¿Por qué ICS/OT necesita hoy controles específicos y su propio presupuesto de ciberseguridad? Porque tratar la seguridad de ICS/OT con un manual de seguridad de TI no sólo es ineficaz: es un alto riesgo.
En el ámbito de la ciberseguridad en rápida evolución, los desafíos y necesidades específicos de la seguridad de los sistemas de control industrial (ICS) y la tecnología operativa (OT) se destacan claramente de la seguridad de TI tradicional. Los sistemas de ingeniería ICS/OT, que alimentan infraestructuras críticas como redes eléctricas, procesamiento de petróleo y gas, fabricación pesada, procesos de alimentos y bebidas e instalaciones de gestión de agua, requieren estrategias y controles de ciberseguridad personalizados. Esto se debe a los crecientes ataques hacia ICS/OT, sus misiones operativas únicas, una superficie de riesgo diferente a la de las redes de TI tradicionales y las importantes consecuencias de seguridad de los incidentes cibernéticos que impactan el mundo físico.
La infraestructura crítica debe protegerse contra las amenazas actuales para continuar respaldando la seguridad nacional y la estabilidad económica. Los controles específicos de ICS/OT y una estrategia de ciberseguridad dedicada son un enfoque eficaz y responsable.
Las crecientes amenazas cibernéticas a los entornos ICS/OT
Las tecnologías ICS, cruciales para la infraestructura moderna, son cada vez más el objetivo de sofisticados ciberataques. Estos ataques, a menudo destinados a causar daños físicos irreversibles a activos de ingeniería críticos, resaltan los riesgos de los sistemas interconectados y digitalizados. Incidentes recientes como TRISIS, CRASHOVERRIDE, Pipedream y Fuxnet demuestran la evolución de las amenazas cibernéticas desde meras molestias hasta eventos potencialmente catastróficos, orquestados por grupos patrocinados por el Estado y ciberdelincuentes. Estos actores no solo apuntan a ganancias financieras sino también a resultados disruptivos y actos de guerra, combinando ataques físicos y cibernéticos. Además, el ransomware operado por humanos y el ransomware ICS/OT dirigido plantean preocupaciones que van en aumento en los últimos tiempos.
Cuando se trata de aprovechar los controles específicos de ICS/OT para detectar amenazas a nuestra infraestructura crítica, datos recientes del Encuesta de ciberseguridad SANS ICS/OT 2024 reveló que solo el 31% de los encuestados tiene un SOC (Centro de operaciones de seguridad) que incluye capacidades específicas para ICS/OT, lo cual es crucial para una respuesta efectiva a incidentes y un monitoreo continuo del sistema.
Como tal, la infraestructura crítica, los sistemas de ingeniería en los que confiamos y que hacen, mueven y alimentan nuestro mundo, harían bien en aprovechar la detección y visibilidad de amenazas específicas de ICS/OT, con un presupuesto específico de ICS para proteger los sistemas de ingeniería que operan nuestro forma de vida moderna.
Evaluación del gasto y el riesgo en ciberseguridad de ICS/OT
Puede haber un desequilibrio riesgoso en la asignación del presupuesto de seguridad en algunas organizaciones ICS/OT. Se entiende, y con razón, que durante las últimas décadas, la financiación de la seguridad se dedicó casi exclusivamente a la tecnología y las redes de TI debido a los ataques tradicionales que utilizan vectores tradicionales en los sistemas de soporte tradicionales. Sin embargo, el panorama de amenazas ha cambiado debido a la interconectividad. Ahora, las redes de TI e Internet introducen riesgos significativamente mayores para los entornos ICS/OT conectados que los riesgos que tenían los entornos ICS/OT y de ingeniería hace unas décadas.
De hecho, los datos de la Informe sobre el estado de ciberseguridad de ICS/OT de SANS 2024 indican que el 46% de los ataques a entornos ICS/OT provienen de un compromiso en las redes de soporte de TI que permiten amenazas en ICS/OT, lo que afecta las redes y las operaciones.
Esto es preocupante dada la naturaleza compleja de las amenazas de los ICS y los graves impactos en cascada multisectoriales que pueden resultar de un ciberataque de ingeniería coordinado en un sector de infraestructura crítica vital, como el sector eléctrico. Además, los ataques a ICS/OT pueden tener graves consecuencias para el medio ambiente y la seguridad de las personas.
