Seguridad de la tecnología operativa (TO)

El Internet de las cosas extendido (XIoT) está cambiando para mejor la forma en que operan las empresas. Los dispositivos inteligentes permiten la automatización, los análisis y las innovaciones de formas que antes eran poco prácticas con entornos puramente mecánicos y analógicos. Sin embargo, este cambio conlleva una amplia gama de nuevos vectores de ataque que pueden explotar los atacantes, lo que supone un especial desafío en la subcategoría de la tecnología operativa (TO) del XIoT, que a menudo se sitúa en la intersección entre la industria y la tecnología moderna. 

Los ciberataques a sistemas de TO —que suelen ser la columna vertebral de infraestructuras críticas en los sectores de la fabricación, la energía y el transporte— pueden tener consecuencias devastadoras en el mundo real. Por ejemplo, la agencia estadounidense de ciberseguridad y de seguridad de infraestructuras (CISA) emitió recientemente un aviso de ciberseguridad relacionado con exploits de controladores lógicos programables (PLC) en plantas de gestión de agua y aguas residuales. 

Las prácticas de seguridad de TO permiten a las organizaciones proteger los sistemas de control encargados de las operaciones físicas frente a los ciberataques. En este artículo se explora la importancia de la seguridad de la TO, sus componentes centrales y las estrategias prácticas eficaces para mitigar el riesgo de seguridad de la TO. 

Descripción de la tecnología operativa

La tecnología operativa gestiona procesos que interactúan con el mundo físico. Por ejemplo, un fabricante de automóviles puede construir vehículos con soldadores, robots de montaje y cabinas de pintura automatizadas. Los sistemas de TO gestionan esta maquinaria, monitorizan continuamente su rendimiento y ajustan las entradas de control para optimizar la producción. 

Para entender mejor cómo proteger los sistemas de TO, repasemos las diferencias entre la TO y la TI, veamos ejemplos de sistemas de TO y su evolución. 

Diferencias entre TO y TI

Aunque a menudo interactúan y forman parte del mundo más amplio del XIoT, los sistemas de TO y TI tienen casos de uso y preocupaciones de seguridad diferentes. Los equipos de seguridad deben entender estas diferencias para gestionar eficazmente el riesgo y la implementación.
Los sistemas TI se ocupan de facilitar la comunicación y la transferencia de datos entre dispositivos dentro de la red de una organización, para permitir el acceso a la información y las aplicaciones compartidas. 

• Los sistemas de TO se ocupan de maximizar la producción industrial al tiempo que mantienen la seguridad de las personas y los equipos. 

Ejemplos de sistemas de TO 

La TO es una categoría amplia que incluye muchos tipos de dispositivos y tecnologías diferentes para monitorizar y controlar procesos físicos en distintos sectores. Entre los ejemplos habituales de sistemas de TO se incluyen los siguientes:

• Control numérico por ordenador (CNC): controla la parte móvil de una máquina concreta (por ejemplo, un brazo de control, la boquilla de un pulverizador de pintura, una pistola de soldadura, la posición de apertura de una válvula, etc.).

• Controladores lógicos programables (PLC): gestiona la operación de una única máquina, incluidas todas sus partes móviles, su fuente de alimentación y cualquier otro sistema complementario.

• Sistema de control distribuido (DCS): gestiona la operación de máquinas interconectadas que sirven a un objetivo común (por ejemplo, múltiples robots que trabajan en paralelo para pintar un automóvil). 

• Control de supervisión y adquisición de datos (SCADA): se centra en las operaciones de una organización mayor (incluso si está distribuida geográficamente), para priorizar la adquisición de datos y mantener el control de supervisión, en lugar de la operación en tiempo real. 

Evolución de la TO

Históricamente, con la TO se trataba de reducir la intervención humana en la fabricación industrial, comenzando por la maquinaria de CNC que permiten un control preciso mediante lógica informática. Los primeros sistemas de CNC se controlaban mediante toscos dispositivos en tiempo real aislados de la red externa. Después evolucionaron e incluyeron PLC, DCS y SCADA, que proporcionan capacidades de control remoto y monitorización en tiempo real a través de la red. 

En entornos modernos, la TO está estrechamente vinculada a la infraestructura de TI de la organización y expuesta a las mismas vulnerabilidades. La TI también ha evolucionado para almacenar y gestionar los datos acumulados por los sistemas de TO, con el fin de mejorar los procesos. Estos datos se utilizan para alimentar modelos de IA/aprendizaje automático (ML) dentro de las operaciones, como la detección de anomalías y el mantenimiento predictivo. 

La importancia de la seguridad en la TO

La TO se sitúa en la intersección entre el mundo físico y el digital, lo que convierte a los sistemas de TO en un objetivo muy codiciado para los atacantes sofisticados. Las organizaciones que implementen la TO deben ser proactivas para prevenir brechas de seguridad que puedan interrumpir los procesos reales y provocar resultados potencialmente catastróficos. 

