Evaluación de Factores de Riesgo en Ciberseguridad OT: Guía para Ingenieros de Automatización

A menudo se dice: "Internet es un barrio peligroso". Y por cierto que parece ser cierto, pero hay muchos otros riesgos y amenazas que los ingenieros de automatización deben conocer y que pueden afectar los sistemas informáticos usados en automatización y control.

La tecnología operativa, u OT, se refiere al hardware y software físico usado para monitorear y controlar equipos, procesos e infraestructura industriales. Estos son los elementos con los que nosotros, como ingenieros de automatización, trabajamos cada día.

Este artículo examinará a fondo los factores de riesgo en la ciberseguridad OT y cómo puede reducir estos riesgos.

Infraestructura crítica, como plantas de energía, presas, parques eólicos, así como plantas manufactureras críticas, deben ser conscientes de las muchas amenazas que enfrentan sus sistemas. Por ejemplo, las amenazas pueden provenir de un empleado descontento que infecta intencionalmente la red con un virus.

Las amenazas pueden venir de una fuente externa, como Internet. Cada uno de estos tipos de amenazas podría causar un daño significativo a la infraestructura OT de la planta.

¿Contra qué riesgos deben protegerse sus sistemas? Solo hacer lo que otros hacen o emplear hardware y software de ciberseguridad al azar no es suficiente para garantizar la seguridad.

Un enfoque sistemático de la ciberseguridad es un paso vital requerido para eliminar riesgos y hacer de sus sistemas un vecindario más amigable.

Fundamentos de la evaluación de riesgos de ciberseguridad OT

La evaluación de riesgos OT se define como el proceso sistemático para identificar, evaluar y priorizar amenazas y vulnerabilidades. Hay varias características únicas de los entornos OT que difieren de los entornos TI.

Entre estas están la prevalencia de sistemas heredados (legacy), requisitos de disponibilidad 24/7, e integraciones físicas a máquinas, actuadores y sensores que componen el proceso de manufactura.

Las evaluaciones de riesgos deben involucrar a todas las partes interesadas afectadas, incluyendo operaciones, ingeniería, TI y personal de gerencia. Como mencioné anteriormente, esta evaluación de riesgo debe seguir un enfoque sistemático para ser exitosa.

Así que veamos los cinco pasos involucrados en esta evaluación.

Identificación e inventario de activos

Cuando una compañía de seguros es consultada para asegurar su hogar, quieren saber qué hay en el hogar para saber qué puede perderse, o en otras palabras, qué está en riesgo de pérdida o daño. Lo mismo ocurre con las evaluaciones de riesgo en ciberseguridad.

Inventariar y mapear todos sus activos OT es el primer paso crítico. Todo debe listarse en el inventario, incluyendo hardware como PLCs, sistemas SCADA y estaciones HMI. Este inventario debe incluir todo el software y firmware instalado en sus sistemas OT.

Estos activos pueden no parecer físicos en naturaleza, pero están en riesgo y son los activos más fáciles de infectar para los hackers.

También debemos incluir equipos de red como switches y cableado. Y no olvide conexiones externas como puertos de datos provistos para acceso de proveedores o conexiones para mantenimiento remoto.

Un inventario completo es crucial para permitir que el equipo de evaluación de riesgos entienda completamente lo que se llama el "panorama de amenazas" (threat landscape).

Elementos omitidos, como puertos de datos para acceso de proveedores, pueden ser rutas fáciles para infección del sistema, incluso si no se hace maliciosamente.

Identificación de amenazas y vulnerabilidades

Una vez que tenemos todos nuestros activos listados, conocemos todos los elementos que podrían ser atacados. Luego, necesitamos identificar los tipos de amenazas que nuestros sistemas pueden atraer.

Estas amenazas pueden ser amenazas internas desde dentro, como desvío de fondos de cuentas o configuraciones erróneas inadvertidas de switches de red que permiten eludir requisitos de autenticación de usuarios.

Las amenazas también pueden ser externas desde fuentes de Internet, malware, hackers o actores de estados-nación tras activos valiosos como formulaciones y recetas.

