infoPLC ++ / Tecnología / La ciberseguridad en sistemas y redes de control de procesos industriales

La ciberseguridad en sistemas y redes de control de procesos industriales


Un análisis sobre los retos de seguridad que plantea la fábrica conectada. Un artículo del Dr. Léonard Janer disponible en nuestro Magazine #12 que puedes recoger en papel en nuestro stand H114 de #AF2019.

La ciberseguridad en sistemas y redes de control de procesos industriales

La llamada cuarta revolución industrial sin duda trae consigo nuevos riesgos operativos en los entornos de plantas industriales conectadas, la fabricación inteligente y las cadenas de suministros digitales, el elemento ciber. Nos acabamos de integrar a un mundo que se mueve de forma muy rápida, y sin ser del todo conscientes hemos abierto las puertas de nuestros entornos industriales a las amenazas, vulnerabilidades y riesgos de la ciberseguridad [1]. En este marco, vamos a introducir cuáles son desde nuestra experiencia las tendencias del mundo industrial conectado y su interrelación con procedimientos de seguridad.

Introducción

No hace falta que hagamos aquí una enumeración de sucesos vinculados a fallos de seguridad en entornos industriales (en algunos casos sin conectividad clara con el mundo exterior) para que todos los lectores tengan consciencia de la importancia de colocar los aspectos de ciberseguridad en primera línea de nuestras guías de buenas prácticas con el objetivo de poder actuar de forma adecuada ante cada situación: no podemos vivir de espalda a las amenazas y riesgos de seguridad, y si estamos en proceso de transformación digital, la ciberseguridad debe estar entre los pilares fundamentales de tal transformación [2].

La ciberseguridad como agente transversal

Lo primero es entender que con el advenimiento de la revolución IOT [3] hemos aproximado dos entornos que no siempre han convivido. Por un lado nuestro entorno industrial, en el que nos gusta tener un control absoluto de todo lo que acontece y donde tenemos un acceso muy restrictivo para poder ver, monitorizar y, mucho menos, actuar sobre alguna variable de nuestro sistema. Donde todos los protocolos y sistemas que tenemos desplegados han sido testeados y validados de forma minuciosa, incluso a causa de ello, a veces con una cierta tendencia a una falta de actualización (casi nunca utilizamos versiones muy poco validadas en uso).

Por otro lado el entorno digital de los sistemas de información y la conectividad (IT) que fluye a un ritmo increíblemente rápido y que fuerza a todo el entorno global a ir mucho más rápido de lo deseado, donde se van incluyendo parches y actualizaciones a un ritmo vertiginoso y donde se fuerza permanentemente la incorporación de nuevos protocolos y servicios. Veamos pues cuáles son algunas de las consecuencias de este llamémosle stress digital en los entornos industriales, desde una perspectiva de seguridad. Tal y como vemos en la Figura 1, en todas las tecnología habilitadoras en la transformación digital de la fábrica conectada, tenemos que tener en cuenta los aspectos y retos de la ciberseguridad. Siempre está, visible o invisiblemente.

Conectividad ante todo

Necesitamos que todo y todo el mundo esté permanentemente conectado e informado en tiempo real de lo que acontece en nuestro entorno industrial. Y esto nos condiciona.
Las personas quieren poder tener información con visores en forma de cuadros de mando de lo que está pasando en la planta, y además lo quieren hacer de forma usable (es decir sin demasiados impedimentos, de forma cómoda), con lo que no podemos abusar de los procedimientos de control y securización, y ello sin duda abre un universo de vulnerabilidades a nuestro sistema global. Es imprescindible en este entorno entender que no debemos descuidar los procedimientos de configuración segura de todas las comunicaciones desde el mundo exterior, y que no podemos tener confianza ciega en ningún dispositivo, con lo que si no se cumplen las condiciones que marquemos a nivel de configuración de seguridad del dispositivo que usa la persona que quiere conectarse, ni de la red y forma de conexión, nunca debemos permitir la conexión. Para ello debemos disponer de elementos de seguridad que nos permitan comprobar y modificar si fuera necesario (y posible) las configuraciones de los dispositivos remotos, instalando las actualizaciones y parches de seguridad necesarios, antes de permitir la conexión.

Por otro lado, queremos que la planta y todo el entorno industrial pueda estar conectado para disponer de una información en tiempo real de lo que está sucediendo. Ello nos obliga a introducir una capa de conectividad IT en nuestros entornos industriales que abre al mundo exterior de forma no siempre directa, todo nuestro sistema. Hemos de garantizar que estamos usando los sistemas y configuraciones adecuados, y que disponemos de las competencias necesarias para entender el entorno IT, y para configurarlo y mantenerlo de forma segura [4]. No estamos ya hablando de la configuración de un servidor web que estará en una zona desmilitarizada de nuestra red, sino de llegar al corazón de nuestro sistema.

