Evaluando la Seguridad de la Red de Planta: ¿Está Preparado?

Puede que no sea una prioridad, pero los talleres de trabajo y fabricantes medianos deben pensar en ciberseguridad IT/OT, especialmente al fabricar piezas para militares y defensa. Las regulaciones ya están aquí. ¿Está listo?

¿Basta con comprar la última maquinaria y tecnologías de herramienta, como máquinas de 5 ejes, contratar y mentorear aprendices y nuevos mecanizadores, producir piezas y mantenerse al día con los programas de mantenimiento? Con sensores inteligentes e infraestructura basada en internet en uso ahora por los empleados en la planta, hay tanta tecnología dentro y alrededor de las máquinas y salas de control de la mayoría de los talleres.

La gestión de seguridad es ahora un tema real e incluye la gestión de todos los sistemas y el comportamiento de los empleados. Para aquellos talleres que fabrican piezas para la industria de defensa, la seguridad es un tema de cumplimiento principal con consecuencias reales en el negocio.

«La practicidad hoy es que los fabricantes pequeños y medianos están operando a capacidad, llegan pedidos, y el mayor problema es encontrar y retener talento —la mayor restricción para sacar producto por la puerta. Considerando todas las decisiones que los fabricantes deben tomar cada día, la ciberseguridad no está alta en su radar», dice Elliot Forsyth, vicepresidente de operaciones comerciales en el Michigan Manufacturing Technology Center, en un artículo para Advanced Manufacturing.

Hablamos con expertos de la industria sobre el estado de la seguridad en la fabricación actual —y hacia dónde se dirige.

Ciberataques Industriales: Filtraciones de Datos, Ciberespionaje y Más

Internet es una herramienta fantástica y un beneficio para los negocios. Pero también es un lugar de actividad criminal donde fraude, ransomware, robo y manipulación de sistemas ocurren demasiado a menudo.

La fabricación no ha sido inmune a los problemas de seguridad. Sectores industriales, incluyendo petróleo y gas e infraestructuras críticas como plantas de energía eléctrica y nuclear, también están teniendo que reforzar su seguridad. En 2018, empresas petroquímicas fueron hackeadas en Arabia Saudita con la intención de sabotear la operación y causar explosiones.

Este es un caso extremo, por supuesto, pero puede suceder. La mayoría de los incidentes de seguridad apuntan a información financiera y propiedad intelectual.

«Es un espacio muy inseguro», dice John Livingston, CEO de Verve Industrial Protection. «La mayoría de los fabricantes generalmente no son conscientes del problema o no tienen los recursos internos [para manejarlo]. … Por un lado, muchos dependen de servicios en la nube y en el otro extremo del espectro, dependen de sistemas operativos antiguos en sus entornos que no están parcheados».

En 2018, hubo 352 incidentes de seguridad en fabricación y 87 de ellos tuvieron una divulgación de datos confirmada, según el «Informe de Investigaciones de Violaciones de Datos 2019» de Verizon, uno de los estudios más completos publicados anualmente.

«Por segundo año consecutivo, los ataques motivados financieramente superan al ciberespionaje como la principal razón de violaciones en fabricación, y este año por un porcentaje más significativo (diferencia del 40 %)», concluyen los autores del informe de Verizon. «Si esto fuera en casi cualquier otro sector, no valdría la pena mencionarlo, ya que el dinero es la razón de la gran mayoría de los ataques. Sin embargo, la fabricación ha experimentado un nivel más alto de violaciones relacionadas con espionaje que otros verticales en los últimos años».

Si el objetivo es la producción máxima y la fabricación de piezas, no hay duda de que la tecnología juega un papel central ayudando a las empresas a alcanzar sus metas. Recopilar y monitorear información precisa de las máquinas se está volviendo más crítico para alcanzar el máximo rendimiento.

Los talleres de trabajo a menudo están conectados a internet, y las aplicaciones que usan los empleados, incluyendo correo electrónico, sitios web y aplicaciones móviles, pueden ser todas la abertura que los atacantes necesitan para acceder a información de empleados y de la empresa o propiedad intelectual. Esta información podría incluir bibliotecas de especificaciones de piezas que un fabricante de equipos originales querría fuera de las manos de competidores y un gobierno no querría que otras naciones tuvieran.

