Protección de Sistemas de Control Industrial: Estrategias y Mejores Prácticas Comprobadas

El Informe Anual de Ciberseguridad de Cisco ofrece una visión exhaustiva de las tendencias globales de seguridad y amenazas emergentes. El creciente papel del Internet de las Cosas en la industria ha captado la atención de analistas de seguridad y actores maliciosos, convirtiéndose en tema central del informe Cisco 2018. Se reportó que el 69% de los encuestados consideraba sus equipos de Tecnología Operacional (OT) como objetivos viables, mientras que el 31% de profesionales de seguridad ya había experimentado algún tipo de ciberataque en sus equipos OT.

Entonces, ¿cómo debe protegerse un Sistema de Control Industrial? ¿Cómo pueden las organizaciones garantizar técnicas de seguridad estrictas para sus equipos de Tecnología Operacional, similares a las seguidas por la infraestructura de Tecnología de la Información (TI)?

Debe comprenderse a fondo que, además de ser vulnerables, los Sistemas de Control Industrial tienen acceso al hardware operativo de una empresa que determina directamente su productividad. Mientras que una brecha en un servidor de archivos puede ser dañina, un secuestro por ransomware del sistema de control industrial puede detener las operaciones o, peor aún, provocar comportamientos operativos anómalos que pongan en peligro vidas humanas.

Asegurar la Red

Primero, las organizaciones industriales deben asegurar un buen diseño de red, con límites bien definidos. La norma ISA IEC-62443 sirve como guía práctica para la segmentación de redes. Luego, todas las aplicaciones inalámbricas deben asegurarse, y deben implementarse soluciones de acceso remoto para tareas de mantenimiento y solución de problemas. En conjunto, todo el equipo de infraestructura de red debe ser monitoreado.

Asegurar los Puntos Finales

La mayoría de profesionales de OT están convencidos de que los puntos finales de su infraestructura están fuertemente protegidos contra ataques digitales mediante protocolos especializados, firewalls y antimalware. Sin embargo, el perímetro se erosiona rápidamente y genera vulnerabilidad cuando se permite a los empleados traer sus dispositivos digitales (portátiles, smartphones, etc.) al trabajo y conectarlos a la red corporativa.

Para abordar esto, las empresas deben asegurar sus puntos finales, prohibiendo al personal conectarse a redes corporativas. Además, deben establecerse políticas digitales como la prohibición de conectividad USB, puntos de acceso Wi-Fi fantasma, etc.

Una empresa puede dar el primer paso hacia la seguridad de sus puntos finales comenzando con el descubrimiento de activos, lo que ayudaría a realizar un inventario de cada punto final. Luego, pueden definir controles y automatizarlos para garantizar la presencia de protección. Finalmente, estos puntos finales pueden monitorearse constantemente y reaccionar ante cambios no autorizados.

Asegurar los Controladores

Los entornos industriales están compuestos por sistemas físicos como PLC, actuadores, sensores, etc. Los controladores actúan como computadoras especializadas para controlar equipos industriales altamente diversificados y, debido a su mayor sofisticación, son propensos a ataques de malware.

Se han documentado casos donde actores maliciosos han accedido a PLC, PAC o PC industriales, causando estragos en el sistema, incluso destrucción física. Uno de los casos más infames es el de Stuxnet, cuando los PLC de Siemens que controlaban centrifugadoras de alta velocidad fueron atacados, provocando daños físicos e irreversibles pérdidas de productividad. Una vez más, el malware ingresó a través de la red, y si se establecen políticas estrictas de control de red, estos episodios pueden evitarse.

Además de firewalls perimetrales y redes privadas virtuales, deben implementarse control de acceso y registro de actividad para garantizar que solo ciertas personas tengan acceso a sistemas de alto nivel. Asimismo, la presencia de software antimalware puede ayudar a detectar cualquier código peligroso que haya traspasado las primeras líneas de defensa.