plantas de energía nuclear hasta refinerías, redes eléctricas, fábricas y equipo pesado, la seguridad del ICS es vital.

Si bien los sistemas de TI son hardware en software en entornos empresariales tradicionales, los sistemas de control industrial, a veces conocidos como tecnología operativa (OT), abarcan dispositivos, sistemas y redes para operar y / o automatizar procesos industriales.

Aquí, ofrecemos un conjunto de principios de seguridad de ICS para ayudar a los profesionales de la industria a reducir su riesgo de ciberseguridad.

1. Comprenda sus activos

La mayoría de las organizaciones industriales no están preparadas para técnicas avanzadas de ciberseguridad. Deben comenzar con lo básico. "La mayoría de las organizaciones no saben qué tecnología han implementado", dijo Bill Malik, vicepresidente de estrategias de infraestructura de Trend Micro.

Parte del desafío es el hecho de que los activos de tecnología operativa a menudo difieren de los activos de TI, dijo Jason Haward-Grau, director de seguridad de la información de PAS. Un servidor en un centro de datos, por ejemplo, es un activo de TI. Pero un sistema en una sala de servidores en una planta es una "capacidad que lo lleva a un activo", agregó. "Ejecutará un sistema de control para PLC [controladores lógicos programables], SCADA [control de supervisión y adquisición de datos] o sistemas DCS [sistema de control distribuido]".

Por lo tanto, contar servidores, direcciones IP o conmutadores de red no capturará la imagen completa. "Hay una tonelada de sistemas [industriales] que no están en una red formal", dijo Haward-Grau. Otro desafío es el envejecimiento de los equipos. “Todavía hay tecnología de las décadas de 1960 y 1970 en el centro de muchas plantas”, agregó.

En la empresa, realizar una evaluación de vulnerabilidad o establecer un inventario de activos es generalmente sencillo, esas mismas acciones en el mundo de OT e ICS generalmente no lo son. Hacer una verificación de inventario "en el entorno de OT podría hacer caer un dispositivo o un entorno completo", dijo Sean Peasley, líder de seguridad de IoT del socio de asesoría financiera y de riesgos de Deloitte. Los proveedores de seguridad de ICS especializados pueden hacer un inventario de dispositivos de forma pasiva, dijo.

2. Busque ayuda en Frameworks

Asegurar la infraestructura industrial puede ser un desafío, pero existe un creciente cuerpo de estándares que pueden ayudar. Tener un marco común que incluya la ciberseguridad puede cerrar la brecha entre TI y OT y fomentar "una mentalidad holística" en toda una organización industrial, dijo Peasley.

Existe una superposición considerable entre la mayoría de los estándares de ICS, dijo Haward-Grau. “Empiece con un marco. No me importa cuál ", aconsejó.

Los estándares y marcos relevantes incluyen los siguientes:

• Los principios estratégicos del DHS para proteger la Internet de las cosas
• ISA / IEC 62443
• ISO / IEC 27001
• Marco MITRE ATT &CK para sistemas de control industrial
• NERC CIP
• Marco de ciberseguridad del NIST, Guía del NIST para la seguridad de los sistemas de control industrial (ICS) y Recomendaciones del NIST para los fabricantes de dispositivos de IoT
• Normas UL 2900

3. Tenga un plan de recuperación ante desastres cibernéticos

Si bien los documentos estándar de ciberseguridad suelen ser densos, al final del día, un marco debe permitir al personal discutir la ciberseguridad en un inglés sencillo y brindarles un plan sobre cómo responder a escenarios de pesadilla cibernética. “[Con] los marcos, estamos hablando de, '¿Cómo identifico y protejo las cosas? ¿Cómo detectaré, responderé y, lo que es más importante, me recuperaré de [ciberataques]? ", Dijo Haward-Grau.

4. Invierta en ciberseguro

Debido a que los ataques cibernéticos a menudo causan que el ciberseguro sea invaluable. Sin embargo, adquirir un seguro no es sencillo. Los equipos industriales heredados son comunes, por lo que tiene más sentido asegurar los procesos industriales en lugar de la tecnología específica, según Haward-Grau. "Si tengo cosas que no puedo parchear, la aseguradora cibernética buscará controles de compensación", dijo. Incluso con un sólido programa de ciberseguridad, puede haber otras exclusiones en la póliza de seguro a tener en cuenta.

