Además de los negocios tradicionales, como el comercio minorista y los servicios, los sistemas de control industrial (ICS) que sustentan nuestra infraestructura nacional crítica se enfrentan a riesgos cada vez mayores e inmediatos que pueden apreciarse en la creciente incidencia del ransomware, entre otras ciberamenazas.
El impacto de este tipo de ataques exige una respuesta inmediata para recuperar los recursos operativos en muchos segmentos de mercado diferentes.
Una tendencia preocupante, sobre todo en lo que respecta a las infraestructuras críticas, es la forma en que está evolucionando el ransomware, con algunas versiones dirigidas específicamente a los sistemas de control industrial, lo que facilita pedir rescate a los operadores de infraestructuras críticas.
Los cambios en la conectividad con la tecnología operativa es otro factor que está aumentando el riesgo para los sistemas de control. Los cambios incluyen la creciente adopción de tecnología en la nube para apoyar o procesar datos de tecnología operativa, lo que da lugar a que los datos residan fuera de los límites tradicionales.
Una vulnerabilidad adicional surge de la mayor integración de las infraestructuras de TI y OT, normalmente por razones empresariales o de productividad válidas, pero que crea un mayor número de vías de acceso a la tecnología operativa.
Además, el uso cada vez mayor de tecnología comercial disponible en el mercado (COTS) significa que la tecnología operativa está expuesta a un mayor riesgo de técnicas y herramientas de ataque comunes que antes habrían estado limitadas por la tecnología a la infraestructura de TI. Luego está el riesgo del crecimiento del trabajo a distancia causado por las actuales restricciones de viajes y distancias como consecuencia de la actual crisis sanitaria, lo que significa un mayor uso del acceso remoto.
Mayor interés por las infraestructuras críticas para perpetrar atentados
El reciente ataque a la empresa de oleoductos Colonial Pipeline, en Estados Unidos, es un claro ejemplo de ataque de ransomware destinado a comprometer la tecnología operativa. El ataque en sí se detectó por primera vez el 7 de mayo, cuando la empresa alertó de que había sido objeto de un ciberataque, conocido como DarkSide.
DarkSide es una cepa relativamente nueva de ransomware operado por humanos que se observó por primera vez en 2020. El grupo detrás de ella opera ataques de extorsión duales en un modelo de ransomware como servicio con múltiples grupos afiliados y es muy activo en línea.
Este escenario muestra que la tecnología operativa también está recibiendo una mayor atención porque los atacantes disponen de más información. Herramientas específicas de búsqueda en Internet, como Shodan, ayudan a descubrir dispositivos industriales conectados a Internet, y herramientas específicas de pirateo de tecnología operativa, como "Industroyer", reducen el nivel de conocimientos necesario para intentar un ataque.
Paralelamente, aumentan los conocimientos sobre los sistemas industriales y la tecnología operativa, en parte como resultado de los cambios en la conectividad y la fusión de tecnologías, pero también debido a la creciente divulgación de vulnerabilidades.
Entonces, teniendo en cuenta estos riesgos inmediatos, ¿qué se puede hacer?
Conozca sus sistemas
Este primer consejo es tan antiguo como algunas de las tecnologías en uso. Es esencial saber qué activos tienes en tu tecnología operativa y entender cómo se relacionan con lo que haces.
Si se revela una vulnerabilidad para un componente, el impacto potencial de la vulnerabilidad sólo puede evaluarse adecuadamente si se conoce la proliferación del componente dentro de la infraestructura. La respuesta será muy diferente para un componente de uso limitado en un sistema aislado en comparación con un componente común en múltiples sistemas críticos.
Comprender los riesgos
Las evaluaciones de riesgos deben completarse para todos los sistemas críticos y revisarse anualmente o en respuesta a un cambio significativo en la amenaza o en la configuración del sistema. Las evaluaciones de riesgos deben basarse en escenarios de amenazas creíbles para la organización y deben desarrollarse en planes de mitigación de riesgos.
Garantizar la seguridad del diseño de las infraestructuras críticas
Se reconoce ampliamente que es más fácil y rentable diseñar algo seguro desde el principio, en lugar de intentar incorporar características de seguridad en una fase posterior. Aunque este enfoque sólo puede adoptarse para los sistemas nuevos, los principios rectores de "seguridad desde el diseño" deben incorporarse siempre que sea posible.
Además, el planteamiento debe ser lo suficientemente amplio como para ir más allá de la tecnología y hacer que las personas y los procesos también sean "seguros desde el diseño".
Supervisar activamente los sistemas críticos
Es esencial comprender lo que ocurre en la red y en los límites, así como disponer de una base de referencia establecida del comportamiento normal de la infraestructura y los sistemas. Esto puede ser mucho más fácil de conseguir con la mayor disponibilidad de soluciones de monitorización maduras y específicas para OT.
Esté preparado para responder a incidentes
Por último, debe existir un plan de respuesta a incidentes de eficacia probada que considere adecuadamente las causas cibernéticas de los fallos y dirija las respuestas apropiadas para recuperar los sistemas con el fin de restablecer las operaciones en línea con los objetivos empresariales.
El uso de inteligencia sobre amenazas para determinar el riesgo real al que se enfrenta la organización, combinado con la comprensión de cómo atacan los posibles atacantes, es clave para aplicar controles adecuados y rentables que no alienen a las personas que contribuyen a la seguridad.