Por John Maddison, vicepresidente senior de Productos y Soluciones de Fortinet

En la nueva economía digital, los datos y lo que se hace con esos datos son la clave del éxito. Tanto los consumidores como los empleados exigen ahora acceso instantáneo a información crítica que les permita resolver problemas, tomar decisiones informadas o realizar transacciones. Pero esa es solo la parte de la ecuación de datos que la mayoría de nosotros puede ver.

Para competir eficazmente en el mercado digital actual y capitalizar los datos que se recopilan y procesan, las organizaciones deben ser capaces de responder rápidamente a los cambios del mercado y a las demandas de los consumidores, ajustar la producción, realinear los recursos y administrar la infraestructura. Es por eso que 3 de cada 4 organizaciones han comenzado a converger su infraestructura de tecnología de la información (TI) con sus redes de tecnología operativa (OT, por sus siglas en inglés), las que estaban tradicionalmente aisladas.

La convergencia de TI y OT introduce riesgos

Sin embargo, la convergencia que está permitiendo nuevos modelos de negocios ágiles también está introduciendo nuevos riesgos significativos, muchos de los cuales están atrapando a organizaciones completamente desprevenidas. La mayoría de las intrusiones a arquitecturas de Supervisión de Control y Adquisición de Datos y Sistemas de Control Industrial (SCADA/ICS, por sus siglas en inglés) han tenido un impacto alto o crítico en la empresa, desde causar incapacidad para responder a los requisitos de cumplimiento, hasta generar funcionalidad reducida o inestabilidad financiera, e incluso afectar la seguridad de los empleados. Para los equipos de OT responsables de la infraestructura crítica, cualquier tipo de compromiso debe tomarse muy en serio.

Estos son solo algunos de los hallazgos de un nuevo estudio realizado por Forrester Consulting y presentado por Fortinet que explora el estado actual del aseguramiento de la infraestructura crítica, incluidos sus desafíos, prioridades y estrategias relacionadas. Este estudio, realizado en enero de 2018, encuestó a 429 tomadores de decisiones a nivel mundial responsables de seguridad de infraestructura crítica, protección de nivel de IP, IoT y/o sistemas SCADA.

• Si bien la mayoría de las organizaciones reconocen la importancia de la seguridad SCADA/ICS y ya han adoptado numerosas medidas para asegurar estas infraestructuras, también planean aumentar el gasto de seguridad para SCADA/ICS en un 77%, más que en cualquier otro segmento de su red OT o TI. Parte de la razón de este aumento en el financiamiento es que casi todos los que toman las decisiones reconocen que existen desafíos de seguridad potencialmente graves relacionados con la convergencia de OT y TI.
• Las principales preocupaciones de los CSO/CISO incluyen la incapacidad para identificar, medir y rastrear adecuadamente el riesgo, las interrupciones de TI que afectan a los sistemas orientados al cliente y la interrupción de las operaciones comerciales debido a un evento catastrófico. Estos desafíos se ven agravados por la falta de experiencia en seguridad, no solo dentro de su propio personal interno (40%), sino también con los proveedores de terceros a los que subcontratan sus servicios de seguridad (41%). Esto no es solo el resultado de la creciente brecha de habilidades de ciberseguridad que enfrenta toda la industria, sino también del hecho que muy pocos de los profesionales de seguridad disponibles tienen experiencia con entornos de OT.
• Este enfoque hacia la seguridad está siendo impulsado por una serie de temores, el más grande es agregar soluciones en la nube a los sistemas ICS y la incapacidad resultante para identificar o actuar sobre el riesgo consecuente por la visibilidad limitada y la falta de control sobre la infraestructura. Después de las preocupaciones relacionadas con la nube, los siguientes cinco vectores de ataque de seguridad SCADA/ICS que generan preocupación en los líderes de seguridad de OT incluyen: malware (77%), hackeo interno (73%) o externo (70%), fuga de información sensible o confidencial (72%) y la falta de autenticación de los dispositivos (67%).
• Todas las organizaciones encuestadas ahora cuentan con tecnologías IoT, con empresas que tienen un promedio de 4,7 tipos diferentes de tecnologías IoT conectadas a su red, incluyendo RFID pasiva, rastreo de ubicación en tiempo real (RFID activa, banda ultra ancha, ultrasonido, etc.), rastreo de GPS, sensores de seguridad y sensores de condición de ambientes. Estos dispositivos también usan una amplia gama de protocolos de comunicaciones como Wi-Fi, sistemas celulares CDMA/GPRS/4G, redes de malla, telemática y comunicaciones de campo cercano (NFC, por sus siglas en inglés).

Cada una de estas tecnologías no solo plantean sus propios desafíos de seguridad, sino que se combinan con muchos de los problemas de seguridad inherentes a los dispositivos IoT que se han creado utilizando código deficiente, que tienen “puertas traseras” y contraseñas integradas directamente en su firmware o que funcionan como dispositivos que impiden incluso la actualización básica y los parches.

¿Qué es posible hacer?

Para muchas organizaciones en esta situación, la pregunta más importante que a menudo se hacen es por dónde empezar. La mayoría de las organizaciones encuestadas consideran que la mejor manera de evitar los desafíos relacionados con la convergencia de OT y TI es llevar a cabo una evaluación completa del riesgo comercial y operacional, independientemente de qué tan avanzados estén en su estrategia de convergencia.

Otras medidas críticas que las organizaciones pueden considerar, basadas en las mejores prácticas y los comentarios de los participantes de la encuesta, incluyen:

• La implementación de controles críticos de seguridad de red como NGFW, IPS y Sandboxing en el perímetro del entorno OT; aumentar la centralización de la administración de dispositivos y la toma de decisiones; encriptación de datos y tráfico; y dada la naturaleza altamente sensible de los sensores y sistemas implementados en entornos de infraestructura crítica, establecer monitoreo pasivo y controles dentro del entorno de OT.
• Aislar a la infraestructura crítica de las redes de producción, a los dispositivos de TI y al personal, utilizando estrategias de segmentación y microsegmentación.
• Realizar registro y análisis continuo de todo el tráfico de la red (analítica de seguridad).
• Implementar autenticación de dos factores, que incluye datos biométricos (por ejemplo, huella digital, voz, reconocimiento facial, etc.) y el establecimiento de control de acceso basado en roles para todos los empleados (IAM), así como gestión de identidades privilegiadas para los administradores (PIM).
• Invertir en desarrollar una experiencia de seguridad específica para SCADA/ICS, OT e IoT internamente.

El éxito en la nueva economía digital requiere desarrollar redes integradas que puedan aprovechar todos los recursos disponibles, ya sea dentro de la red tradicional, a través de dispositivos y aplicaciones de punto terminal, a través de entornos de múltiples nubes e incluso en sistemas SCADA/ICS en su red OT. Lograr esto, sin embargo, introduce nuevos riesgos, muchos de los cuales podrían tener consecuencias devastadoras si se concretaran.

A medida que los ataques se vuelven más frecuentes, el potencial de un evento catastrófico que pone en riesgo a los trabajadores o incluso a las comunidades continúa aumentando y las organizaciones deben tomar precauciones que les permitan ver y responder a las amenazas e incluso anticiparlas, independientemente de dónde ocurran a través de la red en expansión.