A menudo se olvidan vulnerabilidades comunes que pueden ocurrir con hardware y software OT heredado, como falta de parcheo, autenticación débil y protocolos inseguros.

Análisis de impacto

Ahora que conocemos nuestro panorama de amenazas, debemos evaluar las consecuencias de tener un sistema comprometido debido a un ataque.

Estas consecuencias pueden tomar muchas formas, como riesgos de seguridad para el personal o el medio ambiente, interrupción de la producción, disrupciones operativas, pérdidas financieras, daño reputacional y violaciones regulatorias y de cumplimiento.

Las consecuencias que su instalación puede enfrentar dependen de su situación única y pueden incluir muchos otros riesgos.

Evaluación de probabilidad

El siguiente paso es el más difícil: determinar la probabilidad de que estas consecuencias se materialicen realmente.

Determinar la probabilidad de explotación de las vulnerabilidades de su sistema implica predecir su exposición a amenazas de Internet, identificar exploits conocidos y capacidades de adversarios, e importantemente, el historial de incidentes que han afectado sistemas como el suyo.

Por ejemplo, Stuxnet fue un virus pervasivo y debilitante que atacó el hardware de un proveedor específico. El ataque a Colonial Pipeline fue un ciberataque de ransomware que llevó al cierre de operaciones y escasez significativa de combustible en la Costa Este. ¿Qué puede pasar en su operación y qué tan probable es que ocurra?

La Matriz de Riesgo

El paso final es construir una Matriz de Riesgo para cada factor de riesgo. La Matriz de Riesgo típicamente lista el impacto de una brecha de ciberseguridad contra la probabilidad de que ocurra la brecha. Aquí hay una matriz de ejemplo usando umbrales para impacto y probabilidad como bajo, medio y alto.

El equipo de evaluación de riesgos es responsable de determinar la mejor asignación de riesgo a cada casilla de la matriz. Su equipo puede determinar que una alta probabilidad de ocurrencia con un impacto medio también calificaría como alto riesgo. Las clasificaciones dependen exclusivamente de su situación única.

¿Por qué generar esta matriz? Le permite identificar fácilmente riesgos que requieren mitigación inmediata, como todos los elementos de alto riesgo, así como aquellos que pueden diferirse, como los de bajo riesgo.

Las empresas tienen presupuestos limitados para ciberseguridad, por lo que los problemas de mayor riesgo deben abordarse primero.

Desafíos y consideraciones en la evaluación de riesgos OT

Este proceso no suele ser fácil. Elementos como entender todas las restricciones para parchear sistemas heredados pueden ser difíciles. Puede haber visibilidad limitada sobre la naturaleza de algunas amenazas.

Puede haber barreras organizacionales para obtener todos los datos requeridos para evaluar la amplitud de algunas amenazas. Puede haber riesgos de cadena de suministro y de terceros que son desconocidos.

Mejores prácticas para una evaluación de riesgos OT efectiva

Hay mejores prácticas para superar algunas de estas restricciones y desarrollar un perfil de riesgo efectivo. La más importante es que todas las partes interesadas estén involucradas y colaboren en la evaluación.

Para ayudar en este proceso, hay muchos estándares y marcos disponibles que guían a los equipos en el proceso de evaluación de riesgos, como NIST CSF e IEC 62443.

Una clave para programas efectivos de evaluación de riesgos de ciberseguridad es actualizar periódicamente la evaluación usando datos actuales.

Conclusión

Las evaluaciones de riesgos de ciberseguridad OT son la base para crear una defensa efectiva contra amenazas internas y externas. Al involucrar a todas las partes interesadas en el proceso, la imagen más completa de las amenazas y probabilidad de ocurrencia puede determinarse y trazarse en una matriz de riesgo.

A partir de la matriz de riesgo, se pueden tomar las decisiones apropiadas para emplear defensas de ciberseguridad. A medida que los riesgos OT evolucionan, es importante que las instalaciones sean proactivas y realicen evaluaciones de riesgos continuas como base de su programa de ciberseguridad OT.