Asegurando el Industrial Internet of Things: Estrategias, estándares y cadena de confianza

Todos hemos oído hablar del Internet de las Cosas (IoT) y del Industrial Internet of Things (IIoT). Mientras IoT típicamente sirve aplicaciones de consumo, IIoT impulsa operaciones industriales, vinculando tecnología operacional (OT) con sistemas empresariales, procesos de negocio y analíticas avanzadas.

Según el Industrial Internet Consortium (IIC), un ecosistema IIoT fusiona sistemas de control industrial (ICS) con flujos de datos empresariales. A diferencia de OT tradicional, los dispositivos IIoT están altamente interconectados —tanto entre sí como con servicios en la nube— mientras siguen interactuando directamente con el mundo físico vía sensores y actuadores. Esta naturaleza dual expande funcionalidad pero también ensancha la superficie de ataque, haciendo las ciberamenazas una preocupación apremiante para infraestructura crítica.

Para mitigar estos riesgos, el Departamento de Energía (DOE) de EE. UU. ha colaborado con Intel en un programa que mejora la seguridad en el edge del sistema eléctrico. La iniciativa se centra en crear gateways seguros para equipos legacy (brownfield) y actualizaciones de field-programmable gate array (FPGA) para dispositivos nuevos (greenfield), todo mientras se preserva la entrega ininterrumpida de energía.

Sven Schrecker de Intel, arquitecto jefe de soluciones de seguridad IoT y co-presidente del grupo de trabajo de seguridad IIC, enfatiza que la seguridad debe tejirse en todo el proceso de diseño. Identifica cinco principios fundamentales para el desarrollo IIoT:

• Seguridad
• Fiabilidad
• Seguridad (Security)
• Privacidad
• Resiliencia

Los ingenieros de diseño a menudo se centran en implementar chips, software o plataformas seguros, sin embargo también deben alinearse con políticas de seguridad corporativas. Schrecker señala: «La política de seguridad debe ser escrita conjuntamente por equipos TI y OT para que todos sepan qué dispositivos están autorizados a comunicar».

Construyendo una Cadena de Confianza

Una recomendación prevalente es establecer una política de seguridad robusta y cadena de confianza desde el inicio. Esta cadena debe perdurar a través de diseño, desarrollo, producción y todo el ciclo de vida de un dispositivo, incrustando confianza en el hardware, red y cadena de suministro.

Haydn Povey, miembro de la junta de IoT Security Foundation y CEO de Secure Thingz, argumenta que las responsabilidades de seguridad abarcan cuatro capas organizacionales:

• Nivel CxO
• Arquitecto de seguridad
• Ingeniero de desarrollo
• Gerente de operaciones

Los ingenieros de desarrollo deben traducir la política corporativa en controles de seguridad concretos, incluyendo identificación de producto, mecanismos de actualización segura y salvaguardas a nivel de chip. Los gerentes de operaciones, por otro lado, supervisan OEMs que fabrican componentes IIoT, asegurando que cada parte electrónica lleve una identidad única y verificable a lo largo de la cadena de suministro.

Robert Martin, ingeniero principal senior en MITRE y miembro del comité directivo de IIC, destaca la naturaleza fragmentada de sistemas industriales conectados. Advierte que incluso cambios menores en microprocesadores pueden alterar inadvertidamente comportamiento de software, y sin rendición de cuentas clara, los fallos pueden quedar sin abordar. «En oficios de construcción, cambios que afectan seguridad son regulados y certificados», dice. «Tecnologías basadas en software carecen de un marco comparable».

>> Continúe a la página dos de este artículo en nuestro sitio hermano, EE Times: «Guía del diseñador para seguridad IIoT».