Riesgos y amenazas para la TO

Tradicionalmente, los sistemas industriales estaban aislados y desconectados de redes que podían servir como puntos de entrada para los atacantes. Sin embargo, el auge de los sistemas de TO inteligentes ha dado lugar a la conexión de los sistemas de TO y TI, con lo que se crea una nueva superficie de ataque que las estrategias de seguridad del XIoT deben abordar. 

Muchos sistemas de TO están expuestos a las vulnerabilidades comunes que se encuentran en los sistemas de TI. Ataques importantes documentados, como la famosa campaña de Stuxnet, han explotado vulnerabilidades como las siguientes:

• Software obsoleto y sin parches: las organizaciones a menudo ignoran la necesidad de actualizar los sistemas de TO o de aplicarles parches y, en otros casos, los proveedores dejan de aplicar parches a los sistemas de TO durante largos periodos. En ambas situaciones pueden dejar a los endpoints de TO desprotegidos ante exploits conocidos. 

• Autenticación débil: la falta de controles de acceso adecuados y de plataformas de autenticación sólidas ofrece una oportunidad para los atacantes. 

• Falta de segmentación de red: la segmentación de red consiste en separar las redes según casos de uso y un flujo lógico de los datos, para que cada subred actúe como una unidad independiente. Sin segmentación de red, si un intruso accede a un dispositivo tendrá total vía libre a todos los demás dispositivos de la organización. 

• Gestión débil del inventario de recursos: una documentación completa de todos los recursos —incluidas las redes conectadas y los recursos con los que se interactúa durante las operaciones normales— es un factor de seguridad crítico, pero que suele pasarse por alto. 

• Fricción entre equipos de TO y TI: la mayoría de los ataques a los sistemas de TO provienen de sistemas de TI, por lo que es imprescindible reducir la fricción entre estos dos equipos. 

• Factores humanos: las brechas o el acceso físico de los atacantes a la red pueden estar causados por una formación deficiente, unos procesos inadecuados o incluso por intenciones maliciosas. 

Impacto de las brechas de seguridad en TO

Una brecha de seguridad en un sistema de TO puede provocar interrupciones o comportamientos inesperados que afectan directamente a la producción de la organización. Para una entidad dedicada a la fabricación o la logística, cada segundo que las máquinas no están operativas se traduce en una pérdida de ingresos. Estas interrupciones pueden afectar tanto al volumen de la producción como a las obligaciones contractuales, lo que puede provocar mayores pérdidas financieras y daños a la reputación.

Sin embargo, las implicaciones de un ataque a la TO van mucho más allá de la pérdida de tiempo y volumen de producción durante los ataques. Por ejemplo, un ataque a la TO en una organización de bienes de consumo de alta rotación podría tener como resultado la composición química incorrecta de un alimento o un incidente de seguridad en la planta provocado por el mal funcionamiento de la maquinaria. Esto podría provocar tanto brechas de cumplimiento normativo como daños reputacionales para la organización.

Tres componentes clave de la seguridad de la TO

Un programa eficaz de seguridad de TO requiere un enfoque de tres ejes que garantice que una organización aborde todos los aspectos de la ciberseguridad para sus sistemas de TO. 

Evaluación y gestión de riesgos

Identificar recursos y vulnerabilidades críticas en tu organización es el primer paso para tomar el control de la seguridad de la TO. Para ello es necesario catalogar todos los dispositivos que formen parte de tu sistema de TO y documentar sus puntos de entrada a la red, permisos de acceso y cualquier otro dispositivo complementario que utilice para funcionar con normalidad. El siguiente paso en la gestión de riesgos es realizar auditorías de seguridad y corregir las vulnerabilidades que dejen expuestos a los sistemas. 

Además, es esencial que los equipos eliminen el aislamiento de los sistemas de TI y TO. Comprender la relación entre recursos tanto en entornos de TI como de TO es un requisito previo para implementar controles de seguridad sólidos. 

Seguimiento de los marcos y las normas de seguridad

Seguir marcos de seguridad documentados adecuadamente y revisados por profesionales agiliza el proceso de evaluación y gestión del riesgo. Algunos de estos métodos son los siguientes: 

• El Marco de Ciberseguridad (CSF) del NIST: proporciona un conjunto de directrices voluntarias para mejorar la posición de seguridad de una organización y recomienda invertir en seis funciones principales: gobernar, identificar, proteger, detectar, responder y recuperar. 

• ISA/IEC 62443: define procesos para gestionar la seguridad de la TO en sistemas de automatización y control, como los roles de los usuarios, niveles de madurez de procesos, niveles de seguridad y segmentación del sistema.

• Modelo Purdue: detalla las prácticas recomendadas relevantes para conectar sistemas de control industrial y redes de TI. El modelo Purdue es especialmente pertinente para las organizaciones que deben integrar y proteger tanto sistemas de TI como de TO. 

