Blog B-SECURE

Seguridad en Ambientes Industriales - OT/ICS

Cada vez más las acciones de los ciberatacantes en el mundo digital tienen mayores consecuencias sobre el mundo real. En septiembre de este año, el MIT titulaba en su publicación “Una persona fallece a causa de un ciberataque por primera vez en la historia” debido a un ataque de Ransomware efectuado contra el hospital de Düsseldorf en Alemania, acto que dejó todos los sistemas inhabilitados y llevó a una paciente a requerir asistencia de cuidados intensivos; falleció debido a que tuvo que ser trasladada.

Aunque el titular anterior pudiese sugerir que esto es relativamente nuevo, lo cierto es que el mundo lleva ya varios años experimentando ciberataques con consecuencias físicas, uno de los primeros y más sonados sucedió en Estonia en 2007 por la célebre estatua del soldado de Bronce, cuya decisión de mover la efigie por parte del estado, desató una gran cantidad de ciberataques que le impidieron a los ciudadanos de Tallin usar servicios gubernamentales y servicios bancarios, ocasionando una parálisis total a la economía.

Otros ejemplos con consecuencias exponenciales suceden cuando los ciberataques están dirigidos a las infraestructuras críticas de una ciudad o un país, por ejemplo, las plantas de tratamiento de agua, o el suministro eléctrico; esto precisamente fue lo que sucedió en 2015 y 2016 en Ucrania, cuando una ola de ciberataques, probablemente ocasionados por grupos de hackers rusos ocasionaron apagones generalizados en la región de Ivano-Frankivsk y en Kiev, dejando a 85.000 personas y 600.000 hogares sin energía eléctrica respectivamente y en pleno invierno, pudiendo ocasionar muertes aún sin calcular.

[TAMBIÉN LE PUEDE INTERESAR VER: Tecnologías Recomendadas para Asegurar Ambientes OT]


Diferencias entre 'security' y 'safety'

Por la razón anterior, es que la seguridad en el mundo digital ya no sólo debe centrarse en los pilares del 'security' como lo son la confidencialidad, integridad y disponibilidad, sino también en el 'safety'.

Pueden ser confusos estos términos ya que su traducción no es muy exacta, pero 'security' suele ser la seguridad enfocada a actos intencionales (ataques, robos, daños, etc), mientras el 'safety' suele ser la seguridad sobre los riesgos fortuitos en el mundo físico (daños a personas, accidentes medioambientales, etc).

grafica1

La gestión de riesgos en las organizaciones y los controles que sean implementados, deberán tener en cuenta entonces el riesgo operacional (relacionado con el 'safety') y el riesgo de seguridad (relacionado con las brechas y vulnerabilidades) con el fin de tomar las mejores decisiones en la protección de los ambientes industriales en los que, al conectarse al mundo digital y haber estado totalmente aislados en las arquitecturas tradicionales, han aumentado considerablemente los riesgos.

Por esta razón, también es necesario implementar políticas de 'Zero Trust' alineándose con los estándares ISA-95/IEC 62264 para evitar la propagación de amenazas y los movimientos laterales dentro de la red.

piramide


Diferencias entre IT y OT

Al evaluar la necesidad de controles para mitigar algún riesgo según lo mencionado anteriormente, es necesario evaluar también las siguientes características:

Performance: Mientras que en un ambiente IT lo más importante puede ser el throughput para evaluar el rendimiento, en un ambiente OT lo más importante suele ser su capacidad para responder en tiempo real. Un pequeño delay o jitter que introduzcan en la comunicación, puede ocasionar graves daños en la operación.

Disponibilidad: Mientras en el mundo IT los reinicios suelen usarse con bastante frecuencia para solucionar errores, en el mundo OT no suelen ser aceptables, de hecho, es recomendable que los sistemas sean redundantes y que los cortes en el proceso de operación sean programados con semanas de anticipación.

Sistemas operativos y comunicaciones: En los ambientes IT suelen usarse sistemas operativos estándar como Windows o Linux, los cuales son actualizados constantemente y parchados para evitar vulnerabilidades; los protocolos de comunicación también son estándar (TCP/IP) y sus riesgos son conocidos. En el mundo OT, cada fábrica cuenta con S.Os propietarios, lo que dificulta la identificación de vulnerabilidades y la generación de parches (nada más en la categoría de PLCs hay más de 20 marcas diferentes), los protocolos de comunicación son propietarios y no son tan estudiados ni tan conocidos para identificar todos sus riesgos.

Cada vez más, con la convergencia de redes, las compañías están buscando fabricantes con S.Os más comunes y protocolos de comunicación sobre TCP/IP, lo que conlleva a su vez a mejorar la gestión y el soporte, que es uno de los grandes retos de la industria.

Vida útil: Los equipos en el mundo IT tienen una vida útil entre 3 y 5 años, mientras en el mundo OT suelen tener una vida útil entre 10 y 15 años, lo que aumenta el riesgo y las vulnerabilidades en cada dispositivo, en caso de no estar actualizados.

Localización: Usualmente en el mundo IT los componentes pueden ir en data centers con condiciones ambientales específicas; en el mundo OT es frecuente encontrar ambientes aislados, con demasiada interferencia y sin refrigeración.

En suma, las tecnologías, al igual que los procedimientos, suelen manejarse de manera diferente en el campo IT y en el OT; entender esas diferencias le permitirá tomar medidas más acertadas y seguras a la hora de desarrollar proyectos. 

[TAMBIÉN LE PUEDE INTERESAR VER: Estado de la Ciberseguridad OT / ICS]