Disponibilidad sin cables

No es suficiente estar conectados, debemos estarlo sin cables, y esto sobre todo afectará a nuestras plantas e instalaciones [5]. Debemos disponer de un entorno de conectividad sin cables a todos los equipos que queramos tener conectados, y ello nos provoca algunos riesgos importantes: (1) acceso no controlado, pues no tenemos claramente identificado el perímetro en el que tendremos conectividad a nuestra red, (2) interferencias en nuestros sistemas provocadas por los mecanismos de comunicación sin cable (3) dimensionamiento adecuado del número de dispositivos que van a tener que poder conectarse y de la cobertura (espacial) que necesitamos.

Debemos de poder decidir cuáles son los entornos sin cable que vamos a utilizar para dar conectividad en nuestro entorno [6]. Además de las soluciones más tradicionales como Zigbee, Wi-Fi, Bluetooth, tenemos las digamos nuevas alternativas como 5G, LoRa, NB-IOT. Debemos encontrar el equilibrio entre costes de despliegue y de operación, consumos, coberturas, y claro seguridad.

Todo está en movimiento

Este entorno de alta conectividad además debe funcionar en movilidad. Los usuarios se mueven por nuestras instalaciones y la gestión de las políticas de seguridad debe considerar tanto el perfil del usuario como la ubicación. Disponer de potentes herramientas de configuración y gestión de perfiles de usuarios es imprescindible para poder desplegar estas políticas de forma eficiente, eficaz y segura. La gestión no debe ser compleja, por lo que es necesario disponer de plataformas visuales de configuración (que sean intuitivas y potentes).

Dónde almacenamos la información

Con una planta hiperconectada, es relevante dónde vamos a ubicar la información. En este sentido las soluciones de cloud son cada vez más necesarias [7]. En primer lugar debemos considerar si vamos a trabajar con un entorno de cloud público o privado, y en cada caso considerar los riesgos asociados: entorno aislado frente a garantías de servicio (con el coste siempre en consideración). A partir de aquí es importante decidir si vamos a entender a qué servicio vamos a demandar: Infraestructuras (IaaS), Plataformas (PaaS), Software (SaaS), ITaaS (servicio integro).

La clara definición de los Niveles de Garantía de Servicio (SLA) y de la capacidad de escalabilidad de la solución es imprescindible para garantizar la adecuada disponibilidad de la solución. Cuando pensamos en los tres pilares de la ciberseguridad, CIA, la Confidencialidad, la Integridad y la Disponibilidad, es importante que no descuidemos éste último: de nada nos sirve un entorno seguro no disponible, nos podría parar la producción y las consecuencias serán terribles. Para los entornos escalables es importante considerar la posibilidad de escalar tanto vertical como horizontalmente.

Dónde vamos a procesar la información

El procesamiento en nuestro sistema se está desplazando de una ubicación centralizada con altas prestaciones hacia la periferia. Cada vez acercamos más el tratamiento de los datos a la fuente de los mismos, para por un lado evitar problemas relacionados con la comunicación de los datos, que se convierten en problemas de seguridad y de latencia, pero por otro lado para reducir la latencia provocada por no poder llevar a cabo el procesamiento cerca de la fuente. En los entornos IOT cada vez se está popularizando más el concepto de edge computing, y por lo tanto debemos manejar soluciones que permitan el almacenamiento (a veces temporalmente y otras permanentemente) de información de forma distribuida con todas las implicaciones referentes a la integridad y confidencialidad de los datos que ello comporta.

Cómo desplegamos nuestras políticas de seguridad

En este entorno industrial muy distribuido, de alta conectividad y fuerte interacción de los usuarios y sistemas en tiempo real, necesitamos de herramientas para la configuración adaptativa de las políticas y reglas de seguridad. No dispondremos de un perímetro claramente definido en el que podremos implantar políticas de seguridad de acceso, sino que deberemos disponer de una solución para poder aprender en cualquier punto de la red nuevas amenazas y vulnerabilidades para cambiar las políticas en ese punto, y trasladar esa información para poder adaptar los procedimientos de securización en todo nuestro sistema.

