Integración de sistemas heredados para una transformación digital fluida

La transformación digital (DX) promete mayor competitividad, procesos optimizados y rentabilidad a través de big data, junto con relaciones mejoradas con empleados y clientes. La recopilación de datos es esencial en el entorno orientado a datos del siglo XXI y requiere componentes flexibles e interconectados. Las empresas necesitarán personas con habilidades especializadas para implementar y optimizar todo esto. Más allá de eso, cada firma tendrá que trabajar con sus planes únicos de DX y su entorno de TI existente.

Los componentes heredados pueden limitar los esfuerzos de DX

Los esfuerzos de DX se dividen típicamente en tres fases: digitalización (transición de analógico a datos digitales), digitalización (procesamiento y análisis de datos digitales) y transformación digital (construcción sobre la digitalización para optimizar el negocio).

La primera fase, digitalización, puede verse afectada por la dependencia de componentes heredados, particularmente dentro de entornos de sistemas de control industrial (ICS). La necesidad de digitalizar información para avanzar con los esfuerzos de DX puede crear numerosos desafíos entre activos de TI y tecnología operacional (OT). Por ejemplo:

• Las organizaciones pueden no encontrar personas con la experiencia para mantener o modificar componentes de sistemas heredados.
• La integración con servicios en la nube y otros sistemas puede ser difícil con componentes heredados que no soportan las últimas tecnologías de comunicación como Transport Layer Security (TLS) versión 1.3 o Simple Message Block (SMB) versión 3.
• La implementación de dispositivos inteligentes, también llamados Internet de las Cosas (IoT) o Internet Industrial de las Cosas (IIoT), puede estar limitada por la segmentación de red heredada (p. ej., el Modelo Purdue de Manufactura Integrada por Computadora mostrado en la Figura 1) para aislar componentes ICS del entorno corporativo e internet y reducir riesgos de virus y actores maliciosos.

La realidad de la DX con sistemas heredados

¿Por qué no todos actualizan todos sus dispositivos para obtener los beneficios de la DX? Muchas razones. Es difícil encontrar orientación práctica para planear y tomar decisiones de DX. Además, pueden faltar recursos financieros y personal para soportar componentes actualizados. Dentro de entornos ICS, es difícil validar la seguridad de dispositivos actualizados, por lo que otra barrera es igualar el nivel de confianza que la gente tiene en los componentes heredados.

Intentar cumplir las prioridades de DX de una firma usando componentes heredados puede resultar en implementaciones híbridas que afectan seguridad, disponibilidad y ciberseguridad. Por ejemplo, crear un sistema puenteado o multi-homed que conecte componentes heredados a infraestructuras de recopilación de datos o servicios en la nube podría resolver problemas de conectividad y compartición de datos (ver Figura 2). Sin embargo, esto puede anular las protecciones establecidas por el aislamiento de red y controles de comunicación para proteger los componentes heredados.

Conectar componentes heredados para soportar la recopilación de datos DX sin afectar capacidades operacionales o seguridad requiere planificación cuidadosa. En algunos casos, un enfoque híbrido podría funcionar donde los dispositivos envían datos a sistemas locales que residen en los niveles 2 y 3 del Modelo Purdue, por ejemplo un historiador de datos o sistema edge.

Esto puede permitir acceso a flujos de datos aprobados sin conectar directamente a componentes OT sensibles o redes. En general, encontrar el método más seguro para lograr objetivos de DX mientras se protege a personas, procesos y tecnología no es fácil y requiere un esfuerzo colaborativo entre el personal de TI y OT.

Consideraciones de ciberseguridad para DX

Los cambios en el entorno deben considerar tanto la ciberseguridad como los objetivos de DX para minimizar riesgos organizacionales. NIST SP 800-37 Rev. 2, Marco de Gestión de Riesgos para Sistemas de Información y Organizaciones: Un Enfoque de Ciclo de Vida del Sistema para Seguridad y Privacidad, proporciona orientación para establecer un enfoque de gestión de riesgos para organizaciones. Un aspecto clave es tener un programa de ciberseguridad. Una idea errónea que a menudo oigo es que la ciberseguridad es un tema de TI o que es un tema tecnológico. Aunque quisiéramos que esto fuera cierto, la realidad es que la ciberseguridad abarca toda la organización. El Marco de NIST para Mejorar la Ciberseguridad de Infraestructura Crítica y el NISTIR 8183 Rev. 1, Perfil de Manufactura del Marco de Ciberseguridad Versión 1.1, son guías que pueden ayudar a las organizaciones a abordar los desafíos o definir e implementar un programa de ciberseguridad de manera metódica y consistente. Con un programa de ciberseguridad y gestión de riesgos en marcha, las organizaciones pueden evaluar cambios en el entorno para verificar que cumplen sus objetivos de DX mientras minimizan los riesgos de ciberseguridad. Si bien siempre habrá riesgo, la clave es que las organizaciones encuentren el equilibrio que minimice riesgos mientras cumplen requisitos organizacionales, regulatorios y de ciberseguridad.

Como se mencionó anteriormente, los componentes heredados pueden agregar complejidad a la implementación de DX y ciberseguridad. Se recomienda encarecidamente una planificación y pruebas cuidadosas siempre que sea posible. Basándose en el NISTIR 8183, NIST también publicó la Guía de Implementaciones de Ejemplo de Nivel de Impacto Bajo del Perfil de Manufactura del Marco de Ciberseguridad para proporcionar un enfoque más cuantitativo para determinar el impacto en el rendimiento en entornos ICS al implementar controles comunes de ciberseguridad basados en la orientación y recomendaciones en NIST SP 800-82 Rev. 2, Guía para la Seguridad de Sistemas de Control Industrial (ICS).

La Red Nacional MEP™ puede ayudarle a planear e implementar DX

Se necesitan más interconexiones que soporten recopilación de datos rápida y precisa para lograr objetivos de DX y el enfoque de cada empresa dependerá de los tipos de componentes heredados en el entorno. Aunque actualizar componentes heredados sería ideal, la realidad es que muchas firmas necesitan soportar DX con su tecnología existente. Al planear, las organizaciones deben equilibrar cuidadosamente cómo integrar con sus procesos y dispositivos existentes mientras protegen a su gente, datos y dispositivos.

Implementar DX puede ser una tarea desalentadora, pero es manejable con planificación cuidadosa, colaboración entre el personal de TI y OT de la empresa y el uso de recursos valiosos como publicaciones de NIST y la Red Nacional MEP.

La Red Nacional MEP puede ayudar a las empresas a encontrar el equilibrio correcto mediante planificación estratégica y ofrecer orientación para inversiones en DX. Contacte al Centro MEP de su estado para más información sobre servicios ofrecidos en todo el país y en Puerto Rico.