Mesa Redonda Ejecutiva: Elevando la Seguridad de Instalaciones y Redes para Líderes de Fabricación

Uno de los aspectos más importantes de cualquier instalación de fabricación es la seguridad —ya sea protegiendo maquinaria o datos. Tech Briefs planteó preguntas a ejecutivos de empresas que proporcionan soluciones de seguridad de red e instalaciones para obtener sus puntos de vista sobre temas como ciberseguridad, la nube, dispositivos inalámbricos y la seguridad de una fuerza laboral remota.

Nuestros participantes son Mike Jabbour, Gerente General, Conectividad Digital y Energía en Siemens Digital Industries; Mike Lloyd, Director de Tecnología en RedSeal; Radu Pavel, Director de Tecnología e Ingeniero Jefe en TechSolve; y Donovan Tindill, Estratega Senior de Ciberseguridad en Honeywell Connected Enterprise – Ciberseguridad.

Seguridad para Operación Remota de Equipos, Diagnóstico y Mantenimiento

Tech Briefs: Con más personas trabajando remotamente debido a la pandemia de COVID-19, ¿qué procedimientos y sistemas de seguridad deberían estar en vigor para la operación remota de equipos, diagnóstico y mantenimiento?

Mike Lloyd:

En la carrera por trabajar desde casa, la mayoría de los equipos de seguridad fueron golpeados por un tsunami de solicitudes para controles mejorados de laptops, nuevos requisitos de VPN, nuevos servicios en la nube y más; sin embargo, un aspecto frecuentemente pasado por alto son los activos empresariales que no se movieron cuando lo hicieron los operadores. De repente, los operadores necesitaban capacidades remotas para operar y diagnosticar cualquier equipo físico que no se movió y, en seguridad, remoto siempre significa riesgo. Cualquier nueva ruta de control entre trabajadores remotos y activos físicos de la empresa es un aumento en la superficie de ataque de la empresa. Es prudente que los equipos de seguridad auditen cómo se pueden alcanzar todos los activos físicos de la empresa. Si sabían cómo funcionaba todo eso antes del COVID, probablemente no lo sepan ahora.

Radu Pavel:

La situación del COVID-19 está llevando a una digitalización acelerada del entorno de trabajo. A medida que las realidades empresariales impulsan la necesidad de datos en tiempo real de muchas funciones, los beneficios potenciales de las nuevas tecnologías alimentan el deseo de conectar dispositivos de producción y no producción en la planta de fábrica. El apetito de los fabricantes por tecnología avanzada está superando rápidamente su capacidad para protegerla y este entorno rico en datos y conectividad plantea preocupaciones y desafíos significativos asociados con la ciberseguridad. Los fabricantes enfrentan desafíos adicionales debido a la necesidad de proteger no solo los sistemas TI sino también la tecnología operacional (OT), que puede abarcar desde sensores hasta PLCs, controladores de robots, herramientas de máquina y otros equipos operacionales.

Mike Jabbour:

Lo bueno es que el COVID no ha cambiado el equipo o los procesos generales necesarios para las comunicaciones remotas —solo ha impulsado la necesidad de utilizar las tecnologías que ya estaban disponibles. No todas las empresas deberían hacer exactamente lo mismo cuando se trata de aplicaciones remotas y seguridad, pero lo básico siempre debe incorporarse. Hay muchos otros dispositivos de seguridad que deberían considerarse, pero como mínimo, se debe utilizar una conexión VPN, firewall y servidor jump.

La comunicación remota siempre debe ser debidamente autenticada, encriptada y desactivada cuando no esté en uso. Un firewall adecuado protege el tráfico interno de una red no confiable. Si hay múltiples segmentos de una red, la comunicación a través del firewall debe proteger cada uno de los segmentos internos entre sí. Cuando se trata de comunicaciones remotas, encriptar el tráfico del usuario remoto a la red de confianza siempre se considera una práctica recomendada. Esto puede hacerse con un dispositivo VPN. No debería haber comunicación directa desde una red no confiable a la red segura.

