Pese a los marcos existentes para proteger los entornos de tecnología operativa (OT), los controles de ciberseguridad a menudo se relajan o se pasan por alto durante fases clave del ciclo de vida.
Pueden surgir riesgos durante la Factory Acceptance Testing, la Site Acceptance Testing, el mantenimiento de parada y los servicios brownfield.
Aquí analizamos cómo se pueden mitigar estos riesgos.
Pese a los marcos existentes para proteger los entornos de tecnología operativa (OT), los controles de ciberseguridad a menudo se relajan o se pasan por alto durante fases clave del ciclo de vida, como la Factory Acceptance Testing (FAT), la Site Acceptance Testing (SAT), el mantenimiento de parada y los servicios brownfield, lo que aumenta la vulnerabilidad frente a las ciberamenazas. Según CISA, en su informe de 2022 destaca un aumento del 30% en los ciberataques contra sistemas OT, con más de 800 incidentes. Los hallazgos de ENISA confirman esto y muestran que el 63% de las infraestructuras críticas sufrió ciberincidentes, y el 55% tenía como objetivo sistemas OT.
Los primeros meses de 2023 registraron ciberataques notables: un ataque de ransomware contra una planta de agua de EE. UU. en enero; una alteración de la red eléctrica europea en febrero; y la paralización de las operaciones de una empresa de transporte asiática en marzo. Estos incidentes subrayan la importancia de una ciberseguridad rigurosa a lo largo de todo el ciclo de vida de los sistemas OT, especialmente en las etapas críticas
Riesgos durante el hito FAT y controles propuestos
Durante la FAT, una etapa fundamental del ciclo de vida del sistema OT, el sistema se prueba en un entorno controlado para confirmar que cumple los requisitos de diseño. Sin embargo, durante la FAT, los controles de ciberseguridad suelen volverse menos rigurosos, con un énfasis principalmente en las especificaciones de diseño por encima de la seguridad, a menos que se incluyan explícitamente en el alcance. Es fundamental integrar controles de ciberseguridad esenciales de alto nivel en esta etapa para evitar trasladar riesgos o amenazas al emplazamiento después de la FAT. Este enfoque proactivo es clave para mantener una seguridad sólida a lo largo del ciclo de vida del sistema. Estos controles incluyen, entre otros, los siguientes:
• Seguridad del área de preparación
Las áreas de preparación, destinadas a las pruebas del sistema previas al despliegue, requieren medidas seguras para impedir el acceso no autorizado, evitando así la introducción de malware u otras amenazas en los entornos de producción.
• Personas
Las personas son siempre el eslabón más débil de cualquier sistema de seguridad. Es importante formar a los empleados en las mejores prácticas de ciberseguridad. Esto incluye la formación para identificar actividades de phishing, gestionar la información confidencial de los proyectos, cumplir los requisitos de ciberseguridad e identificar y notificar un ciberincidente.
¿Cómo aborda el Foro Económico Mundial los crecientes desafíos de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a reforzar la ciberresiliencia y a abordar retos que requieren respuestas colectivas.
• Listas de activos
Una lista de activos es un inventario exhaustivo de todos los activos de hardware y software utilizados en un proyecto específico. Esta lista es el pilar principal para detectar y comprender si se han producido cambios.
La lista de activos contiene información sobre las versiones de firmware, el sistema operativo, las direcciones IP y MAC, las vulnerabilidades, lo que se ha parcheado y lo que no, las últimas actualizaciones de la seguridad de los puntos finales, etc. La lista debe mantenerse y actualizarse periódicamente para garantizar que todos los activos estén debidamente protegidos, así como para permitir una gestión eficaz de las vulnerabilidades y los parches.
• Controles de acceso
Los controles de acceso son esenciales para impedir el acceso no autorizado a la información y los sistemas confidenciales. Esto incluye la implantación de políticas sólidas de contraseñas, la autenticación multifactor y otros mecanismos que garanticen que solo el personal autorizado pueda acceder a zonas o funciones sensibles.
