¿Qué incluye una evaluación de riesgos en la red OT?

En 2015 la red eléctrica de Ucrania fue atacada por un “malware” llamado BlackEnergy. Es considerado como el primer ciberataque contra una red eléctrica que resultó en un apagón de la misma. BlackEnergy fue desplegado en la red eléctrica con el objetivo de atacar el ICS (industrial control system) de la red. Apagó el software de control e impidió su reinicio. El apagón afectó a unos 200.000 usuarios durante varias horas.

A día de hoy, las plantas industriales alrededor de todo el mundo controlan sus redes OT de manera automatizada. Al mismo tiempo, intentan tener cada vez mayor visibilidad dentro de las operaciones de la planta, mejor coordinación e interoperabilidad y más automatización. Pero la realidad es que las redes OT de muchas de estas fábricas – plantas químicas, plantas de generación de energía, etc. – no están mejor protegidas de cómo lo estaba la red eléctrica de Ucrania en 2015.

El problema empieza con la diferencia de criterio entre los diseñadores y operadores de la red OT y sus homólogos de la red IT. En sus inicios, la red OT fue diseñada para optimizar la eficiencia y la productividad mientras se mantenía la seguridad de los trabajadores. No se tenía en cuenta la seguridad de los datos. Tenía toda la lógica, ya que la mayoría de estas redes OT estaban aisladas del resto de redes de la planta: no existía un incentivo para diseñarlas con un criterio de seguridad.

La convergencia entre OT e IT ha aumentado la capacidad de infiltración de los hackers. Ahora existen nuevas vías para acceder a los sistemas de una compañía, parando plantas enteras. Esto provoca no sólo daños en las operaciones, sino también en la reputación de estas compañías.

I Evaluación de riesgos OT: La clave para la seguridad de tu red OT

A día de hoy, muchas compañías se están dando cuenta de que tienen un problema de seguridad en su red OT. Un buen primer paso para identificar el alcance del problema es realizar una evaluación de riesgos de ciberseguridad en su red OT. De esta manera, salen a la luz las vulnerabilidades de la red OT y se puede determinar un plan de acción con medidas correctoras.

Esta evaluación debe consistir como mínimo de:

1. Identificación de los activos de OT. Todo hardware, software y dispositivo conectado a la red es identificado y caracterizado, junto con cualquier interconexión o punto de integración entre las redes de OT e IT.
2. Evaluación de vulnerabilidades. Todos los activos son analizados para identificar sus vulnerabilidades de seguridad. El análisis cubre: sistema operativo, aplicaciones, protocolos de comunicación, interfaces de hardware, etc.
3. Patrón de amenazas. Se hace una comparativa entre las vulnerabilidades detectadas y las amenazas y “malwares” conocidas. Con esto, se consigue una evaluación de los escenarios posibles de ciberataque.
4. Evaluación de riesgos general. Las vulnerabilidades y la evaluación de amenazas proporcionan la evaluación de riesgos general, que hace hincapié allí donde se encuentran los mayores riesgos. Así, permite la creación de un plan de acción con las prioridades definidas.

Cuando se habla de una evaluación de riesgos en redes OT, no existe una solución única para todo: cada industria (energía eléctrica, fabricación por procesos, energía renovable, agua potable, etc.) tiene diferentes características y, por tanto, la evaluación de riesgos se realiza de acuerdo a la instalación en concreto.

I Plan de gestión de riesgos de la red OT

El resultado de la evaluación de seguridad debe ser un plan de acción, priorizado de acuerdo al riesgo, que la compañía debe llevar a cabo para protegerse a sí misma. Aun así, estas acciones no se deben limitar exclusivamente a mitigar vulnerabilidades inmediatas. La seguridad en la red OT es un proceso continuo que incluye:

• Gestión de activos del ICS. Un sistema de gestión de activos hace seguimiento del ICS, de sus componentes y de su nivel de seguridad, e identifica nuevos componentes en la red. De esta manera, los supervisores tienen acceso inmediato a la información sobre seguridad de su red OT.
• Monitorización de la red OT. De la misma manera que en la red IT, los sistemas de monitorización de redes OT protegen el entorno de operaciones identificando posibles ataques y alertando al personal de supervisión.

I Asesoramiento profesional para la evaluación de seguridad OT

Una evaluación de riesgos en OT no es un proyecto que se pueda acometer internamente. En la mayoría de casos, la red de OT pertenece al personal de operaciones, que también realiza su mantenimiento. Este perfil carece de los conocimientos necesarios para realizar la evaluación.

Logitek dispone de una plataforma industrial de evaluación de riesgos automatizada (CIARA) precisamente con este objetivo: ayudar al personal encargado de la seguridad y estabilidad de la red OT a realizar estas evaluaciones. Como primera plataforma de evaluación de riesgos basada en la normativa ISA/IEC 62443, CIARA es una herramienta completamente automatizada para recolección de información de activos, análisis y cálculo del riesgo incluyendo una puntuación de referencia basada en zonas geográficas y sectores industriales.

En Logitek creemos que para asegurar tus operaciones el paso más importante se realiza antes de que una amenaza haya sido identificada. No se puede proteger la red OT si no vemos lo que pasa en ella y no se puede gestionar su seguridad si no sabemos cuál es su estado real.

Logitek dispone de un equipo de expertos en ciberseguridad que pueden ayudaros a conocer vuestro nivel de riesgo en ciberseguridad y asesoraros con las soluciones más adecuadas para proteger vuestras operaciones.