Seguridad industrial
Ciberseguridad OT: cómo proteger los sistemas industriales y sus dispositivos
La ciberseguridad OT protege la tecnología operativa: los sistemas y dispositivos programables que supervisan y controlan procesos físicos, como los PLC, los controladores industriales, la automatización de edificios y los robots. A diferencia de la TI de oficina, la disponibilidad y la seguridad física van primero, así que cada control se elige de modo que no interrumpa el proceso.
Plan gratuito, sin tarjeta.
¿Qué es la tecnología operativa?
La NIST SP 800-82 Rev. 3, la guía estadounidense de seguridad OT publicada en septiembre de 2023, describe la OT como una amplia gama de sistemas y dispositivos programables que interactúan con el entorno físico o gestionan dispositivos que lo hacen. Sus ejemplos incluyen los sistemas de control industrial, la automatización de edificios, los sistemas de transporte y el control de acceso físico.
Los sistemas de control industrial estuvieron aislados durante mucho tiempo, funcionaban durante décadas y hablaban protocolos propietarios. Muchos se conectan ahora a redes corporativas, servicios en la nube y herramientas de mantenimiento remoto, y muchos controladores, pasarelas y paneles de operador ejecutan software comercial o de código abierto, incluido Linux embebido. Esa conectividad lleva a la planta vulnerabilidades propias de la TI.
En qué se diferencia la seguridad OT de la seguridad TI
Las mismas técnicas de ataque funcionan en ambos mundos, pero las prioridades son distintas. La guía del NIST aborda la seguridad OT teniendo en cuenta sus requisitos particulares de rendimiento, fiabilidad y seguridad física, y por eso las herramientas y los hábitos de TI no pueden trasladarse sin más a una planta.
| Aspecto | TI de oficina | OT |
|---|---|---|
| Primera prioridad | Confidencialidad e integridad de los datos | Disponibilidad y seguridad física del proceso |
| Actualizaciones | Periódicas, a menudo automáticas | Planificadas en torno a la producción; algunos sistemas no pueden actualizarse con rapidez |
| Vida útil | Unos pocos años | A menudo mucho mayor, a veces décadas |
| Pruebas | Normalmente posibles en sistemas en producción | Los análisis activos pueden perturbar los controladores; las pruebas se hacen en entornos de prueba o de forma pasiva |
| Cambios | Frecuentes | Estrictamente controlados, a menudo con nueva validación de seguridad |
Los principales riesgos de la ciberseguridad OT
La mayoría de los incidentes de OT empiezan por debilidades bien conocidas. Las guías para sistemas industriales señalan siempre las mismas:
- Redes planas, en las que un atacante que llega a la red de oficina también llega a los controladores.
- Acceso remoto de proveedores y de mantenimiento que elude los controles de seguridad.
- Credenciales predeterminadas o compartidas en controladores, paneles de operador y estaciones de ingeniería.
- Vulnerabilidades conocidas en sistemas operativos obsoletos, firmware y componentes de terceros que siguen sin parchear durante años.
- Protocolos industriales diseñados sin autenticación, de modo que cualquiera en la red puede enviar órdenes.
- Visibilidad limitada: no hay un inventario completo de activos, versiones de firmware y componentes de software que contienen.
IEC 62443: el marco de referencia de la ciberseguridad OT
La serie ISA/IEC 62443, desarrollada por el comité técnico 65 de la IEC junto con el comité ISA99, es el marco de referencia internacional para la seguridad de los sistemas de automatización y control industrial. Organiza la seguridad por roles: el propietario del activo que opera la planta, el integrador que construye el sistema y el proveedor del producto que fabrica los componentes.
Para los operadores, las partes de sistema definen zonas y conductos, la evaluación de riesgos y los niveles de seguridad. Para los fabricantes de productos, la IEC 62443-4-1 fija requisitos para un ciclo de vida de desarrollo seguro y la IEC 62443-4-2 las capacidades técnicas de seguridad de componentes como controladores, sensores y pasarelas. La guía de la IEC 62443 de este sitio cubre la serie con detalle.