• Configuración segura
La configuración segura implica aplicar las mejores prácticas de seguridad al configurar los sistemas de hardware y software. Esto incluye desactivar servicios y puertos innecesarios, utilizar cifrado robusto y aplicar otras medidas de seguridad para reducir la superficie de ataque de un sistema.
• Gestión de vulnerabilidades y parches
La gestión de vulnerabilidades y parches implica analizar periódicamente los sistemas en busca de vulnerabilidades y desplegar parches para corregir los problemas conocidos. Esto es fundamental para evitar que los atacantes exploten vulnerabilidades conocidas para acceder a información sensible o interrumpir las operaciones.
• Gestión de incidentes
La gestión de incidentes implica contar con un plan para responder a los ciberincidentes cuando se producen. Esto incluye determinar el alcance del incidente, contenerlo y recuperarse de él, así como realizar un análisis posterior al incidente para identificar áreas de mejora.
Todos estos controles deben implantarse y documentarse durante el hito de la FAT para garantizar que los posibles riesgos no se trasladen al emplazamiento.
Riesgos durante el hito SAT
De manera similar, el periodo de mantenimiento SAT/shutdown y servicios brownfield hito también plantea un riesgo de ciberseguridad para el sistema OT. Durante este hito, el sistema se prueba en su entorno real y se resuelven los problemas detectados. Sin embargo, estos hitos pueden requerir poner el sistema fuera de servicio, y los controles de ciberseguridad pueden relajarse para facilitar las actividades de mantenimiento. Además, es posible que los contratistas externos no conozcan los controles de ciberseguridad del sistema, lo que puede provocar problemas de ciberseguridad al completar los trabajos de mantenimiento y al volver a poner en servicio el sistema o la planta para reanudar la producción. Esto puede dar lugar a decenas de cambios no rastreables en los controles de ciberseguridad, que quedan desactivados o eludidos.
Controles de alto nivel propuestos
Además de los controles de alto nivel mencionados durante el hito FAT, es necesario implantar controles adicionales durante el periodo de mantenimiento SAT/shutdown y en los servicios brownfield, debido al entorno dinámico de la SAT. Estos controles incluyen:
• Integración del entorno
Durante la SAT se evalúa la integración del sistema con los sistemas operativos circundantes. Esto puede identificar vulnerabilidades derivadas de las interacciones con otros sistemas o software.
• Integración de redes y cortafuegos
Dado que el sistema se encuentra ahora en su entorno de red previsto, la SAT puede evaluar cómo interactúa con los cortafuegos, los sistemas de detección de intrusiones y otras medidas de seguridad de red. Puede descubrir vulnerabilidades, como puertos abiertos que no deberían estarlo, o posibilidades de acceso no autorizado a la red.
• Autenticación y autorización
Aunque estos aspectos pueden probarse durante la FAT, durante la SAT se prueban en el contexto del entorno operativo. Por ejemplo, cómo se integra el sistema con las soluciones de gestión de identidades y accesos de la empresa.
• Pruebas de equipo rojo/azul
En ocasiones, las organizaciones pueden optar por realizar pruebas de penetración más agresivas (ejercicios de equipo rojo) durante la SAT para comprobar cómo resiste el sistema los ciberataques simulados en su entorno real.
• Integración de la respuesta a incidentes
Durante la SAT también puede probarse cómo se integran los incidentes del sistema en el plan y las herramientas de respuesta a incidentes de la organización en su conjunto.
Cómo mitigar estos riesgos
Para mitigar estos riesgos, los usuarios finales, contratistas, proveedores y suministradores deben establecer y adoptar un proceso sólido de gestión de cambios que incluya documentación adecuada, mecanismos de aprobación y procedimientos de prueba y validación. Este proceso debe garantizar que todos los cambios, incluidos los realizados durante los periodos críticos e intermedios, se registren adecuadamente, se evalúen en cuanto a sus implicaciones de seguridad y se validen antes de la puesta en servicio del sistema. Un enfoque más avanzado y estricto consiste en asignar a un responsable de ciberseguridad específico para hacer un seguimiento y documentar todos los cambios realizados en los distintos hitos.
