La seguridad de los entornos industriales y el riesgo de los PC aislados

Diciembre 2022

No es de extrañar que la pandemia de COVID-19 haya impulsado múltiples iniciativas digitales en todo el mundo. A raíz de la situación sanitaria, las empresas han tenido que acelerar sus planes digitales, garantizar que sus empleados puedan trabajar desde casa y proporcionar acceso remoto a la información sensible para evitar perder oportunidades comerciales en un momento económico ya de por sí difícil. Por otro lado, esta digitalización acelerada ha incrementado el número de ciberataques efectuados por actores de amenazas que buscan aprovecharse de empresas que no poseen planes de seguridad sólidos. Aunque este cambio y la prisa por la digitalización hayan afectado a casi todos los sectores, es fundamental que el industrial preste más atención por cuestiones que nombraremos más adelante. Además, ahora es el momento perfecto para hacerlo, ya que a estas alturas del año la mayoría de las organizaciones empiezan a replantearse sus presupuestos, planes y soluciones para 2022.

Hasta ahora, el sector industrial ha funcionado sobre la base de sistemas cerrados. No obstante, la migración a la Industria 4.0 ha provocado que máquinas, aplicaciones, ordenadores y fábricas se conecten cada vez más a los sistemas en la nube, utilizando la Big Data y la Inteligencia Artificial (IA), y a los sistemas informáticos corporativos. Esta convergencia entre la tecnología industrial y la informática estándar está cambiando las reglas del juego de forma radical. Ahora bien, junto con los enormes beneficios que se derivan de un mundo verdaderamente conectado, como la mejora de la productividad, la sostenibilidad, la trazabilidad y la optimización de las materias primas, también hay una marea creciente de amenazas a la seguridad que, si no se aborda adecuadamente, puede llegar a ser desastrosa para la industria. Por ejemplo, la mejora de la seguridad de ordenadores personales y portátiles es algo que debe abordarse de inmediato. Tan solo en cuestión de volumen, en la mayoría de los entornos los ordenadores y portátiles son los dispositivos más numerosos y cada uno de ellos constituye un potencial vector de ataque para los ciberdelincuentes. Asimismo, la vuelta a la oficina de muchos trabajadores también ha aumentado el riesgo cibernético, ya que algunos dispositivos pueden no tener parches, o incluso pueden llegar a estar infectados con malware. A medida que las líneas entre nuestras vidas personales y profesionales se van difuminando, resulta fundamental que las empresas aborden y eliminen cualquier riesgo cibernético derivado de esta fusión.

En la actualidad, la creencia de que las guerras del futuro tendrán lugar en el ciberespacio más que en el campo de batalla está ampliamente aceptada. Por ende, la seguridad no es algo que se pueda dejar en un segundo plano o sustituir por un acceso rápido ya que, a día de hoy, varios estados-naciones ya han sufrido ciberataques. Asimismo, los ataques emprendidos por individuos y pequeños grupos criminales comienzan a producirse con cierta regularidad. Algunos de estos sucesos han sido el ataque de ransomware WannaCry de 2017, los ataques de 2016 a empresas de suministro de agua en EE. UU. y, más recientemente, los ciberataques a Colonial Pipeline y a la planta de tratamiento de agua de Florida. Todos estos incidentes ponen claramente de manifiesto el impacto que un ciberataque puede llegar a tener en el mundo industrial, por lo que es vital proteger cada dispositivo de este sector. Pero ¿qué puede hacer la industria para prepararse?

Sistemas industriales: Objetivo predilecto de los ciberdelincuentes

La industria es uno de los sectores que nunca duerme, con máquinas en funcionamiento las 24 horas del día y con personal que ya desde madrugada comienza a trabajar. Sin embargo, la realidad es que este sector no puede permitirse el lujo de descansar, sobre todo en lo que respecta a su seguridad, porque la verdad sea dicha: la industria se está convirtiendo en un objetivo principal para los ciberdelincuentes. Tanto es así que un reciente estudio ha revelado que en el último año la mitad de los fabricantes británicos han sido víctimas de ciberdelitos.

