Ciberseguridad

Ataques a los sistemas de suministro de agua, manipulación de las proporciones de mezcla de los medicamentos en las empresas farmacéuticas, averías en los paneles de visualización del transporte público: los piratas informáticos están descubriendo cada vez más la tecnología operativa (OT) y el Internet de las cosas (IoT) como un lucrativo objetivo para los ataques. Mientras que la mayoría de las personas saben que no deben hacer clic en correos electrónicos dudosos llenos de faltas de ortografía, las máquinas y las plantas suelen estar desprotegidas.

Durante mucho tiempo, los ciberdelincuentes no tuvieron interés en las OT porque las plantas de producción o los sistemas de suministro de electricidad, agua y gas no estaban conectados a otros sistemas informáticos y, por tanto, apenas podían causar daños o los ataques eran muy complejos.

La producción en red atrae a los delincuentes

La industria manufacturera está digitalizando sus procesos de negocio a lo largo de toda la cadena de valor, desde la virtualización en el proceso de creación de productos hasta modelos de servicio y negocio más flexibles, pasando por nuevos procesos de fabricación como la fabricación aditiva. El riesgo de malware y ciberataques está aumentando debido a la conexión de las instalaciones de producción y las máquinas a sistemas internos de control de la producción o, cada vez más, a la nube.

Los ciberdelincuentes intentan perturbar un sistema y extorsionar para pedir un rescate u obtener secretos comerciales en nombre de competidores o países, en su mayoría extranjeros. Luego, meses más tarde, aparecen copias de piezas de recambio de automóviles que ni siquiera un técnico de servicio puede distinguir del original. El hecho de que la seguridad de la OT vaya tan a la zaga del estado de la TI se debe a que la OT es planificada por ingenieros que tienen que implementar los requisitos técnicos de la producción bajo presión de costes y en un corto espacio de tiempo, pero para quienes la ciberseguridad nunca fue un problema en el pasado. Desarrollan un sistema desde un punto de vista puramente funcional.

En caso de nuevos riesgos de ciberseguridad, habría que parchear el software del sistema. Sin embargo, esto no suele estar previsto en OT. No tocar nunca un sistema en funcionamiento se aplica incluso más en OT que en IT. Normalmente no hay tiempo para instalar parches. Aunque la actualización sólo lleve unos minutos, puede paralizar toda una línea de producción y provocar un largo reinicio, sobre todo porque también suele ser necesario realizar pruebas funcionales. Así que hay que recurrir a ventanas de mantenimiento planificadas de todos modos, pero éstas son poco frecuentes. En las plantas de producción química, por ejemplo, pueden pasar varios años antes de que surja la oportunidad de realizar una actualización que incluya todas las pruebas funcionales.

Qué hacer

La segmentación de la red suele ser la primera medida complementaria recomendada. Se trata de separar partes de un sistema de otros sistemas en función del nivel de riesgo y criticidad. Para ello debe conocerse en detalle la estructura y la comunicación del sistema. También es aconsejable separar los sistemas heredados, que a veces pueden tener décadas de antigüedad y para los que ya no hay actualizaciones, de las partes nuevas y aplicar estrategias de seguridad separadas. Sin embargo, no sólo el fabricante y el operador de un sistema deben garantizar un alto nivel de seguridad; el personal de mantenimiento también debe estar a bordo. En el caso del mantenimiento remoto, suelen acceder a un servidor de salto a través de una conexión VPN. En ocasiones, los piratas informáticos consiguen introducir programas maliciosos y espías a través de estas conexiones, que pueden infectar sistemas y plantas enteras, especialmente si el acceso al servidor de salto o la autenticación VPN están poco protegidos.

Se necesita una arquitectura mejor para minimizar estos riesgos. Algunos proveedores de servicios de seguridad recomiendan una auditoría con una prueba de penetración para descubrir vulnerabilidades en la infraestructura de TI y OT. Es probable que se encuentren muchas vulnerabilidades, pero la ganancia de conocimiento es escasa, sobre todo si no se ha implantado seguridad en los sistemas OT. Es mucho mejor aplicar primero las medidas y comprobarlas después con una auditoría. El punto de partida para mejorar la seguridad OT es una mayor visibilidad de las redes OT. A menudo, las empresas ni siquiera saben qué componentes detallados tienen en sus sistemas, qué versiones de software utilizan, qué datos intercambian y qué conexiones externas a terceras empresas existen. Pero no se puede proteger lo que no se conoce. El conocimiento de las versiones de software utilizadas, las relaciones de comunicación, los accesos externos, la zonificación de la red y mucho más es la base de cualquier estrategia de ciberseguridad.

Muchas empresas que solicitan apoyo para la seguridad OT ya han sufrido un incidente de seguridad o conocen empresas de su entorno que lo han sufrido. La concienciación ha aumentado en los últimos años y las empresas están motivadas para hacer más por la seguridad. Sin embargo, a menudo se sienten abrumadas y no saben por dónde empezar. Lo que se necesita aquí es un enfoque estructurado que oriente a la empresa.

PDF en inglés