Donovan Tindill:

Para el acceso remoto a un sistema de control industrial/tecnología operacional (ICS/OT), las consecuencias y pérdidas de un ciberataque son significativamente mayores que al acceder a tecnología de la información (TI). Para reducir este riesgo empresarial, se necesitan salvaguardas adicionales, incluyendo autenticación multifactor desde redes no confiables. La confianza es relativa —la red empresarial tiene menor confianza que los sistemas ICS/OT. Una VPN típica permite a un usuario conectarse a voluntad 24/7. Se requiere aprobación explícita de solicitud de acceso para cada sesión, cada usuario y cada día cuando se trabaja remotamente, debido al potencial de consecuencias de ciberataques ICS/OT.

Equilibrando Accesibilidad y Seguridad en Fábricas Digitales

Tech Briefs: Parece una espada de doble filo: la nube, redes de sensores inalámbricos y otros sistemas industriales han llevado a nuevos beneficios emocionantes para fábricas digitales, pero al mismo tiempo, estas tecnologías de fabricación inteligente aumentan masivamente el alcance para ataques. ¿Cómo se puede equilibrar la accesibilidad con la seguridad?

Lloyd:

El Internet Industrial de las Cosas (IIoT) trae grandes beneficios pero también grandes riesgos. Generalmente, todas las "cosas" en el Internet de las Cosas deberían tratarse como frágiles y no confiables. Esto viene como un shock para equipos acostumbrados a gestionar infraestructura SCADA aislada, pero los tiempos han cambiado. Dado lo frágiles que son los sistemas IoT, el único enfoque razonable es la segmentación de red —todos los posibles caminos de acceso deben ser contabilizados y los sistemas industriales deben aislarse en la mayor medida posible. Con el tiempo, el acceso se volverá descuidado y se cometerán errores, así que se necesita una forma de reverificar continuamente que el acceso sea solo lo que debe ser, para poder detener la deriva de la red.

Tindill:

La accesibilidad puede equilibrarse con la seguridad, pero se establecen nuevas normas al mismo tiempo. La seguridad en aeropuertos antes del 11/9 es muy diferente a la de hoy, pero la nueva normalidad está bien establecida con nuevas tecnologías y protocolos que aún permiten una revisión de seguridad oportuna. Con nuevas tecnologías, se requiere capacitación en la solución y si la ciberseguridad se incluye con ella, entonces la experiencia del usuario y la accesibilidad no son un problema. Los beneficios empresariales de estas nuevas tecnologías y fábricas digitales tienen el potencial de ofrecer resultados nunca vistos antes. El papel de la ciberseguridad es proteger la inversión en la nube, redes de sensores inalámbricos y otros sistemas industriales para que puedan ofrecer su ROI mientras son más resistentes a los ciberataques. La autenticación multifactor, infraestructura de clave pública, criptografía y otros controles de seguridad —cuando se implementan correctamente— son virtualmente transparentes para el usuario y proporcionan un nivel adicional de controles de acceso no alcanzables con tecnologías heredadas previas.

Jabbour:

Las redes intencionalmente planificadas y segmentadas son la columna vertebral no solo de un sistema de comunicación de planta sino también de las mejores prácticas de seguridad. Una red ICS segmentada puede ayudar a proteger redes de sensores entre sí cuando ocurre un ataque, lo que significa que el acceso a una sola sección de su planta no derribaría a toda la empresa de un solo golpe. Esto también debe ir acompañado de conocer y comprender las vulnerabilidades de su instalación. Simplemente colocar un dispositivo y alejarse es el procedimiento principal para otorgar a los piratas informáticos un plano de ataque a su sistema. Gestionar todos los dispositivos en la red incluye no solo conocer y comprender qué dispositivos están allí, sino revisiones programadas regularmente de las vulnerabilidades y su nivel de amenaza (bajo/medio/alto).