Planificación de la respuesta a incidentes

La dirección debe desarrollar un plan de respuesta a incidentes específico para la TO que defina los pasos exactos que debe seguir la organización ante un ataque. Este plan difiere de la planificación de respuesta a incidentes de TI y las partes interesadas de la TO deben ser los responsables, además de trabajar estrechamente con sus homólogos de seguridad de TI en su desarrollo. Sin embargo, definir el plan no es suficiente: la organización también debe practicar con simulacros y simulaciones para garantizar que se cumpla durante un incidente. 

Estrategias para mejorar la seguridad de la TO

La seguridad de la TO requiere un enfoque estratégico que incluya el visto bueno de los más altos niveles de una organización. Las cuatro estrategias siguientes pueden ayudar a los equipos a desarrollar programas exitosos de ciberseguridad en TO y evitar tanto errores comunes como antipatrones que pueden obstaculizar el progreso.  

Colaboración entre equipos de TI y TO

Puesto que las líneas que separan la TO y la TI son difusas, las organizaciones deben fomentar la colaboración entre los equipos de TO y TI. La intención no es fusionarlos en el mismo equipo, sino que operen juntos manteniendo sus responsabilidades distintas. Debe haber una comunicación bidireccional antes y después de la respuesta al incidente. Establecer equipos multifuncionales capacitados por la tecnología adecuada puede ayudar a cerrar la brecha entre los equipos de TI y TO. 

Entender el camino de la seguridad

Etapas en el proceso de la ciberseguridad 

Alcanzar la madurez en seguridad no es un acto puntual, sino un proceso que requiere entender la situación actual, desarrollar las capacidades de forma estratégica y mantener y perfeccionar las prácticas de seguridad con el tiempo. Aunque no hay dos caminos iguales en el terreno de la ciberseguridad, la TO plantea desafíos únicos que las organizaciones deben abordar de forma progresiva y gradual.

Por ejemplo, poder "verlo todo" (es decir, tener visibilidad sobre todos los recursos internos y externos) es la base sobre la que se asientan todas las demás prácticas de seguridad. Por eso, la detección de recursos es fundamental en las primeras etapas del proceso de una organización hacia la ciberseguridad. Para ver un ejemplo práctico de cómo maduró una organización sus prácticas de ciberseguridad, consulta el caso de estudio del proceso hacia la ciberseguridad en todo el estado de Nueva York. 

Implementación de tecnologías avanzadas de seguridad

Los sistemas de TO deben contar con firewalls, sistemas de detección de intrusiones, sólidos controles de acceso e identidad, protección de endpoints (por ejemplo, plataformas de detección y respuesta/protección de endpoints) y sistemas de detección de amenazas. Debido a la gran variedad de tácticas de los atacantes, las estrategias tradicionales basadas en reglas ya no son eficaces para la detección de amenazas e intrusiones. Los sistemas de detección basados en IA y ML marcan una gran diferencia en este caso. Pueden detectar anomalías y vulnerabilidades e incluso predecir ataques basándose en factores externos. 

Para las organizaciones que no disponen de los recursos ni las capacidades para implementar soluciones avanzadas de seguridad de TO, así como detectar y responder eficazmente a las amenazas, los servicios gestionados de proveedores de ciberseguridad y sistemas de control industrial pueden ofrecer conocimientos expertos con un coste mucho menor que el que supondría el desarrollo interno. 

Monitorización continua e inteligencia de amenazas

La gestión del riesgo es un proceso continuo y la prevención es el mejor método de mitigación. La monitorización en tiempo real y la inteligencia continua de amenazas ayudan a la defensa proactiva. Sin embargo, ningún sistema de prevención es perfecto, y contar con visibilidad que permita una detección rápida cuando se produzca una brecha es un componente necesario de una estrategia de seguridad de TO. La monitorización continua y la inteligencia de amenazas también pueden abordar este aspecto reactivo de la protección de los sistemas de TO. Además, es fundamental que las organizaciones implementen la detección y respuesta de endpoints, el análisis de comportamiento y la respuesta a incidentes automatizada. 

Conclusión

Una brecha de seguridad en TO puede interrumpir la producción, causar incidentes de seguridad, dañar la reputación y provocar pérdidas financieras considerables. Las organizaciones deben priorizar la seguridad de la TO fomentando la colaboración entre los equipos de TO y TI, implementando una monitorización basada en IA y ML y aprovechando la inteligencia de amenazas. 

La plataforma CrowdStrike Falcon® afronta estos desafíos mejorando la visibilidad en toda la red, utilizando IA y ML para la detección y respuesta en tiempo real a amenazas, y proporcionando protección de endpoints junto con la aplicación automatizada de directivas de seguridad para garantizar un cumplimiento firme.

Descubre cómo la plataforma Falcon puede transformar la seguridad de TO: comienza hoy tu prueba gratuita de 15 días.