Ciberseguridad en sistemas de gestión en tiempo real
Ya se ha cumplido la primera década del esperado siglo XXI, y toca echar un rápido vistazo atrás a lo que desde el punto de vista de los sistemas SCADA nos ha llevado hasta aquí. Algunos recordarán la década de los 80 como aquella en la que la automatización de los procesos productivos se generalizó de manera decisiva, algo a lo que seguramente ayudó la relativa bonanza económica y la imperiosa necesidad de ser más competitivos por la progresiva apertura de mercados.
Es entonces cuando las inversiones en tecnología, formación continua e I + D se convirtieron en aspectos diferenciadores. Los sistemas SCADA eran por aquel entonces propietarios y de escasa penetración, pero en los 90 nació internet y se popularizó el uso de tecnologías de comunicación móvil. El mercado se globaliza y las empresas más internacionales empiezan a promover la aplicación de metodología lean para los procesos productivos (Lean Manufacturing). Las compañías iban centrando sus esfuerzos en las mejoras de calidad y productividad, así que los beneficios derivados del uso de sistemas informáticos en planta iba animando a las compañías a intervenir en soluciones de información a tiempo real de los procesos y estados de sus instalaciones.
Aunque es una afirmación discutible, la década actual ha supuesto una relativa desacerelación en la puesta en escena de los avance tecnológicos de los que las más poderosas compañías tecnológicas del mundo ya disponen. De entre las causas a considerar no podemos obviar la recurrente pero dramática crisis global que ha afectado decisivamente las inversiones limitándolas a lo absolutamente impescindible al menguar en muchos casos la visión a largo y medio plazo. Pero sin duda otra causa que ha preocupado - y sigue haciéndolo - a lo tecnológos tiene que ver con aspectos de seguridad, y en lo que afecta a los sistemas de control de instalaciones a la llamada ciberseguridad en los sistemas SCADA. No debemos olvidar que los sistemas SCADA (entendidos como la solución formada por Centro de Control, Zonas de Control y redes de comunicaciones ) fueron originariamente diseñados como sistemas funcionales, no como sistema seguros, y tanto los PLCs (Programmable Logic Controller) como los PAC (Programmable Automation Controller) no fueron concebidos en su origen como sistemas de información, sino como sistemas de control, y la integración de estos equipos en el mundo internet e IT en general ha tenido como efecto colateral los problemas inherentes de la inseguridad informática y de las redes. Adicionalmente, la eclosión del uso de sistemas de comunicaciones inalámbricas en los sistema de control está ya suponiendo un notable cambio en la manera de plantear los diseños en las instalaciones, y que aunque va a permitir notables reducciones en los costes de las mismas, va a incidir aún más en los problemas de ciberseguridad, de ahí la preocupación y la ralentización en la implantación de sistema de información a tiempo real.
Hasta la fecha los sistemas SCADA siguen siendo muy vulnerables por diversos motivos, que normalmente derivan de una baja percepción de los factores de riesgo, a diferencia de lo que ocurre con nuestros bienes de uso diario. He aquí un par de ejemplos: hemos pasado en poco tiempo de cerrar nuestro vehículo con chips de identifación personal; igualmente, cada uno de los ordenadores personales de uso tanto privado como profesional disponen de antivirus, firewall y demás sistemas de protección integrados de uno y otro modo. Es la percepción de los factores de riesgo lo que diferencia nuestro nivel de preocupación en estos casos.
Pero resulta que los sistemas Scada deben ser altamente protegidos ya que son los encargados de ejecutar tareas básicas para el funcionameniento adecuado de las instalaciones que proporcionan servicios y bienes imprescindibles para la población (electricidad, carreteras, aeropuertos, red ferroviaria, gas, agua, etc...) , por lo que se convierten en potencialmente atacables. Asegurar la disponibilidad y fiabilidad de las infraestructuras es un objetivo prioritario para las empresas propietarias o explotadoras de las instalaciones, por lo que es necesario focalizar en la detección y en la prevención de posibles ciberataques.
En esta década han sido muchos los episodios de graves problemas ocasionados por ciberintrusión en los sistemas SCADA. Uno de los más conocidos fue el que se produjo en la central nuclear de Browns Ferry el 19 de Agosto de 2006, en el que los operadores tuvieron que detener manualmente uno de los 2 reactores de la planta por el fallo de 2 estaciones de bombeo motivados por problemas de exceso de tráfico en la red Ethernet, que bloquearon el correcto funcionamiento de los controles de los bombeos, poniendo en situación de alerta el funcionamiento de la planta.
Todo ello hace pensar que en los próximos años va a aumentar la preocupación por proteger los sistemas Scada desde el punto de vista informático.
Por una parte crecerán el número de empresas de ciberseguridad especializadas en ofrecer servicios para garantizar, auditar y validar la seguridad informática en los sistemas SCADA y de control. En Estados Unidos este es ya un sector en claro crecimiento desde hace unos años. Igualmente se fomentará el uso de estándares emergentes para la seguridad en sistemas de automatización y control, tales como la ANSI/OSA-99 o la americana NERC (esta ya en uso en el ámbito eléctrico). Los protocolos de comunicaciones entre los centros de control y los distintos equipos inteligentes remotos también van a abordar la problemática de la seguridad (encriptación, autentificación), como por ejemplo Secure DNP3.
Y desde el punto de vista de la seguridad informática van a extenderse las estrategias basadas en "Listas Blancas" o Whitelists (sólo el software y las conexiones previamente autorizadas se ejecutarán), a diferencia de las llamadas "Listas Negras" (negación de acceso sólo a determinados software y conexiones).
Un último apunte: el diseño del sistema es una de las claves del éxito. Un pobre diseño del sistema, o una falta de separaciones entre los distintos subsistemas (necesidad de barreras independientes) puede complicar cualquier actualización posterior destinada a asegurar la seguridad en los sistemas.
Lectura recomendada: "21 Steps to impove Cyber Security of SCADA Networks" elaborado por el President's Critical Infraestructure Protection Board, y el Departamento de Energía de los Estados Unidos en el que se aconsejan acciones específicas para mejorar la implementación, y acciones políticas a establecer para "ciberasegurar" los sistemas.
+ Info: 21 pasos para un sistema ciberseguridad de sistemas SCADA / Inglés
Fuente: www.logitek.es