Pavel:

La escala y velocidad de la digitalización y el crecimiento de las redes de conectividad están llevando a un aumento en los riesgos de ciberseguridad. No es solo la escala de la exposición sino la vulnerabilidad de los sistemas ciberfísicos que se están conectando. Estos nuevos sistemas no fueron diseñados inherentemente con ciberseguridad en mente. Exacerbando el problema está el potencial de impactos negativos en el rendimiento resultantes de la integración de tecnologías de ciberseguridad comunes en sistemas existentes. Equilibrar la accesibilidad con la seguridad es una estrategia multifacética que se basa en protocolos de comunicación estándar, encriptación de datos transferidos sobre redes, aprovechamiento de los estándares de ciberseguridad más actualizados e implementación de tecnologías que permitan identificar y mitigar amenazas de ciberseguridad en tiempo real.

Por Qué la Ciberseguridad Suele Ser el Último Elemento en Despliegues IoT

Jabbour: Porque la ciberseguridad es lo que más fácilmente se pasa por alto. La mayoría de las instalaciones IIoT intentan satisfacer una necesidad empresarial y la ciberseguridad suele no ser un tema de conversación estándar en las necesidades empresariales hasta que ocurre un ataque.

Lloyd: Cínicamente, porque la seguridad siempre es el último elemento de todos los despliegues. El impulso para IoT se trata de características y costo. Esto significa que los dispositivos se producen rápidamente, al precio mínimo, y obtienes la seguridad por la que pagas. Los dispositivos a menudo no son parcheables y no pueden soportar los agentes y escáneres tradicionales en nuestras herramientas de seguridad. Así que la seguridad IoT es un problema muy difícil —efectivamente, inyectando innumerables dispositivos frágiles nuevos en una red que ya era inmanejable y desorganizada. La transición a IoT solo irá bien para aquellos que sean disciplinados y planifiquen con anticipación para contener el radio de explosión de los problemas cuando —no si— ocurran.

Tindill: Hay varias razones por las que la ciberseguridad se considera solo al final del despliegue. Los procesos de adquisición y abastecimiento excluyen los requisitos de ciberseguridad porque el precio sigue siendo el factor principal. La mayoría de los procesos de ingeniería excluyen la ciberseguridad —esto significa que especificación, diseño, configuración, prueba y puesta en marcha a menudo ocurren sin ninguna tarea o entregable de ciberseguridad. Los equipos de TI y ciberseguridad son excluidos hasta que es hora de conectar a la red o Internet —este es cuando estos equipos pueden enterarse por primera vez de que el proyecto incluso existe. La ciberseguridad debería tener peso suficiente en los criterios de decisión; después de incluirse en los procesos de compra, se lleva a través de todo el diseño, configuración, endurecimiento y pruebas de aceptación cibernética, todo antes del lanzamiento.

Pavel: Desde los primeros días cuando el mayor riesgo era un virus informático, hasta hoy cuando el malware de tecnología operacional puede destruir equipos y llevar a pérdida de vidas, el mundo informático ha visto un aumento exponencial en los ciberataques. Las tecnologías basadas en IoT proporcionan su propio conjunto de desafíos únicos de seguridad asociados con integridad de datos, fuga de datos, privacidad y potencial de acceso no autorizado.

Entonces, ¿por qué la seguridad suele ser el último elemento del despliegue IoT? Algunos de estos sistemas no fueron diseñados con ciberseguridad en mente, sino con el único objetivo de proporcionar una cierta función. Los usuarios finales no consideraron la ciberseguridad como uno de sus principales criterios de selección, sino la capacidad de un sistema para realizar una tarea, su eficiencia y costo. Solo en años recientes el problema de ciberseguridad se ha vuelto más enfatizado por usuarios, gobierno y grupos de estandarización.

Principales Prioridades para Redes Industriales

Lloyd: Las tres principales prioridades para redes industriales son segmentación, segmentación y segmentación. Los viejos espacios de aire se han evaporado e Internet se mezcla cada vez más en las operaciones físicas de la planta, nos guste o no. Esta profusión de interfaces significa que la superficie total de ataque ha explotado y tarde o temprano, algo seguramente entrará. La prioridad absoluta es planificar con anticipación para limitar la propagación de eventos malos, usando segmentación, y para los sistemas más críticos, planificar con anticipación para cerrar "puertas de explosión" similares a las puertas de mamparo en submarinos.