Evaluación de controles de ciberseguridad ICS/OT
Puede haber una implementación riesgosa de controles de seguridad en ICS/OT, si están centrados en TI. A pesar de su papel fundamental, muchos sistemas ICS/OT siguen estando subprotegidos en varias áreas, como los controles de seguridad dedicados a los entornos ICS/OT y la respuesta a incidentes. Por ejemplo, investigaciones de la Informe de ciberseguridad SANS ICS/OT 2023 reveló que sólo el 52%
de estas instalaciones tienen un plan de respuesta a incidentes de ICS/OT dedicado y ejercido regularmente que está impulsado por ingeniería.
Las medidas de seguridad de TI tradicionales, cuando se aplican a entornos ICS/OT, pueden proporcionar una falsa sensación de seguridad e interrumpir las operaciones y la seguridad de ingeniería. Por lo tanto, es importante considerar y priorizar la SANS Cinco controles críticos de ciberseguridad ICS. Este documento técnico disponible de forma gratuita establece los cinco controles críticos más relevantes para una estrategia de ciberseguridad de ICS/OT que puede adaptarse al modelo de riesgo de una organización y proporciona orientación para implementarlos.
También es importante señalar que utilizar solo uno de los cinco controles críticos de ciberseguridad de ICS (el monitoreo de visibilidad de la red de ICS como ejemplo) tiene beneficios mucho más allá de los relacionados con la seguridad. Por ejemplo, las organizaciones maduras citan los principales beneficios de este control en las siguientes áreas como contribución directa a la seguridad y la ingeniería en:
- Análisis de tráfico industrial pasivo y seguro para identificar activos de ingeniería para construir un inventario de activos de ICS/OT
- Capacidades de resolución de problemas de ingeniería
- Análisis de tráfico industrial pasivo y seguro para identificar vulnerabilidades del sistema de ingeniería.
- Capacidades de respuesta a incidentes específicos impulsadas por la industria y la ingeniería
- Cumplir con los requisitos de cumplimiento
Oportunidades de realineamiento estratégico
Vale la pena reevaluar los riesgos, impactos, presupuestos y controles de ICS/OT para proteger lo que hace que una organización de ICS sea un negocio: los sistemas de ingeniería y tecnología operativa. En muchos casos, los entornos ICS/OT no son adecuados para aprovechar los controles de seguridad de TI tradicionales, donde los controles de seguridad de TI tradicionales causan más problemas que beneficios.
Al alinear los gastos de seguridad con las funciones críticas que impulsan el negocio en las organizaciones de ICS y la infraestructura crítica, es decir, las tecnologías operativas en Niveles de Purdue 1 al nivel 3.5 para comenzar, por ejemplo: las organizaciones y las empresas de servicios públicos pueden mejorar la seguridad para operar de manera más segura y eficiente en el panorama actual de ciberamenazas ICS/OT.
- Los analistas tácticos y de liderazgo en las empresas de servicios públicos del sector de infraestructura crítica ICS/OT pueden verificar y/o implementar las prioridades impulsadas por amenazas. SANS Cinco controles críticos de ciberseguridad de ICS.
- Los analistas tácticos pueden asistir a mi curso de duración ICS515 – una capacitación técnica de visibilidad y respuesta a incidentes ICS/OT de 6 días este febrero en el SANS Nueva Orleans evento Desarrollado por ICS Security.
- Únase a pares de la industria, instructores expertos en SANS y profesionales para un taller práctico y capacitación en seguridad ICS/OT en la 20.ª Cumbre Anual de Seguridad ICS en Orlando del 15 al 17 de junio próximo.
Sobre el autor
Dean Parsons es un reconocido experto en seguridad ICS/OT con más de 20 años de experiencia en el campo. Como figura destacada de SANS, Dean ha dedicado su carrera a promover la postura de defensa de la infraestructura crítica en todos los sectores, en todo el mundo.
Únase a Dean en clase para ICS515 en Nueva Orleáns, orlando, san diegoo otro momento conveniente en 2025 para la defensa táctica de ciberseguridad ICS/OT, y conéctese con él y otros expertos en ICS/OT en la conferencia de este año. Cumbre SANS ICS del vigésimo aniversario en junio de 2025 en Orlando.
About the Author