5. Adopte el "privilegio mínimo"

En ciberseguridad, el concepto de "privilegio mínimo" aconseja que una organización debe limitar los controles de acceso entre los sistemas de TI y los usuarios sin incluir las actividades principales.

Los firewalls son una estrategia tradicional basada en TI para lograr este objetivo, pero también son vitales en la seguridad de OT. “Considere cómo el malware podría propagarse a través de una instalación de producción y configure firewalls”, dijo Malik. Para evitar posibles interferencias, incluya los procesos permitidos en la lista blanca.

Hay más en "privilegios mínimos" que los firewalls, dijo David Goldstein, director ejecutivo de AssetLink Global. Por ejemplo, Goldstein recomendó “limitar el tráfico en direcciones que no son necesarias para la aplicación. Si solo está monitoreando, desactive la capacidad de control, etc. "

El acceso remoto es otra preocupación. "Utilice identificaciones únicas para las tareas de mantenimiento", dijo Malik. "Al acceder a la tecnología a través de redes IP en un entorno industrial, se requiere una autenticación única por parte de cada usuario".

El uso de una PC genérica en un entorno ICS también es un riesgo. Ciérralo. Deshabilite las instalaciones, elimine los compiladores y deshabilite cualquier proceso desconocido o innecesario ”, dijo Malik.

6. Considere un programa de recompensas por errores

Los programas de recompensas por errores, en los que se otorga una recompensa a los desarrolladores que identifican las vulnerabilidades del sistema, han ganado popularidad en los últimos años, incluso en contextos industriales. "Los programas de recompensas por errores son un sello distintivo de los proveedores de IoT industrial y de IoT con visión de futuro", dijo Malik.

"Todo el viaje de la digitalización va a cambiar la forma en que operan las plantas", dijo Haward-Grau. "Si comienza a introducir dispositivos IIoT y 5G, necesitará recompensas por errores".

Pero eso no significa que tenga sentido priorizar las recompensas por errores en todos los casos. Una organización con equipos y estaciones de trabajo con décadas de antigüedad que ejecutan sistemas operativos sin parches o desactualizados probablemente encontrará abrumadores los resultados de un programa de recompensas por errores.

7. Gestionar riesgos de terceros

Los programas de gestión de riesgos de terceros son cada vez más importantes en el ámbito de la TO, dijo Peasley. Pero la gestión del riesgo en una cadena de suministro extendida a menudo es un desafío, enfatizó. “Para las grandes empresas, puede haber miles de terceros, cuartos y quintos diferentes que deben considerar”, dijo. “Ya sea un proveedor que integra algo en un subcomponente o ... un producto de software, todos ellos deben ser considerados ”, agregó Peasley.

8. Inspírese en los programas de seguridad

Muchas organizaciones industriales han implementado programas de seguridad durante décadas. Ahora que las amenazas a la seguridad cibernética pueden causar amenazas relacionadas con la seguridad, "debemos tener una mentalidad similar en torno a la seguridad", dijo Peasley.

La idea ha ganado terreno. El Instituto Estadounidense de Ingenieros Químicos, por ejemplo, recomienda integrar consideraciones de ciberseguridad en el análisis de peligros de procesos tradicionales, que tradicionalmente se enfoca en el riesgo de error humano, falla de equipo y similares en las instalaciones de ingeniería química.

Una estrategia para proteger las instalaciones industriales de un posible desastre es el uso de sistemas instrumentados de seguridad. Pero tales sistemas en sí mismos pueden ser vulnerables al compromiso, dijo Malik. Y no es aconsejable adaptar la funcionalidad de seguridad a los sistemas instrumentados de seguridad existentes, según Malik. “Estaría construyendo infraestructura sobre una plataforma que nunca fue diseñada para ser cibersegura”, dijo.

Si bien Haward-Grau reconoció que los sistemas instrumentados de seguridad son imperfectos, enfatizó que son una defensa vital. “A medida que comenzamos a expandir las operaciones y conectamos más cosas, la necesidad de sistemas instrumentados de seguridad más efectivos no desaparecerá en absoluto. Se volverán más importantes ".