Protección industrial (Industrial Security) para la reducción de riesgos

La protección industrial (Industrial Security) tiene muchas vertientes e actúa a varios niveles. En OT y producción, el principio de protección industrial (Industrial Security) sirve principalmente para proteger las máquinas de los peligros ocasionados por el comportamiento humano. Este principio protege las máquinas contra amenazas como los ciberataques o la manipulación.

Pero, ¿cuál es el procedimiento para detectar posibles riesgos y vías de intrusión?

El primer recurso para analizar la eficacia de la protección industrial (Industrial Security) de la producción es realizar una estimación de riesgos. Permite identificar los peligros y riesgos procedentes del "ciberespacio" que amenazan una máquina y las medidas que deben aplicarse para minimizarlos.

La estimación de riesgos de protección deben comprender siempre los siguientes pasos:

1. Identificar los activos: ¿qué es lo que quiero proteger?
2. Analizar las amenazas: ¿a qué riesgos está expuesto el bien que se quiere proteger?
3. Determinar los objetivos de protección relevantes: ¿qué objetivos quiero alcanzar?
4. Analizar y evaluar los riesgos: ¿cuál es la probabilidad de que se materialice un riesgo?
5. Analizar los vectores de ataque
6. Elaborar e implementar un concepto de protección
7. Comprobación de la implementación
8. Reevaluaciones periódicas
9. Seleccionar e implementar medidas de protección: ¿cómo puedo proteger contra los posibles riesgos?
10. Gestión de la resiliencia: ¿qué hacer después de un ataque? ¿Cómo puedo reforzar la protección en la empresa?

Los niveles de protección definen el nivel de seguridad que desean alcanzar las empresas usuarias de instalaciones o fabricantes a través del uso de medidas de seguridad. Una estimación de riesgos previa proporciona la información necesaria. Durante la evaluación se define el activo que hay que proteger y se determina la probabilidad de que sea atacado. El nivel de protección (SL) se elige en función de este resultado. El SL-2, o protección contra "perjuicio y manipulación intencionada con medios sencillos, pocos recursos, aptitudes normales y sin una motivación especial", debería entenderse hoy como el estándar mínimo. A fin de mantener este estándar, la empresa ha de tener un determinado grado de madurez en materia de protección (Security). Por muy eficaz que sea un cortafuegos, no servirá de nada si los trabajadores de la empresa siguen dejando las contraseñas escritas en notas adhesivas tipo "post-it" pegadas a la pantalla del PC o descuidan la ejecución de actualizaciones. Cuantos más recursos dedique una empresa al tema Security, mejor será su nivel de protección general. Lo importante es, por tanto, disponer de un concepto holístico de protección (Security).

Resumen de los niveles de protección:

• Nivel de protección 1: protección contra uso indebido sencillo o no intencionado
• Nivel de protección 2: protección contra uso indebido deliberado perpetrado con medios sencillos
• Nivel de protección 3: protección contra uso indebido deliberado perpetrado con medios avanzados
• Nivel de protección 4: protección contra uso indebido deliberado perpetrado con medios avanzados y recursos considerables

La protección específica y selectiva de una máquina pasa necesariamente por una evaluación detallada de los riesgos de seguridad. Sin embargo, también se puede aumentar la protección empleando medidas genéricas. Cualquier medida es mejor que ninguna. Existen una serie de estrategias que facilitan la implementación de la protección en las empresas:

1. Defense in depth: este principio se basa en poner continuamente obstáculos nuevos y diferentes a los posibles intrusos. Con ello se dificulta que los agresores alcancen su objetivo. La clave está en situar tantos obstáculos como se pueda a todos los niveles posibles, porque naturalmente es posible superar una medida individual. Una parte importante de este concepto es no perder de vista nunca el factor humano.

2. Medidas organizativas: es esencial, por tanto, que todos los trabajadores de la empresa interioricen el concepto de protección. Se recomienda elaborar directrices de cumplimiento obligatorio tanto para el propio personal como para los socios (como proveedores de componentes o de servicios). Y si confiar es bueno, controlar es mejor: conviene designar a un responsable de la protección que compruebe y, en su caso, fomente el cumplimiento de estas directrices.