Además, también estamos viendo que cada vez más empresas optan por trabajar con proveedores del sector industrial que demuestren una solidez probada en materia de ciberseguridad. La combinación de todos estos factores pone a las organizaciones industriales en el punto de mira y expone lo extremadamente crucial que es tener implementado un plan de ciberseguridad bien pensado. Se trata de que las empresas del sector industrial eviten la pérdida de proyectos y negocios gracias a la protección de sus datos y sistemas, garantizando su solidez y el desarrollo ininterrumpido de sus operaciones. Para ello, estas organizaciones necesitan abordar con rapidez y eficacia los retos de ciberseguridad a los que el sector se enfrenta y demostrar que tienen en cuenta la gestión de los ciberriesgos tanto en sus soluciones como en sus negocios.

Además, para el sector industrial la ciberseguridad va más allá de los negocios, ya que las brechas pueden llegar a provocar daños físicos, ya sean lesiones a empleados debido a un mal funcionamiento de la cadena de producción o riesgos para el público a causa de interrupciones en el sistema. A medida que el Internet Industrial de las Cosas (IIoT) se expande, los equipos industriales están más conectados a los sistemas digitales, por lo que necesitan estar protegidos frente a las nuevas amenazas digitales. Es más, es necesario disponer de una seguridad adecuada para evitar que hackers y terroristas consigan manipular estos equipos o que incluso una negligencia los pueda dejar expuestos. Esta situación puede dar lugar a graves consecuencias: costosas roturas, servicios contaminados, explosiones perjudiciales en las instalaciones de proveedores de petróleo, gas y agua, etc.

El aumento de las amenazas se une también al hecho de que este sector es uno de los más difíciles de proteger debido a cuestiones como el ciclo de vida y la continuidad del servicio de los equipos industriales. Muchas organizaciones industriales dependen de PCs aislados dentro de su entorno, lo que significa que a menudo estos dispositivos tienen sistemas operativos o aplicaciones específicas que simplemente no pueden gestionarse ni protegerse con la infraestructura IT habitual. Por ejemplo, los productos antivirus tradicionales simplemente no funcionan para estos dispositivos a menos que estos estén conectados a Internet. Además, cualquier endpoint puede convertirse fácilmente en un potencial punto de entrada para los piratas informáticos, por lo que es crucial garantizar que las empresas del sector industrial cuenten con una estrategia de seguridad adecuada.

La seguridad como solución

Otro de los retos clave es lo interconectados que están los sistemas industriales, ya que un ataque a un dispositivo o sistema puede hacer caer toda la empresa. Estos sistemas se integran para gestionar la producción, la programación y el acceso remoto. Es evidente que la integración de los sistemas ha traído consigo una gran variedad de beneficios, como la reducción del consumo de agua y energía o el aumento de la eficacia general de los equipos. No obstante, como ocurre con la mayoría de los grandes avances, estos beneficios tienen un precio. Esto significa que cada vez hay más puntos de entrada que las empresas deben proteger, ya que un sistema mal protegido abre vías de entrada que pueden ser explotadas por los actores de las amenazas con el fin de infiltrarse en la red.

Además, otro factor a tener en cuenta es el hecho de que, debido a estas recientes integraciones, lo que antes se consideraba como un insignificante problema de seguridad ahora puede llegar a convertirse en una vulnerabilidad importante. Esto provoca que los actores de las amenazas puedan causar estragos en toda la empresa, desde la paralización de las cadenas de producción hasta el uso de la seguridad de los equipos. Con esta interconexión y la convergencia de la IT y la OT, las amenazas pueden infiltrarse en la red, dando a los posibles atacantes carta blanca para hacerse con material y activos altamente sensibles.

Hasta hace poco, la propia naturaleza de las organizaciones industriales también suponía todo un reto. A diferencia de otros sectores, en el espacio industrial es imprescindible que los sistemas funcionen sin parar, lo que debe compaginarse con el delicado equilibrio de mantener los costes de las instalaciones bajos y la disponibilidad alta. Esto ha provocado que a menudo se haya dado prioridad a la disponibilidad y seguridad de los equipos por encima de la ciberseguridad.

