Cuando un informe reveló 56 nuevas vulnerabilidades en productos de 10 proveedores de tecnología operativa (OT) el año pasado, los expertos lo consideraron una llamada de atención para el sector. El estudio puso de manifiesto un problema endémico en los equipos de OT: la necesidad de implementar mejores prácticas de seguridad desde el diseño. El hecho de que tres cuartas partes de los productos analizados con vulnerabilidades contaran con certificaciones de seguridad válidas debería generar mayor inquietud entre los responsables de TI/OT.

La conclusión es que los problemas destacados en el informe son tan profundos que es poco probable que se resuelvan en toda la industria en el corto plazo. Eso hace que los programas de seguridad empresarial tengan la responsabilidad de garantizar que el riesgo de OT se gestione con la misma atención al detalle que el de TI.

El qué y el por qué de la TO

Mientras que los sistemas de TI gestionan información y aplicaciones, OT cubre el hardware y el software utilizados para monitorear y controlar el mundo físico. Podría ser cualquier cosa, desde un cajero automático hasta un sistema de control industrial (ICS), un robot de fábrica o un controlador lógico programable (PLC). La tecnología se puede encontrar de manera más obvia en la fábrica. Pero abarca una amplia gama de industrias más allá de la manufactura, incluida la atención médica, el petróleo y el gas, los servicios públicos y el transporte.

Históricamente, los sistemas OT no estaban conectados a Internet y los dispositivos tendían a estar diseñados específicamente y ejecutaban software especializado. Eso significó que la seguridad fue tratada como una idea de último momento. Sin embargo, la mayoría de los equipos tienen conectividad hoy en día, lo que significa que los atacantes remotos pueden probarlos en busca de vulnerabilidades. Al mismo tiempo, suele ejecutar Windows u otro software comercial. Eso lo convierte en un objetivo atractivo.

Dado que la OT controla los procesos físicos, las brechas de seguridad podrían permitir a los atacantes sabotear o interrumpir operaciones críticas. Los puntos finales vulnerables incluso podrían usarse como puerta de entrada a las redes de TI para el robo de datos confidenciales. Un informe de 2022 afirma que el 83 % de las organizaciones sufrieron una brecha de seguridad en la OT en los 36 meses anteriores. Según cifras citadas por McKinsey , el costo por incidente de ataques graves puede llegar a ser de hasta 140 millones de dólares. No se trata solo del riesgo financiero que las organizaciones deben considerar. La OT también está regulada por la Directiva NIS 2 y su equivalente en el Reino Unido.

¿Cuáles son los riesgos?

La naturaleza especializada de OT significa que los sistemas están expuestos a ciertos riesgos cibernéticos que pueden no aplicarse a los entornos de TI. Incluyen:

  • Uso de protocolos de comunicaciones heredados e inseguros.
  • Proveedores que no prestan suficiente atención a la gestión de vulnerabilidades
  • Ciclos de vida del hardware de más de 10 años, lo que significa que los administradores se ven obligados a ejecutar sistemas operativos y software obsoletos.
  • Desafíos de aplicación de parches, ya que los equipos a menudo no se pueden desconectar para probar las actualizaciones (incluso si están disponibles)
  • Equipos demasiado antiguos para implementar soluciones de seguridad modernas
  • Certificaciones de seguridad que no reconocen defectos graves, dando a los administradores una falsa sensación de seguridad.
  • Problemas de seguridad por diseño que no se informan ni se asignan CVE, lo que significa que pasan desapercibidos
  • Equipos de TI/OT aislados, que pueden crear brechas en visibilidad, protección y detección.
  • Contraseñas inseguras y configuraciones erróneas (aunque esto también es común en entornos de TI)

 

Desde una perspectiva técnica, el informe de Forescout citado anteriormente destaca varias categorías de vulnerabilidad en muchos productos OT:

  • Protocolos de ingeniería inseguros
  • Criptografía débil o esquemas de autenticación rotos
  • Actualizaciones de firmware inseguras
  • Ejecución remota de código (RCE) a través de funcionalidad nativa

Cómo mitigar el riesgo de los sistemas OT

En cuanto a la seguridad de TI, la defensa en profundidad es la mejor manera de mitigar el riesgo cibernético de OT. Según Carlos Buenano, arquitecto principal de soluciones para tecnología operativa (OT) en Armis, comienza con la visibilidad de los activos de OT y luego aplica parches rápidamente.