3. Cursos de formación: como no todos podemos ser expertos informáticos, será necesario ofrecer periódicamente cursos sobre protección a los trabajadores. Los seminarios de Pilz, que pueden organizarse en la sede central de Ostfildern (Stuttgart), en las propias instalaciones del cliente o como webinario, están dirigidos a diseñadores de máquinas y planificadores de instalaciones, pero también a las empresas usuarias.

4. Segmentación "Zones and conduits": las zonas con equipos que comparten requisitos de protección similares deben separarse mediante cortafuegos o routers seguros. A través de las transiciones (Conduits) entre las zonas solo pueden enviar y recibir los equipos que están realmente autorizados para ello. Por ejemplo, los dispositivos relacionados con la seguridad pueden protegerse con medidas especialmente complejas en una zona independiente sin comprometer el funcionamiento estándar.  

5. Cortafuegos (firewalls): aunque los routers y switches pueden soportar también mecanismos de seguridad, es aconsejable instalar además cortafuegos en la red de control. La aplicación Firewall SecurityBridge protege la tecnología de control segura de las máquinas e instalaciones, por ejemplo, contra la manipulación de datos de procesos.

6. Gestión de parches: los parches son un recurso necesario cuando se detectan vulnerabilidades relativas a la seguridad en el software utilizado. Esto afecta al software de aplicación y al software integrado o "embedded". Hay que tener en cuenta no solo los parches y las actualizaciones autorizadas del fabricante, sino también software de terceros (p. ej., aplicaciones ofimáticas, lectores de PDF). Un proceso de parcheado ayuda a definir competencias y el procedimiento.

En materia de protección industrial (Industrial Security), si nos orientamos en la IEC 62443, se establecen aquí una serie de requisitos básicos, denominados "Foundational requirements", que describen métodos técnicos para aumentar la seguridad en el apartado de protección:

Identificación y control de acceso (IAC)

Esto garantiza que solo las entidades legítimas con las autorizaciones necesarias puedan acceder o modificar los dispositivos y la información que contienen. Estas autorizaciones son necesarias para garantizar la operación segura del sistema o instalación y el funcionamiento del IACS (Industrial Automation and Control System).

Control de uso (UC)

El control de uso (CU) se encarga de verificar que sólo entidades autorizadas puedan utilizar los dispositivos y/o la información para realizar tareas válidas y necesarias que son esenciales para la seguridad y la productividad del sistema o la instalación. Lo que importa son las autorizaciones. Y tener en cuenta el principio del "menor privilegio".

Integridad del sistema (SI)

Este requisito básico garantiza que no puedan realizarse modificaciones no autorizadas de datos en los canales de comunicación y que, por tanto, se disponga siempre de datos correctos. Los valores de salida de un visualizador, por ejemplo, deben corresponder a los valores reales y no haber sido manipulados. 

Confidencialidad de los datos (DC)

Todos los datos de una máquina deben ser confidenciales y no deben ser accesibles para personas ajenas o personal no autorizado.

Flujo de datos limitado

Este requisito básico garantiza que los datos fluyan únicamente a las áreas en las que realmente se necesitan. De este modo se reduce la posibilidad de que personas no autorizadas vean o manipulen los datos. Esto significa que la arquitectura del sistema debe diseñarse de forma que pueda dividirse en zonas y transiciones con los niveles de seguridad adecuados. El uso de dispositivos como un gateway unidireccional o un diodo de datos puede ayudar en este sentido.

Reacción rápida a eventos

El IACS debe proporcionar los recursos necesarios para reaccionar a fallos de la seguridad. Esto incluye la notificación a la autoridad competente, la documentación de pruebas del fallo y la aplicación a tiempo de medidas correctoras cuando se detecta un incidente de este tipo.

Disponibilidad de recursos

Se asegurará que, por diseño y mecanismo de funcionamiento, el IACS impida situaciones en las que no sea posible controlar una instalación o, en el peor de los casos, conmutarla a estado seguro. Esto significa que, incluso si se produce un ataque de denegación de servicio (ataque DoS), no debe ser posible impedir que el sistema de seguridad conmute la instalación a estado seguro o que desempeñe su función de protección.

Para cada uno de estos requisitos básicos, se definen requisitos de sistema adicionales que servirán de base para implementar medidas de protección cuyo alcance estará en función del nivel de protección que se quiera alcanzar.