La llegada de la Inteligencia Artificial

Nuestro entorno digital va a estar controlado por la información, tanto nuestra como de contorno, por lo que cada vez se trabajará más con soluciones que se adaptan al momento, y esta adaptación ya no se basa en reglas preconfiguradas sino que se basa en modelos y mecanismos de aprendizaje automático [8]. Debemos aprender a confiar en estas soluciones, pero no podemos utilizarlas sin garantizar que siempre tenemos un “cierto” control sobre lo que pueda suceder. El control industrial tiene una larga trayectoria, de la que hemos de aprovechar todos los procedimientos asociados con la seguridad que hemos venido utilizando desde hace mucho tiempo.

Cuáles son los vectores de infección que nos afectarán

Para poder gestionar la seguridad de nuestro sistema, debemos conocer muy bien nuestra realidad. El factor determinante para una buena gestión de la ciberseguridad en un entorno industrial empieza por conocer nuestros activos y tener capacidad de cuantificarlos (sin medida nunca puede haber control) [9]; después debemos tener identificadas las vulnerabilidades y amenazas que nos rodean, que se pueden convertir en riesgos que finalmente pueden tener un impacto en nuestro entorno industrial. Sin la capacidad de poder poner cifras de alguna forma a todo este universo, no podremos llevar a cabo una gestión de la ciberseguridad. Debemos conocer el coste de un potencial incidente de seguridad, para poder cuantificar la inversión que podemos asumir: debemos llevar a cabo inversiones de forma continuada para mantener los niveles de riesgo en el punto asumible para nuestro negocio. Debemos definir una línea de actuación [10] para que las diferentes anualidades tengan un sentido: hay que evitar las inversiones reactivas en seguridad, y procurar tener un plan director de la gestión de la seguridad, que siguiendo las recomendaciones y estándares internacionales aplicables en nuestro sector, nos determine en qué procesos intervenir, y de qué forma. No podremos nunca tener un sistema completamente seguro, pero debemos garantizar que nuestro nivel de riesgo es el adecuado, y que mantenemos los necesarios y pertinentes niveles de actuación e inversión [11], porque hay que conseguir que la seguir y el negocio puedan convivir, los dos deben garantizarse

Conclusiones

Como hemos visto se nos abre un enorme abanico de retos a afrontar [12]. Muchas novedades que nos vienen más o menos impuestas y de las que no podemos huir. Es importante que entendamos que para poder afrontar de forma correcta todo lo que se nos viene encima no podemos hacerlo en solitario y a escondidas. Cuanto más y mejor aprendamos a colaborar mejor serán nuestros resultados en ciberseguridad [13]. Cambiemos pues la manera en la que afrontamos nuestros retos y problemas… seamos pues mucho más abiertos: no nos escondamos, aprendamos a hablar para aprender y mejorar.

Dr. Léonard Janer. Escola Superior Politècnica del Tecnocampus. Profesor Master Industria 4.0

Bibliografía

[1] Bay, Morten (2016). «What is Cybersecurity? In search of an encompassing definition for the post-Snowden era». French Journal for Media Research (núm. 6).
[2] Fruhlinger, Josh (2017, 22 de agosto). «What is Stuxnet, who created it and how does it work?» [en línea]. CSO
[3] Scully, Padraig (2017, 19 de enero). «Understanding IoT Security – Part 2 of 3: IoT Cyber Security for Cloud and Lifecycle Management» [en línea]. IOT Analytics
[4] Symantec (2017). Internet Security Threat Report [en línea].
[5] ENISA(European Union Agency for Network and Information Security) (2011). Protecting Industrial Control Systems Recommendations for Europe and Member States [en línea].
[6] GSMA (2016). IoT Security Guidelines. Overwiev Document [en línea]. GSM Association.
[7] Abdoulaye, Philippe A. (2015, 9 de octubre). «How CIOs can reinvent IT with ITaaS» [en línea]. CIO Magazine
[8] Ramzan, Zulfikar (2016, 15-16 de noviembre). «Quick Look: Machine Learning–Cybersecurity Boon or Boondoggle» [en línea]. RSA Conference. Where the world talks security. Abu Dhabi.
[9] Miessler, Daniel (2017, 17 de octubre). «An Information Security Metrics Primer».
[10] Hayslip, Gary (2018, 21 de febero). «Building a cybersecurity strategic plan» [en línea]. CSO
[11] InfoSec (2018). IT Security Standards and Best Practices [en línea]
[12] Yu, Sounil (2017, 13-17 de febrero). «Solving Cybersecurity in the Next Five Years: Systematizing Progress for the Short Term». RSA Conference 2017. San Francisco.
[13] Valadés, B.; Marchal, D. (2016, 19 de diciembre). «Colaboración público-privada, esencial para garantizar la protección de las infraestructuras críticas» [en línea]. Segurtecnia.