Un nuevo enfoque de la seguridad de las tecnologías operativas (OT): por qué un enfoque centrado en las tecnologías de la información (TI) se queda corto
La seguridad de las operaciones (OT) no es un problema de TI, y tratarla como tal es el error que cometen la mayoría de las organizaciones.
Habla con un experto
Durante décadas, la tecnología operativa vivió en su propio mundo. Los sistemas que gestionaban las plantas de producción, las redes eléctricas y las plantas de tratamiento de aguas estaban aislados por diseño, y ese aislamiento constituía la estrategia de seguridad. Nadie de fuera del edificio podía acceder a ellos, por lo que nadie de fuera del edificio suponía una amenaza.
Ese mundo ya no existe. Y, según mi experiencia, la mayoría de los equipos de seguridad aún no se han dado cuenta de lo que eso significa realmente.
La convergencia se produjo antes de que cambiara la mentalidad
La adopción del IIoT, las operaciones a distancia, el acceso de los proveedores, la conectividad en la nube… Todo ello ha conectado, de forma discreta, los entornos de tecnología operativa (OT) a la misma superficie de ataque expuesta a Internet que afecta al resto de la empresa. Las mejoras en la eficiencia son reales. Pero también lo es la exposición al riesgo.
El mayor riesgo para la seguridad de las tecnologías operativas (OT) no es un atacante sofisticado, sino una red convergente que se defiende con una mentalidad no convergente.
Lo que quiero decir con esto es que los instintos propios de la seguridad informática —aplicar parches rápidamente, aislar de forma enérgica, dar prioridad a la confidencialidad— no se pueden trasladar tal cual a los entornos de tecnología operativa (OT). Cuando el sistema afectado controla una línea de producción o una subestación eléctrica, desconectarlo no es una medida de precaución, sino un incidente operativo. A veces, incluso un incidente de seguridad.
Cinco diferencias que todo responsable de seguridad debe comprender
Tras más de 25 años llevando a cabo proyectos de convergencia entre OT e IT en los sectores de la fabricación, la energía y las infraestructuras críticas, estas son las carencias que observo con mayor frecuencia:
1. Prioridad: la disponibilidad prima sobre la confidencialidad
En el ámbito de las tecnologías de la información (TI), la confidencialidad es lo primero. En el ámbito de las tecnologías operativas (TO), la disponibilidad y la seguridad física son la verdadera prioridad. Que un sistema quede fuera de servicio puede suponer una parada de la producción o un peligro físico, no solo un riesgo para los datos.
2. Aplicación de parches: rutinaria frente a de alto riesgo
Los sistemas de TI siguen ciclos de actualización periódicos. Los equipos de OT suelen funcionar con hardware obsoleto al que no se le pueden aplicar parches sin un tiempo de inactividad programado, o al que no se le puede aplicar ningún parche sin sustituirlo por completo.
3. Duración de vida: años frente a décadas
El hardware de TI se renueva cada 3-5 años. Los equipos de OT pueden seguir en uso durante 15-25 años. A menudo, te encargas de proteger una infraestructura que se diseñó antes de que existieran las amenazas cibernéticas actuales.
4. Respuesta ante incidentes: aislar o evaluar
En el ámbito de las tecnologías de la información (TI), lo primero que hay que hacer es aislar un sistema afectado. En el ámbito de las tecnologías operativas (TO), esa misma medida puede requerir primero una evaluación de la seguridad física. Una respuesta inadecuada puede resultar más peligrosa que la propia amenaza.
5. Visibilidad: empresas consolidadas frente a empresas emergentes
Los entornos de TI suelen contar con sistemas sólidos de inventario y supervisión de activos. Sin embargo, muchos entornos de OT siguen sin disponer de una visibilidad básica de lo que está conectado a la red, lo que dificulta considerablemente la detección temprana de amenazas.
La conversación que conviene mantener antes de que un incidente nos obligue a hacerlo
La normativa se está poniendo al día: la NIS2 amplía ahora explícitamente las obligaciones de seguridad a los operadores de infraestructuras esenciales. Pero el cumplimiento normativo no es la razón para actuar. La razón para actuar es que las organizaciones que lo están haciendo bien no se limitan a incorporar herramientas de seguridad informática a las redes de tecnología operativa (OT). Están desarrollando desde cero una estrategia de seguridad convergente, que respeta los diferentes modos de fallo de cada entorno.
Ese es un punto de partida muy diferente, y requiere un debate muy distinto.
Si estás abordando la convergencia entre las tecnologías de la información y la tecnología operativa (OT/IT), me gustaría saber cuáles han sido las principales dificultades en tu organización.