Dónde encajan el firmware y la cadena de suministro de software
Cada controlador, pasarela, panel de operador y PC industrial ejecuta un firmware construido a partir de componentes, a menudo con bibliotecas de código abierto, un kernel de Linux y servicios de red. Cuando se publica una vulnerabilidad en uno de esos componentes, el operador y el fabricante del dispositivo se hacen la misma pregunta: ¿qué productos y versiones lo contienen?
Por eso un software bill of materials (SBOM) por versión de firmware se está convirtiendo en una petición habitual de los clientes industriales. La IEC 62443-4-1 pide a los proveedores de productos que gestionen los defectos de seguridad y las actualizaciones de seguridad, y el Cyber Resilience Act de la UE exigirá a los fabricantes de productos con elementos digitales, entre ellos muchos componentes industriales, que elaboren un SBOM y gestionen las vulnerabilidades durante todo el período de soporte.
Primeros pasos de un programa de ciberseguridad OT
La mayoría de los marcos empiezan en el mismo punto: saber qué se tiene y reducir después cómo se puede llegar a ello.
- Crea un inventario de activos que incluya las versiones de firmware y, cuando se disponga de ellos, los componentes de software de cada dispositivo.
- Segmenta las redes en zonas y controla los conductos entre ellas, como describen la IEC 62443-3-2 y la 3-3.
- Controla y registra el acceso remoto y elimina las credenciales predeterminadas.
- Sigue las vulnerabilidades que afectan a tus dispositivos, con los avisos de los fabricantes y el catálogo KEV de CISA, y planifica las actualizaciones en torno a la producción.
- Pide a los proveedores SBOM, compromisos de actualizaciones de seguridad y un contacto para la divulgación de vulnerabilidades.
Disponible hoy en KROMSE
KROMSE no monitoriza redes OT, no descubre activos de planta ni inspecciona protocolos industriales. Analiza el software y el firmware basado en Linux de los dispositivos que fabrica o utiliza.
- Imágenes de firmware basadas en Linux de hasta 512 MB, desempaquetadas de forma recursiva, con los paquetes contrastados con OSV.dev y los binarios comparados sin conexión con datos de vulnerabilidades basados en NVD.
- Las imágenes cifradas y el firmware bare-metal o RTOS sin sistema de archivos se marcan como no analizables, no como limpios.
- SBOM CycloneDX y SPDX de cada análisis.
- Contexto de CISA KEV, FIRST EPSS, NVD y la EUVD de ENISA en los hallazgos, con las vulnerabilidades de explotación conocida señaladas.
Preguntas frecuentes
¿Qué significa OT en ciberseguridad OT?
Tecnología operativa: el hardware y el software que supervisa y controla equipos y procesos físicos, a diferencia de la tecnología de la información, que maneja datos. Los sistemas de control industrial son el núcleo de la OT.
¿Es lo mismo la ciberseguridad OT que la seguridad ICS?
En gran parte. La seguridad de los sistemas de control industrial (ICS) es el núcleo de la ciberseguridad OT. OT es el término más amplio y abarca también la automatización de edificios, los sistemas de transporte, el control de acceso físico y otros sistemas que actúan sobre el mundo físico.
¿Qué normas se aplican a la ciberseguridad OT?
La serie ISA/IEC 62443 es la referencia internacional, y la NIST SP 800-82 Rev. 3 es una guía muy utilizada. En la UE, la NIS2 fija obligaciones para entidades de muchos sectores, y el Cyber Resilience Act cubre los productos con elementos digitales, entre ellos muchos componentes industriales.
¿Puedo analizar redes OT con un escáner de vulnerabilidades de TI?
No en sistemas de producción en funcionamiento sin un cuidado extremo: los análisis activos pueden sobrecargar o detener controladores antiguos. Los equipos de OT suelen preferir la monitorización pasiva, los análisis en un entorno de prueba o el análisis del firmware y del software antes de desplegarlos.
¿Es KROMSE una plataforma de ciberseguridad OT?
No. KROMSE no monitoriza redes de planta ni protocolos industriales. Detecta vulnerabilidades conocidas en el software y el firmware basado en Linux de los dispositivos conectados y genera SBOM, lo que respalda la parte de dispositivos de un programa de ciberseguridad OT.