«Los fabricantes deben realizar una evaluación de riesgos de sus operaciones», dice Koushik Subramanian, asesor estratégico del Centro Nacional de Ciberseguridad en Fabricación, en un artículo para Advanced Manufacturing. «El riesgo puede ser técnico —encontrado en máquinas, controles o software, y también en personal, prácticas y procesos. El riesgo toma muchas formas diferentes, pero la más común es de ciberataques donde individuos o grupos maliciosos intentan ingresar a sistemas aprovechando el eslabón más débil: las personas. Esa es la razón por la que el phishing y el ransomware son tan populares y por qué los ataques están en aumento».

Para talleres más pequeños, gestionar computadoras a menudo significa contratar empresas externas de tecnología de la información, también conocidas como empresas «TI», para ayudar. Para fabricantes medianos y grandes, puede significar alguna forma híbrida de personal de TI interno y ayuda adicional de empresas externas para los problemas tecnológicos más complejos.

«La mayor parte de la industria está pasando por esta fase de concientización», dice Livingston. «Están comenzando a entender que hay un problema. Pero se preguntan: '¿Cómo controlo el mundo que nunca antes se había gestionado realmente como una infraestructura basada en internet?'»

¿Necesita una respuesta técnica? Pregunte al Equipo Técnico de Metalworking de MSC en el foro.

Agentes de Cambio: Estándares, Financiamiento Estatal y Servicios de Terceros

El Instituto Nacional de Estándares y Tecnología es el organismo que regula la infraestructura crítica y establece las reglas para las industrias aeroespacial y de defensa. En 2016, NIST publicó SP 800-171, que contiene las reglas para «Protección de Información No Clasificada Controlada en Sistemas y Organizaciones No Federales».

Los estándares incluyen controles de seguridad estrictos que pueden afectar a OEMs y subcontratistas de defensa de todos los tamaños. Si una empresa no cumple, probablemente no podrá licitar el trabajo.

«Para la mayoría de los fabricantes que no están en infraestructura crítica, perder un día de productividad por un problema de seguridad no es una emergencia nacional, pero perjudica su resultado final», dice Scott Sawyer, director de tecnología de Paperless Parts. «Donde esto realmente cobra importancia es en la propiedad intelectual. El Departamento de Defensa realmente se preocupa por esta área».

Está afectando a fabricantes de todos los tamaños.

«Incluso las empresas de 100 a 200 personas están luchando con esto», dice Sawyer. «De repente, tienen que averiguar cómo van a volverse cumplidoras».

¿Cómo están lidiando las empresas? Algunas que intentan mantener contratos o atraer nuevas con la industria de defensa están contratando consultores —e implementando programas de seguridad. Las economías estatales y locales pueden verse afectadas adversamente por este tipo de regulaciones. Puede ser costoso. Así que las organizaciones están ofreciendo financiamiento para ayudar a las empresas a cumplir con los estándares de seguridad a través de asociaciones de extensión de fabricación (MEP).

Para obtener más información sobre los esfuerzos del Departamento de Defensa y NIST, vea este video.

Es una buena noticia para quienes están al tanto del tema de seguridad, pero la mayoría de los fabricantes siguen en la oscuridad. Especialmente los talleres más pequeños, explica Sawyer.

«Algunos tienen una falsa sensación de seguridad. Creen que no están en riesgo porque son pequeños y están fuera del camino y su ubicación física es rural, no tienen muchos empleados y mantienen un perfil de marketing bajo», dice Sawyer. «Pero, ya sabe, eso es exactamente en cierto sentido lo que podría convertirlos en un objetivo. Son un objetivo más fácil que Lockheed Martin, Raytheon o Northrop Grumman porque no tienen la seguridad».

Esas empresas más grandes son objetivos, pero también son mucho más sofisticadas en el manejo de especificaciones clasificadas y seguridad física, explica Sawyer. Sawyer lo sabría —trabajó en la industria de defensa durante varios años antes de mudarse a la fabricación.

Las empresas de defensa educan a sus empleados sobre no hablar del trabajo cuando salen de la planta. A muchos se les dice que guarden su credencial fuera de la vista una vez que se van. Pero incluso estos esfuerzos no han detenido a atacantes motivados de llegar a propiedad intelectual importante.

«Si cree en la fabricación estadounidense, y es patriota, parte de eso debería incluir preocuparse por la parte de seguridad de la información», dice Sawyer.

¿Cómo está manejando la seguridad su taller hoy? ¿Se está preparando o en modo «la ignorancia es felicidad»? Hable de ello en el foro. [se requiere registro]