Convergencia de la Ciberseguridad y la Seguridad Funcional

Ing. Oscar López Suárez
Líder de Desarrollo de Negocios para Redes y Ciberseguridad
Rockwell Automation de México
olopez@ra.rockwell.com

Revista InTech México Automatización
Edición Enero – Marzo 2018

RESUMEN

La creciente tecnología, eventos recientes y las nuevas regulaciones, han captado la atención de múltiples organizaciones y personas en la ciberseguridad para los sistemas de control industrial, esto resulta en un fuerte crecimiento de la población de dispositivos conectados y servicios con fines de proteger lógicamente la infraestructura crítica [1]. A menudo, en la ciberseguridad de los sistemas de control se ignoran los riesgos asociados desde el aspecto de la seguridad funcional. La integración de programas que cubran la ciberseguridad y seguridad funcional, así como algunas buenas prácticas, ayudan a los industriales a evaluar, mitigar y administrar los riegos en las tecnologías.

PALABRAS CLAVE: Ciberseguridad, Seguridad Funcional, Convergencia.

INTRODUCCIÓN

La protección de la información debe ser una preocupación primordial de las organizaciones en la medida que habilitan arquitecturas, convergen los mundos de Tecnologías de la Información y Tecnologías de la operación (TI y TO), y aparecen más dispositivos inteligentes con la finalidad de mejorar la productividad, la eficiencia de sus procesos y la seguridad de sus colaboradores y activos.

En la misma escala que conectamos dispositivos de igual forma crece el riesgo hacia la propiedad intelectual, las ganancias de la organización, equipos de misión crítica y en consecuencia la gente y el ambiente.

LA OPORTUNIDAD Y EL RIESGO DE CONECTAR LA EMPRESA

Una planta conectada que integra los recursos materiales, humanos y procesos productivos, trae como consecuencia la interacción de sistemas de TI y TO para operaciones en planta en una misma infraestructura de red. Esta convergencia habilita todos los beneficios de la tecnología, desde los datos y programas analíticos hasta dispositivos inteligentes tales como controladores locales conectados a sistemas SCADA que dan vida al internet de las cosas industriales.

Para todas estas oportunidades, también hay amenazas. Más puntos de conexión pueden crear más puntos de acceso que amenacen la seguridad de la organización. Estas amenazas pudiendo ser físicas o digitales, internas o externas, y maliciosas o no maliciosas. Estas pueden causar daños como descontrol de un proceso asociado a altas presiones y temperaturas, como torres de destilación, turbinas, procesos radioactivos o de manejo de hidrocarburos que pueden llevar a la pérdida de vidas humanas, pérdida de prestigio y pérdidas de carácter económico; daños secundarios también se deben evitar tales como: la perdida de la propiedad intelectual, disturbios en las operaciones y comprometer la calidad de los productos [2].

CUANDO LA CIBERSEGURIDAD AMENAZA LA SEGURIDAD FUNCIONAL

Los sistemas de seguridad funcional de la manufactura y proceso que son vulnerados, es decir que se pueda explotar una debilidad en el diseño de seguridad informática o ciberseguridad, pueden causar serias consecuencias para las operaciones del proceso y a la gente.

En lo que respecta a la manufactura, los sistemas de seguridad que no detienen la operación de la maquina cuando se alcanza un estado de peligro o cuando un dispositivo de seguridad se dispara pueden exponer a los trabajadores a serios riesgos cuando se supone que están protegidos.

Por otra parte, en lo que se refiere a procesos industriales, los sistemas de seguridad funcional que no son capaces de detener la producción bajo ciertas condiciones de operación pueden exponer a otros empleados o una planta entera a riesgos como fuego, derrame químico o explosión.

Este riesgo puede ser especialmente alto en industrias donde los empleados trabajan con materiales peligrosos o volátiles, como en la industria química. El riesgo crece con la incorporación de robots colaborativos, empleados y robots trabajando mano a mano.  Existe un riesgo residual inherente al tipo de productos y sub produtos que se manejan en diversos tipos de industria. Tales riesgos deben ser ponderados a través de un análisis de riesgos; el riesgo se puede cancelar, transferir o aceptar y reducir. Este estudio debe realizarse de manera cualitativa y cuantitativa. Para la elaboración de este estudio, se requiere de una tercería que podría ser la ISA México Sección Central.

Los sistemas vulnerados o alterados en infraestructura crítica como sistemas de agua o energía impactan directamente a una población que depende de ellos [2].