Una segunda área a la que los equipos de IT deben prestar mucha atención es al aislamiento tradicional de muchos de los sistemas de este espacio. Debido a que durante mucho tiempo la mayoría de estos sistemas han estado prácticamente aislados del mundo exterior, se ha prestado poca atención a su seguridad, y ahora que se empiezan a conectar al resto del entorno IT y se habilitan para IP, se comienzan a entrever ciertas lagunas en su seguridad.

Cuando se trata del sector industrial, un sistema de seguridad débil puede poner en riesgo a las organizaciones, a los trabajadores y al público en general. Desde el punto de vista de la mano de obra, si se produce un ciberataque, este puede causar el mal funcionamiento de la maquinaria y la interrupción de los procesos, lo que puede ser extremadamente peligroso, llegando a producirse explosiones, subidas de tensión y cambios repentinos en la actividad de las máquinas, entre otros peligros. Además, una de las consecuencias más graves de los ciberataques es el cierre total de la producción. Esto no sólo es perjudicial desde el punto de vista financiero, sino que también puede tener importantes repercusiones para la reputación de la empresa y la seguridad pública. Por ejemplo, la interrupción de las redes ferroviarias y de los semáforos daña el funcionamiento normal de aspectos integrales de nuestro entorno construido y provoca riesgos físicos. Una interrupción de la red eléctrica, por ejemplo, como el nefasto ataque que se produjo en Ucrania en 2015, puede tener un gran impacto: sin gas, electricidad o agua, las consecuencias pueden ser fatales para la población. En lo que concierne a la propia organización, el coste financiero de una brecha o ataque cibernético es tan sólo la punta del iceberg ya que las filtraciones de datos trastornan la actividad de la organización y la someten a múltiples repercusiones adicionales en lo que respecta al cumplimiento de la normativa.

¿Qué es lo que se puede hacer?

En última instancia, esto significa que las organizaciones deben contar con un sistema de seguridad sólido que incluya la gestión de los endpoints y el control de quién tiene acceso a los sistemas críticos, cómo y cuándo.

Aunque la mayor parte de la atención se centra en la amenaza de los ataques procedentes de fuentes externas, es igualmente importante proteger la organización internamente, y la restricción y el control del acceso logran este cometido. Los atacantes externos pueden aprovecharse de las credenciales de los que están dentro de la organización para ejecutar su ataque, lo que puede evitarse, o al menos mitigarse, gracias a una gestión de acceso adecuada. Asimismo, los crecientes informes sobre ataques internos ponen de manifiesto la necesidad de minimizar el acceso empleando el principio del menor privilegio.

En un mundo en el que la conectividad entre dispositivos y sistemas es ya omnipresente, la necesidad de que las organizaciones se equipen adecuadamente contra la creciente ola de ciberamenazas es esencial. A medida que crece el uso del IoT en el sector industrial, no se puede subestimar la necesidad urgente de proteger todas las garantías operativas, tanto físicas como digitales.

Para garantizar la continuidad del negocio y la resiliencia de los activos, las empresas deben asegurarse de que el acceso a su infraestructura de OT está protegido, independientemente del momento o el lugar. La protección del uso de credenciales, el control de la elevación de privilegios o la restricción del acceso a la red no es algo con lo que se pueda negociar, sino más bien una prioridad.

La gestión de los accesos privilegiados y la seguridad de los endpoints desempeñan un papel fundamental en la protección de estos sistemas. Sin un control eficaz del acceso a los sistemas y datos críticos, los peligros en materia de rendimiento, cumplimiento, rentabilidad y reputación de la organización pueden llegar a ser enormes. Además, cualquier brecha que amenace la seguridad de los trabajadores y del público en general es injustificable. Es hora de que nos tomemos en serio la seguridad de la Industria 4.0: hay demasiado en juego como para no hacerlo.