"Dado que es muy común que los entornos OT tengan activos vulnerables, las organizaciones necesitan crear un inventario integral de activos de su red y tener inteligencia adicional sobre cuáles son esos activos y qué están haciendo realmente", le dice a ISMS.online. "Los datos contextuales permiten a los equipos definir qué riesgo representa cada dispositivo para el entorno OT y evaluar su impacto comercial para que puedan priorizar la corrección de vulnerabilidades críticas y/o armadas para reducir la superficie de ataque rápidamente".

Aquí hay una lista de verificación rápida para organizaciones:

Descubrimiento y gestión de activos: No se puede proteger lo que no se ve. Por lo tanto, es fundamental comprender el alcance total de la tecnología operativa (OT) en la empresa.

Aplicación de parches inmediata y escaneo continuo: Los activos de tecnología operativa (OT) deben escanearse continuamente en busca de vulnerabilidades una vez descubiertas. Un programa de aplicación de parches basado en riesgos garantizará que las vulnerabilidades CVE se prioricen de manera efectiva. Considere la posibilidad de crear un entorno de prueba no crítico para la aplicación de parches. Si ciertos activos no pueden aplicarse parches, considere alternativas como la aplicación de parches virtuales , la segmentación de red, SIEM y la monitorización de la integridad.

Gestión de identidades y accesos: Implemente controles de acceso basados ​​en roles, siga el principio de mínimo privilegio y admita la autenticación multifactor (MFA).

Segmentación: Separe las redes corporativas de las redes OT y segmente las redes OT para contener la propagación del malware.

Prevención de amenazas: Implemente controles como sistemas de detección de intrusiones (IDS), software antivirus y herramientas de verificación de la integridad de los archivos para prevenir y detectar el malware.

Cifrado y copias de seguridad: Proteja los datos de OT en reposo y en tránsito, y disponga de copias de seguridad para mitigar el impacto del ransomware.

Rompiendo los silos IT-OT

A medida que los sistemas de tecnología operativa (TO) y tecnología de la información (TI) convergen en muchas organizaciones, las amenazas que antes se limitaban a TI, como el acceso remoto, se vuelven más comunes en los sistemas industriales. Por lo tanto, prevenir, detectar y responder a estas amenazas requerirá una mayor interacción entre los equipos de TI y TO. Los equipos de TO pueden aprender mucho de la experiencia que TI ha acumulado a lo largo de los años en materia de controles de seguridad , y ambos tienen un interés común en la continuidad del negocio.

"Al trabajar juntos, los equipos de TI y OT pueden identificar y mitigar los riesgos de ciberseguridad que afectan tanto a los entornos de TI como de OT, protegiendo así a la organización de los ciberataques", explica a ISMS.online el director técnico de Trend Micro Reino Unido e Irlanda, Bharat Mistry. "Además, la colaboración entre los equipos mejorará la eficiencia de los equipos de operaciones de seguridad y, en última instancia, ayudará a reducir los costos".

Desde una perspectiva de cumplimiento, esto puede requerir que la organización vaya más allá de los límites de ISO 27001 y busque certificaciones complementarias en el espacio OT.

«Observamos que en las TI empresariales se utilizan marcos como la ISO 27001 , mientras que en las OT se emplean marcos personalizados o adaptados como la IEC 62443», explica Mistry. «En teoría, existe cierta superposición entre ellos, pero en la práctica, estos marcos son puntos de partida y a menudo se personalizan para adaptarse al entorno de la organización».

En última instancia, lo mejor para todos es trabajar juntos, dice Buenano de Armis.

"Desde una perspectiva organizacional, tener un enfoque basado en riesgos para la gestión de vulnerabilidades debe ir de la mano con el trabajo conjunto de los departamentos de OT y TI para ayudar a coordinar los esfuerzos de mitigación", concluye. "Los proyectos interdepartamentales ayudarán a optimizar la gestión de procesos y recursos y lograr un mayor cumplimiento y seguridad de los datos".