Muchas reuniones, el Modelo Purdue, ISA/IEC 62443, estándares ISO para IoT… y siempre se termina en lo mismo: parálisis por análisis debido a lo complicado que suena llevar la ciberseguridad a las redes industriales.
Frases como “tenemos que flexibilizar la norma”, “pero en el mundo real”, “la gente de OT es rara” o “primero debemos entender absolutamente todo”, son tan comunes en mis encuentros que me he planteado un reto: convencerte de que se puede asegurar las redes industriales sin sobrecomplicarnos con conceptos teóricos y normativas.
Disclaimer: No es irresponsabilidad, es practicidad. Debemos volverlo sencillo, sin dar tantas vueltas sobre las históricas diferencias entre IT y OT. O, yendo al extremo opuesto, esperar a tener un conocimiento exhaustivo de cada activo, flujo y proceso, mientras asumimos un riesgo inmenso por cada minuto que pasamos analizando antes de empezar a proteger la red.
Lo resumo en 3 accionables: Segmenta -> Visibiliza -> Responde
Segmenta
Separamos la red IT de la red OT, tanto física como lógicamente. Debemos aplicar firewalling en esta frontera. Son políticas que posiblemente inicien como un permit any, pero que se deben enriquecer rápidamente bloqueando el tráfico innecesario de IT hacia OT y viceversa.
Mientras más firewalling podamos hacer, mejor. La meta es crear segmentos de red más pequeños, por ejemplo, por línea de producción, que equivalgan a una VLAN terminando en el firewall como default gateway.
Con esto dimos un paso gigante. No suena tan difícil, ¿verdad?
Visibiliza
Esto suele ser un dilema en entornos industriales: necesito saber qué hay debajo del firewall. El propio firewall debería ser la primera fuente de información de los equipos que transmiten tráfico a través de él. A esto le añadimos algún mecanismo de inventario activo —puede ser control de acceso a la red en modo monitoreo, descubrimiento manual y políticas de puertos apagados para todo lo que no se usa—. Si logramos incorporar detección mediante un NDR, conseguimos una arquitectura muy, pero muy interesante.
Todo esto genera un ciclo virtuoso: la visibilidad retroalimenta la segmentación, y la segmentación “audita” lo que visibilizamos.
Bonus track: Bajo el mismo argumento de segmentar y visibilizar, necesitamos proteger los accesos remotos exigiendo, como mínimo: auditoría de las conexiones, acceso granular y una bóveda segura de contraseñas.
Responde
Empezamos por monitorear todo lo implementado: reglas de firewall y activos. Establecemos herramientas de monitoreo y mecanismos de correlación entre ellos, junto con SLAs y baselines.
La respuesta inicial debe basarse en notificaciones, alertas o avisos. La evolución natural es pasar a la automatización de controles y playbooks simples, manteniendo siempre un enfoque Human-in-the-loop para cuando las automatizaciones requieran decisiones más críticas.
¡Voilà! Tenemos una arquitectura de red industrial bastante segura. Entiendo que tampoco es lo más sencillo del universo… pero si logramos aterrizar el Modelo Purdue e ISA/IEC 62443 en un plan de 3 pasos, se vuelve realizable, viable y no se queda dando vueltas en la teoría mientras tenemos a toda la industria de la ciberdelincuencia respirándonos en la nuca.
Este es un artículo original del blog. Si te gustó o te llamó la atención, no dudes en compartirlo. ¡Abrazo!
Deja una respuesta
Lo siento, debes estar conectado para publicar un comentario.