Criterios Esenciales para la Adquisición de Dispositivos de Acceso Remoto con Seguridad Industrial

Los equipos operativos que gestionan sistemas industriales dependen de dispositivos de acceso remoto para su trabajo y rara vez piensan en consideraciones no técnicas ni no comerciales al comprar. Pero la historia reciente nos dice que el origen del dispositivo —e incluso de sus componentes— importa mucho más de lo que reconocemos.

Los Ataques a la Cadena de Suministro Son Graves

Un ataque a la cadena de suministro es una categoría de ciberataque donde se gana acceso atacando elementos upstream en la cadena. Un comprador legítimo —quizá para comisionar un equipo el fin de semana— puede pensar que el riesgo no es lo bastante significativo para influir en la decisión de compra, pero lo es.

Los ataques a la cadena de suministro son extremadamente populares para atacantes porque, infiltrando un proveedor, acceden a muchos usuarios finales. Ejemplo: Stuxnet, ataque efectivo contra PLCs en programa de enriquecimiento de uranio. NotPetya, ~10 mil millones USD en daños a Merck, Saint-Gobain, distribuido vía software de preparación de impuestos. Recientemente, SUNBURST dio acceso trasero a hasta 18 000 organizaciones vía software SolarWinds. Ha ocurrido muchas veces y continuará por el beneficio para el atacante.

Ataques a la Cadena de Suministro a ICS a través de Dispositivos de Acceso Remoto

La idea de un ataque a la cadena de suministro dirigido a sistemas de control industrial (ICS) a través de dispositivo de acceso remoto no es solo teórica: ha ocurrido. En 2014, malware Dragonfly infectó muchas organizaciones distribuido a través de paquetes de instalación de la aplicación Talk2M de Ewon, software para acceso VPN a equipos ICS. El SANS Institute publicó un paper sobre el ataque y sus impactos.

Consideraciones Antes de Comprar

Volviendo al comprador legítimo que adquiere dispositivo para comisionar equipo: ¿qué debe hacer?

Cuando no eres —ni puedes ser— experto, es sabio ver qué hacen los expertos. En seguridad, uno es el Departamento de Defensa de EE. UU. Prohíben expresamente comprar y usar dispositivos, o contratar proveedores que usen dispositivos, de ciertos fabricantes extranjeros por riesgos en la cadena de suministro. Un memo DoD de julio 2020 describe esta práctica, visible públicamente. Empresa destacada: Huawei Technologies (y subsidiarias/afiliadas), por amplio uso de sus chips —incluidos en dispositivos de acceso remoto como Tosibox.

Conclusión para el comprador: comprar nacional siempre que sea posible. Comprar productos fabricados nacionalmente, diseñados con profundas capas de seguridad, no es fácil y suele requerir prima de precio, pero indudablemente vale la pena —especialmente para acceso remoto a sistemas industriales.

Más allá de riesgos de cadena de suministro, hay muchas consideraciones técnicas y organizativas al implementar acceso remoto. Las exploré en grupo de trabajo con The Organization for Machine Automation and Control (OMAC), que publicó una Guía Práctica para Acceso Remoto a Equipos de Planta que recomiendo leer.