Construyendo una estrategia robusta de ciberseguridad para infraestructura crítica

Construyendo una estrategia robusta de ciberseguridad para infraestructura crítica

Conclusiones clave:

• Proteger la infraestructura crítica sigue siendo una prioridad máxima, sin embargo muchas organizaciones aún rezagan en preparación de defensa cibernética.
• COVID-19 ha expandido la definición de «crítico» para incluir sectores como fabricación de EPP, logística y procesamiento de alimentos, lo que lleva a una reevaluación de sistemas esenciales.
• Las organizaciones deben pasar de medidas reactivas a una postura proactiva de ciberseguridad, especialmente ante amenazas cibernéticas crecientes y operaciones remotas aumentadas.

La preocupación pública por ciberataques a la red eléctrica, presas, sistemas de votación y otra infraestructura designada federalmente está creciendo. Sin embargo, como señala Sean Peasley de Deloitte, la mayoría de las empresas de tecnología operacional (OT) aún mantienen solo programas incipientes de ciberseguridad.

Históricamente, «infraestructura crítica» se refería a obras públicas como transporte y utilities. En las últimas décadas, el alcance se ha ampliado para abarcar salud, energía, manufactura y más. Kieran Norton de Deloitte destaca que la pandemia ha revelado una amplitud aún mayor, con fabricantes de EPP, empresas logísticas, papel y celulosa, y empacadores de carne ahora reconocidos como esenciales.

Si bien muchas organizaciones OT presumen décadas de experiencia en gestión de riesgos tradicional, la ciberseguridad es un foco relativamente nuevo. Andrew Howard, CEO de Kudelski Security, observa que la seguridad OT típicamente rezaga a la de TI en 10-15 años.

Según el Índice de Inteligencia de Amenazas X-Force 2020 de IBM, los ataques a sistemas de control industrial aumentaron en 2019, superando el volumen combinado de los tres años anteriores. Incidentes de alto perfil incluyen ransomware en Honda, la utility energética de Taiwán, una instalación de gas natural en EE. UU., el suministro de agua de Israel y la brecha de red interna de NTT.

Evaluación de riesgos: Un imperativo continuo

Sin riesgo medible, la mejora se estanca. Muchas entidades de infraestructura crítica luchan por mantener un inventario de activos preciso debido a entornos diversos, complejos y una escasez de especialistas en ciberseguridad OT.

Las evaluaciones iniciales de riesgo deben cuantificar amenazas, vulnerabilidades y consecuencias potenciales, enfocándose en contraseñas compartidas, sistemas sin parchear, hardware/software de terceros y firewalls permisivos. Tales evaluaciones pueden descubrir extensas listas de remediación, requiriendo priorización basada en severidad y facilidad de solución.

El escaneo activo de red puede desestabilizar sistemas de control, por lo que un enfoque cauteloso y colaborativo con operaciones es esencial. El monitoreo pasivo ofrece menos intrusión pero puede perder insights críticos. El debate refleja un choque entre la preferencia de TI por escaneo activo y la postura reacia al riesgo de OT.

La priorización de remediación debe ponderar tanto la severidad del riesgo como el esfuerzo de remediación. Como señala Miklovic, las interfaces de frontera —de protocolo o físicas— a menudo representan el eslabón más débil, con unidades USB como punto de infracción común. Si bien las soluciones rápidas (p. ej., sellar puertos USB) son importantes, un enfoque equilibrado basado en riesgo es más efectivo.

Joe Saunders de RunSafe recomienda una matriz 2×2 para evaluar probabilidad de vulnerabilidad versus severidad de impacto, permitiendo un perfil de riesgo matizado para cada sistema.

Nuevos riesgos en la nueva normalidad

La pandemia ha acelerado el trabajo remoto, complicando la seguridad para sistemas de producción. Los empleados ahora usan VPNs para modificar controles de producción desde casa, una práctica previamente poco común. Proveedores de terceros también pueden recibir acceso remoto, aumentando la exposición adicional.

Desafíos de ancho de banda, escalado y despliegue a menudo acompañan la conectividad remota aumentada. Simultáneamente, los planes de contingencia tradicionales que dependen de presencia física y procesos manuales son ahora menos fiables.

Para adaptarse, las organizaciones de infraestructura crítica deberían considerar un rediseño holístico de la arquitectura tecnológica, integrando controles de seguridad más cerca de los activos.

Hacia una ciberseguridad proactiva

El objetivo es reemplazar procesos manuales incrementales con una postura proactiva que anticipe amenazas y se adapte continuamente.

Componentes clave de una política de seguridad robusta incluyen:

• Equipos y dispositivos —asegurar controladores industriales heredados, sensores IoT, gateways y laptops corporativas. Entender el contexto del dispositivo es esencial.
• Redes y usuarios —aplicar controles de acceso estrictos, desplegar motores de política dinámicos e invertir en detección de brechas.
• Datos —clasificar y descubrir datos para determinar niveles de protección apropiados.
• Flujos de trabajo y cadena de suministro —asegurar procesos, exigir cumplimiento de contratistas y proteger contra ataques a la cadena de suministro.
• Desarrollo de software —integrar seguridad a lo largo del SDLC para asegurar despliegues resilientes.

Equilibrar prevención, detección y respuesta es crucial. Matt Selheimer de PAS Global recomienda asignar 50 % del esfuerzo a prevención y 50 % a detección y recuperación. Norton enfatiza que las capacidades de respuesta son tan vitales como los controles preventivos.

Marcos y modelos de madurez

Las organizaciones pueden alinearse con marcos establecidos como ISO 27002, ISA/IEC 62443 y el modelo de Certificación de Madurez de Ciberseguridad (CMMC) del Departamento de Defensa. CMMC proporciona un modelo de madurez de cinco niveles, desde higiene básica (Nivel 1) hasta optimización avanzada (Nivel 5). El requisito de auditorías de terceros del modelo promueve objetividad y rendición de cuentas.

Automatización y seguridad integrada

El monitoreo impulsado por machine learning puede automatizar tareas rutinarias como detección de brechas. La seguridad integrada en dispositivos con recursos limitados ofrece protección intrínseca y visibilidad de activos.

Sin embargo, la automatización prematura sin una política sólida puede generar falsos positivos. Como señala Selheimer, el ajuste fino de reglas de firewall y correlación SIEM es esencial para reducir ruido.

Debido al panorama único de infraestructura crítica, la automatización estándar puede requerir personalización. Norton sugiere aislar sistemas sensibles y aplicar orquestación para cerrar brechas de automatización.

En última instancia, las amenazas evolucionarán rápidamente. Mantenerse proactivo significa ajustar continuamente la postura cibernética para reflejar riesgos emergentes y tendencias de la industria.

Para más insights de la industria, regístrese para el evento virtual de IoT World del 11-13 de agosto, con soluciones IoT, IA, 5G y edge en verticales. Regístrese hoy.