Ciberseguridad

Ataques a los sistemas de suministro de agua, manipulación de las proporciones de mezcla de los medicamentos en las empresas farmacéuticas, averías en los paneles de visualización del transporte público: los piratas informáticos están descubriendo cada vez más la tecnología operativa (OT) y el Internet de las cosas (IoT) como un lucrativo objetivo para los ataques. Mientras que la mayoría de las personas saben que no deben hacer clic en correos electrónicos dudosos llenos de faltas de ortografía, las máquinas y las plantas suelen estar desprotegidas.

Durante mucho tiempo, los ciberdelincuentes no tuvieron interés en las OT porque las plantas de producción o los sistemas de suministro de electricidad, agua y gas no estaban conectados a otros sistemas informáticos y, por tanto, apenas podían causar daños o los ataques eran muy complejos.

La producción en red atrae a los delincuentes

La industria manufacturera está digitalizando sus procesos de negocio a lo largo de toda la cadena de valor, desde la virtualización en el proceso de creación de productos hasta modelos de servicio y negocio más flexibles, pasando por nuevos procesos de fabricación como la fabricación aditiva. El riesgo de malware y ciberataques está aumentando debido a la conexión de las instalaciones de producción y las máquinas a sistemas internos de control de la producción o, cada vez más, a la nube.

En el proceso, los ciberdelincuentes intentan interrumpir una planta y extorsionar para obtener un rescate u obtener secretos comerciales en nombre de competidores o Estados, en su mayoría extranjeros. Luego, meses más tarde, aparecen copias de piezas de recambio de automóviles que ni siquiera un técnico de servicio puede distinguir del original.

El hecho de que la seguridad de la OT vaya tan a la zaga del estado de la TI se debe a que la OT es planificada por ingenieros que tienen que aplicar requisitos técnicos de producción bajo presión de costes y en poco tiempo, pero para quienes la ciberseguridad nunca fue un problema en el pasado. Desarrollan una planta atendiendo exclusivamente a aspectos funcionales.

En caso de nuevos riesgos debidos a la ciberseguridad, habría que parchear el software de las instalaciones. Pero esto no suele estar previsto en OT. No tocar nunca un sistema en funcionamiento se aplica aún más en OT que en IT. Normalmente no hay tiempo para aplicar parches. Aunque la actualización sólo lleve unos minutos, puede paralizar toda una línea de producción y obligar a un largo reinicio, sobre todo porque también suelen ser necesarias pruebas funcionales.

Así que hay que pasar a ventanas de mantenimiento que, de todos modos, están planificadas, pero son poco frecuentes. En las plantas de producción química, por ejemplo, pueden pasar varios años antes de que surja la oportunidad de realizar una actualización que incluya todas las pruebas funcionales.

Como medida complementaria, a menudo se recomienda la segmentación de la red como primer paso. Se trata de separar partes de un sistema de otros sistemas en función de su nivel de riesgo y criticidad. Para ello, hay que conocer al detalle la estructura y la comunicación del sistema. También es aconsejable separar los sistemas antiguos, que a veces pueden tener décadas de antigüedad y para los que ya no existen actualizaciones, de las partes nuevas y aplicar estrategias de seguridad separadas.

Sin embargo, no sólo el fabricante y el operador de un sistema deben garantizar un alto nivel de seguridad; el personal de mantenimiento también debe estar a bordo. Para el mantenimiento a distancia, suelen acceder a un servidor de salto a través de una conexión VPN. De vez en cuando, los piratas informáticos consiguen introducir malware y spyware a través de este tipo de conexiones, que pueden infectar plantas e instalaciones enteras, especialmente si el acceso al servidor de salto o la autenticación VPN están poco protegidos.

Para reducir estos riesgos, se necesita una arquitectura mejor. Algunos proveedores de servicios de seguridad recomiendan una auditoría con una prueba de penetración para descubrir vulnerabilidades en la infraestructura de TI y OT. Es probable que se encuentren muchas vulnerabilidades, pero la ganancia en conocimientos es escasa, sobre todo si no se ha implantado seguridad en los sistemas OT.

Es mucho mejor aplicar primero las medidas y comprobarlas después con una auditoría. El punto de partida para mejorar la seguridad OT es una mayor visibilidad en las redes OT. A menudo, las empresas ni siquiera saben qué componentes detallados tienen en los sistemas, qué versiones de software utilizan, qué datos intercambian y qué conexiones con el exterior existen con terceras empresas.

Pero lo que no se conoce no se puede proteger. El conocimiento de las versiones de software utilizadas, las relaciones de comunicación, los accesos externos, la zonificación en la red y mucho más es la base de toda estrategia de ciberseguridad.

Muchas empresas que solicitan apoyo para la seguridad OT ya han sufrido un incidente de seguridad o conocen empresas de su entorno que lo han sufrido. La concienciación ha aumentado en los últimos años y las empresas están motivadas para hacer más por la seguridad. Sin embargo, a menudo se sienten abrumadas y no saben por dónde empezar. Lo que se necesita aquí es un enfoque estructurado que oriente a la empresa.