Pavel: Los ciberataques tienen el potencial de afectar confidencialidad, integridad y disponibilidad en un entorno de fabricación. Pueden llevar a pérdida de IP de producto y proceso; pérdidas de producción debido a destrucción, modificación y reprogramación de piezas y procesos; daño a la reputación; e incluso lesiones y pérdida de vidas. La importancia de la integridad de datos para la fabricación puede verse en relación con la producción de piezas —alterar especificaciones de producto y proceso podría ser perjudicial para la calidad y confiabilidad del producto.

La disponibilidad de datos y sistemas ciberfísicos también es crítica para la productividad de fabricación. El hardware y software heredados se usan comúnmente en procesos de fabricación y algunos de estos sistemas no fueron diseñados con ciberseguridad o IoT en mente. Por lo tanto, hay un riesgo inherente al conectar tales dispositivos heredados a IoT o integrarlos en la red de fábrica.

¿Son Suficientes los Firewalls?

Jabbour: Absolutamente no. Los firewalls son solo un dispositivo de un sistema total y aunque deberían usarse, otras consideraciones de diseño deben tomarse en cuenta.

Tindill: A mediados de los 90, firewalls y antivirus eran los estándares porque proporcionaban salvaguardas suficientes para defender contra las amenazas de ciberseguridad de la época. Virtualmente el 100% de las organizaciones hoy tienen firewalls y los ciberataques pueden evadir firewalls con otras tácticas, técnicas y procedimientos (TTPs). Las amenazas cibernéticas evolucionan rápidamente y se requieren múltiples controles de ciberseguridad. Los firewalls cumplen principalmente un control protector, buenos para detectar comportamiento malo conocido en el perímetro de la red. Los ataques de hoy incluyen robo de credenciales y usarlas para penetrar redes sin detección, porque no se requieren conexiones de fuerza bruta o maliciosas. Todos hemos escuchado historias sobre cómo un actor de amenaza estuvo dentro de un sistema por seis a nueve meses antes del ataque; este es un ejemplo de cómo se manifiestan las débiles capacidades de detección y respuesta.

Pavel: Confiar solo en un firewall ya no es una buena práctica —probablemente nunca lo fue. Las tres partes más críticas de un programa de seguridad corporativo son personas, procesos y tecnología. Las organizaciones pequeñas y medianas presentan un desafío especial para la ciberseguridad en entornos de fabricación y cadena de suministro. Muchas carecen del personal técnico para proporcionar ciberseguridad robusta y, porque a menudo desconocen la complejidad de la amenaza, no pueden crear un caso de negocio para invertir en ciberseguridad OT. Para ayudar a abordar estos escollos y acelerar la adopción de medidas adecuadas de ciberseguridad, el gobierno ha invertido en desarrollo de regulaciones, estándares y programas de certificación aplicables para industrias enteras.

Lloyd: Los firewalls son como cerraduras de puertas en su edificio —un buen comienzo, un nivel básico de higiene de seguridad, pero dificilmente un antídoto integral contra el riesgo. Los firewalls son complicados y casi siempre están mal configurados de alguna manera. He evaluado muchos miles de firewalls del mundo real y es inusual encontrar menos de diez errores por dispositivo. (Firewalls extremadamente complejos pueden contener miles de errores en un solo dispositivo.) El aspecto más difícil de los firewalls es entender si han cubierto todo —después de todo, no puedes identificar un camino alrededor del firewall solo leyendo el firewall. Necesitas tener una visión integral del acceso en toda tu red de fábrica y necesitas poder mantenerte al día con el acceso a medida que tu red cambia y crece.

RECURSOS

1. Honeywell Connected Enterprise
2. RedSeal
3. Siemens Digital Industries
4. TechSolve