Apoyo a la transformación digital con componentes heredados

La transformación digital (DX) promete una mayor competitividad, procesos optimizados y rentabilidad a través de big data, junto con mejores relaciones con los empleados y los clientes. La recopilación de datos es esencial en el entorno orientado a datos del siglo XXI y requiere componentes flexibles e interconectados. Las empresas necesitarán personas con las habilidades especializadas para implementar y optimizar todo esto. Más allá de eso, cada empresa tendrá que trabajar con sus planes DX únicos y su entorno de TI existente.

Los componentes heredados pueden limitar los esfuerzos de DX

Los esfuerzos de DX generalmente se dividen en tres fases:digitalización (transición de datos analógicos a digitales), digitalización (procesamiento y análisis de datos digitales) y transformación digital (basándose en la digitalización para optimizar el negocio).

La primera fase, la digitalización, puede verse afectada por la dependencia de los componentes heredados, particularmente dentro de los entornos del sistema de control industrial (ICS). La necesidad de digitalizar la información para avanzar con los esfuerzos de DX puede crear numerosos desafíos entre los activos de TI y tecnología operativa (OT). Por ejemplo:

• Es posible que las organizaciones no puedan encontrar personas con la experiencia necesaria para mantener o modificar componentes de sistemas heredados.
• La integración con servicios en la nube y otros sistemas puede resultar difícil con componentes heredados que no son compatibles con las últimas tecnologías de comunicación como Transport Layer Security (TLS) versión 1.3 o Simple Message Block (SMB) versión 3.
• La implementación de dispositivos inteligentes, también conocida como Internet de las cosas (IOT) o Internet industrial de las cosas (IIOT), puede estar limitada por la segmentación de la red heredada (por ejemplo, el modelo Purdue de fabricación integrada por computadora que se muestra en la Figura 1) para aislar Componentes de ICS del entorno corporativo e Internet para reducir los riesgos que plantean los virus y los agentes malintencionados.

La realidad de DX con sistemas heredados

¿Por qué no todo el mundo está actualizando todos sus dispositivos para obtener los beneficios de DX? Muchas razones. Es difícil encontrar una guía práctica para planificar y tomar decisiones de DX. Además, es posible que falten recursos financieros y personal para respaldar los componentes mejorados. Dentro de los entornos ICS, es difícil validar la seguridad de los dispositivos actualizados, por lo que otra barrera es igualar el nivel de confianza que las personas tienen para los componentes heredados.

Tratar de cumplir con las prioridades de DX de una empresa utilizando componentes heredados puede resultar en implementaciones híbridas que impactan la seguridad, la disponibilidad y la ciberseguridad. Por ejemplo, la creación de un sistema en puente o de múltiples hogares que conecte los componentes heredados a las infraestructuras de recopilación de datos o los servicios en la nube podría resolver problemas de conectividad e intercambio de datos (consulte la Figura 2). Sin embargo, esto puede anular las protecciones establecidas por los controles de comunicación y aislamiento de la red para proteger los componentes heredados.

La conexión de componentes heredados para admitir la recopilación de datos DX sin afectar las capacidades operativas o la seguridad requiere una planificación cuidadosa. En algunos casos, un enfoque híbrido puede funcionar cuando los dispositivos envían datos a sistemas locales que residen en los niveles 2 y 3 del modelo Purdue, por ejemplo, un historiador de datos o un sistema perimetral.

Esto puede permitir el acceso a flujos de datos aprobados sin conectarse directamente a redes o componentes OT sensibles. En general, encontrar el método más seguro para lograr los objetivos de DX y al mismo tiempo proteger a las personas, los procesos y la tecnología no es fácil y requiere un esfuerzo de colaboración entre los miembros del personal de TI y OT.

Consideraciones de ciberseguridad para DX

Los cambios en el entorno deben considerar tanto los objetivos de ciberseguridad como los de DX para minimizar los riesgos organizacionales. NIST SP 800-37 Rev. 2, Marco de gestión de riesgos para sistemas y organizaciones de información:un enfoque del ciclo de vida del sistema para la seguridad y la privacidad proporciona una guía para establecer un enfoque de gestión de riesgos para las organizaciones. Un aspecto clave es contar con un programa de ciberseguridad. Un concepto erróneo que escucho a menudo es que la ciberseguridad es un problema de TI o que es un problema de tecnología. Si bien nos gustaría que esto fuera cierto, la realidad es que la ciberseguridad se extiende a toda la organización. El marco NIST para mejorar la ciberseguridad de la infraestructura crítica y el NISTIR 8183 Rev.1, perfil de fabricación del marco de seguridad cibernética versión 1.1, son guías que pueden ayudar a las organizaciones a abordar los desafíos o definir e implementar un programa de seguridad cibernética de una manera metódica y consistente. Con un programa de gestión de riesgos y ciberseguridad, las organizaciones pueden evaluar los cambios en el entorno para verificar que cumplen sus objetivos de DX y, al mismo tiempo, minimizar los riesgos de ciberseguridad. Si bien siempre habrá riesgo, la clave es que las organizaciones encuentren el equilibrio que minimice los riesgos y al mismo tiempo cumpla con los requisitos organizacionales, regulatorios y de ciberseguridad.

Como se mencionó anteriormente, los componentes heredados pueden agregar complejidad a la implementación de DX y ciberseguridad. Se recomienda encarecidamente una planificación y pruebas cuidadosas siempre que sea posible. Sobre la base del NISTIR 8183, el NIST también publicó la Guía de implementación de ejemplo de nivel de impacto bajo del perfil de fabricación del marco de ciberseguridad para proporcionar un enfoque más cuantitativo para determinar el impacto del rendimiento en los entornos de ICS al implementar controles de ciberseguridad comunes basados ​​en la guía y recomendaciones en NIST SP 800- 82 Rev.2, Guía de seguridad de los sistemas de control industrial (ICS).

La Red Nacional MEP ™ puede ayudarlo a planificar e implementar DX

Se necesitan más interconexiones que respalden la recopilación de datos rápida y precisa para lograr los objetivos de DX y el enfoque de cada empresa dependerá de los tipos de componentes heredados dentro del entorno. Si bien lo ideal sería actualizar los componentes heredados, la realidad es que muchas empresas necesitan admitir DX con su tecnología existente. Al planificar, las organizaciones deben equilibrar cuidadosamente cómo integrarse con sus procesos y dispositivos existentes y, al mismo tiempo, proteger a sus personas, datos y dispositivos.

La implementación de DX puede ser una tarea abrumadora, pero se puede gestionar con una planificación cuidadosa, la colaboración entre el personal de TI y OT de la empresa y el uso de recursos valiosos como las publicaciones del NIST y la Red Nacional MEP.

La Red Nacional MEP puede ayudar a las empresas a encontrar el equilibrio adecuado a través de la planificación estratégica y ofrecer orientación para las inversiones en DX. Comuníquese con el Centro MEP de su estado para obtener más información sobre los servicios que se ofrecen en todo el país y en Puerto Rico.