IMPLICACIONES DE LA CONVERGENCIA DE LA CIBERSEGURIDAD Y LA SEGURIDAD FUNCIONAL

La tecnología y el internet de las cosas industrial están cambiando la vida de los profesionales que diseñan, implementan y mantienen los sistemas de control, las áreas de acción se están expandiendo a tecnologías como ciberseguridad y seguridad funcional. Hasta el año 2000, un profesional de la seguridad funcional no tocaba temas de ciberseguridad o viceversa, el profesional de ciberseguridad no se involucraba en seguridad funcional. Esta brecha cada día es más cerrada y se observa en las nuevas revisiones de estándares como IEC 61511 que habla de la seguridad funcional para sistemas instrumentados y ahora conjunta (Ver Figura 1) el análisis de riesgo de seguridad funcional y ciberseguridad como parte de la estrategia para reducción de riesgos [3].

Figura 1.- Relación entre el mundo T.I. y el de la operación u O.T.

EL MANEJO DE SEGURIDAD FUNCIONAL A TRAVÉS DE LA CIBERSEGURIDAD

Asegurar la ciberseguridad de las plantas industriales y la infraestructura critica es una preocupación para todos y afortunadamente los gerentes y directores de planta reconocen esta interrrelación entre la seguridad funcional y la Ciberseguridad, muchos de ellos han iniciado programas basados en estándares populares como IEC-62443 y NERC CIP, y quieren asegurarse  que su organización tenga un plan apropiado en temas de costo beneficio para el manejo de las amenazas de ciberseguridad [4] [5].

Las estadísticas nos muestran una fuerte preocupación de los gerentes por mantener confiables, disponibles, aseguradas y protegidas sus operaciones.

Figura 2. Ocho mayores preocupaciones de los gerentes y directores de operaciones industriales [6].
No obstante, la preocupación por la ciberseguridad en sistemas de control, aun es bajo el índice de organizaciones que hacen al menos un análisis de ciberseguridad para sistemas de control [6].

Figura 3. Frecuencia de evaluación de riesgos de ciberseguridad en sistemas de control [6].
Las organizaciones deben ser más proactivas al abordar la seguridad funcional mediante la ciberseguridad, deben incorporar cuatro elementos clave en su estrategia:

  • Cumplimiento normativo
  • Integración de la Seguridad Funcional y la Ciberseguridad
  • Análisis de riesgos
  • Medidas de mitigación de riesgos

CUMPLIMIENTO Y NORMATIVIDAD

Algunos requerimientos pueden ser satisfechos con productos diseñados para cumplir con estándares de seguridad. Es necesario que los fabricantes e industriales se den cuenta que ajustarse a ciertos estándares reconocidos por la industria (por ejemplo IEC 62443) pueden ayudarlea a abordar la integración de ciberseguridad y seguridad funcional:

  • La segunda edición de IEC 61511 (“Functional Safety: Safety Instrumented systems for the process Industry Sector”) [3] requiere una evaluación de riesgo para ciberseguridad en los Sistemas Instrumentados de Seguridad (SIS). El diseño de SIS también debe contar con la resilencia necesaria de acuerdo a los riesgos de ciberseguridad encontrados.
  • La Sección 7.4 de IEC 61508 (“Functional Safety of Electrical/Electronic/ Programmable Electronic Safety-Related Systems” ´) [7]. estipula que las empresas deben llevar a cabo un análisis de amenazas de ciberseguridad si su análisis de peligros identifica una “acción malévola o no autorizada” razonablemente previsible que constituye una amenaza de ciberseguridad. Lamentablemente casi nunca se sigue este requisito.

INTEGRACIÓN DE LA SEGURIDAD FUNCIONAL Y LA CIBERSEGURIDAD

Los fabricantes y operadores industriales deben comenzar a pensar en la relación mutua entre la seguridad funcional y la ciberseguridad, considerando aspectos:

  • Culturales (Comportamiento)
  • Cumplimiento (Procedimientos)
  • Capital (Técnico)

Posteriormente, las organizaciones deben considerar cómo se puede incorporar la seguridad en cada uno de estos principales pilares de protección. Por ejemplo:

  • Cultura. Colaboración de los equipos de EHS, Operaciones y TI para salvaguardar la información y los sistemas de seguridad funcional.
  • Cumplimiento. Los esfuerzos de cumplimiento deben cubrir los aspectos de seguridad funcional y ciberseguridad de los estándares como IEC 61508 [7]y IEC 61511 [3] .Los esfuerzos de ciberseguridad deben seguir un modelo como el defensa a profundidad, el cual se recomienda en IEC 62443 [4].
  • Capital. