Asegurando Sistemas de Control Industrial e IIoT Ante un Panorama de Amenazas Creciente

Ya no es cuestión de si un dispositivo o sensor está conectado —se trata de quién puede acceder a los datos operacionales que genera y cómo mantener ese dispositivo o sensor seguro. Este imperativo sustenta los sistemas convergidos que forman la columna vertebral de nuestra infraestructura crítica.

A principios de esta semana, tuve el privilegio de hablar en la Conferencia de Ciberseguridad de Sistemas de Control Industrial (ICS) de SecurityWeek en Atlanta, GA. El evento reunió a defensores de primera línea del IIoT —operadores y partners IT trabajando con SCADA, sistemas de control de planta, PLCs y otros entornos de control industrial. Coincidiendo con el Mes Nacional de Concienciación sobre Ciberseguridad, la conferencia destacó la necesidad crítica de proteger las industrias que sustentan nuestra sociedad: defensa, generación de energía, transmisión, utilities de agua, químicos, oil & gas, pipelines, centros de datos, dispositivos médicos y más.

Cada nuevo sensor o dispositivo que se une a la red expande la superficie de ataque a una profundidad y amplitud sin precedentes. IIoT no es solo un puñado de gadgets conectados; es un ecosistema complejo de sensores digitales, controladores, máquinas, software y dispositivos móviles que impulsan el tejido mismo de la sociedad moderna. Asegurar estas conexiones es, por tanto, un desafío siempre creciente.

Igualmente importante es el ecosistema de terceros que alimenta el entorno industrial digital. Fabricantes, distribuidores y proveedores de servicios de los componentes que componen ICC e IIoT —incluyendo la convergencia ICT— son integrales al ciclo de vida del sistema. Asegurar este ecosistema es esencial para entregar garantía a infraestructura crítica.

Asegurando el Ecosistema de Terceros

Sistemas de control, dispositivos y sensores son altamente variables y a menudo personalizados para feeds de datos especializados y requisitos operacionales. Por ejemplo, los sistemas de control del sector energético tienen tolerancias operativas únicas y métricas de demanda pico que difieren mucho de un entorno de salud conectado. Consecuentemente, la gestión y controles de estos diversos sistemas varían ampliamente.

Según un reciente artículo de EE Times, "¿Por qué el IIoT es tan vulnerable a ciberataques?", un motor clave de esta "tormenta perfecta" es el parcheo de sistemas OT y de control de múltiples proveedores, muchos corriendo software propietario y no actualizable. Interfaces humano-máquina, unidades terminales remotas, masters SCADA y PLCs coexisten en un laberinto de configuraciones, planteando la pregunta: ¿cómo gestionar seguridad en tal entorno?

Al abordar el ecosistema de terceros, recomiendo cinco pasos esenciales:

• Paso 1: Identificar miembros del ecosistema, entender qué proveen y evaluar su impacto potencial en su seguridad de ICs o IIoT.
• Paso 2: Evaluar cómo estos socios integran seguridad en las soluciones que se vuelven parte de sus sistemas operativos.
• Paso 3: Implementar una arquitectura que gobierne comunicación de dispositivos —aplicar segmentación y principios de menor privilegio.
• Paso 4: Verificar que componentes de terceros operen dentro de sus niveles de tolerancia de seguridad definidos.
• Paso 5: Comprometerse con, e influir en, las políticas, estándares y guías que moldean ICs, IIoT y sus ecosistemas, como ANSI/ISA-62443-4-1-2018, NISTIR Draft 8228 y NERC CIP 013-1.

Sectores público y privado están lanzando iniciativas para abordar estos riesgos. El Departamento de Seguridad Nacional de EE. UU. está por lanzar su Task Force de Cadena de Suministro ICT, subrayando la importancia crítica de asegurar el ciclo de vida completo de dispositivos digitales en nuestra infraestructura. Este esfuerzo colaborativo ofrece un camino esperanzador, uniendo industrias diversas para confrontar el panorama de amenazas en expansión y el creciente ecosistema de terceros.

Para operadores de ICs, usuarios de IIoT y fabricantes, entender quién y qué compone su ecosistema de terceros es más crucial que nunca. Seguridad comprehensiva a lo largo de este ecosistema es paramount. Comprométase con pares de la industria, manténgase informado y colabore entre sectores para lograr éxito colectivo.

Lectura adicional sobre seguridad de infraestructura crítica, ICs e IIoT:

• Asegurando Infraestructura Crítica en la Era Digital
• Sentando Bases para Asegurar Infraestructura Crítica – No Deje que las Luces se Apaguen en Seguridad de Infraestructura Crítica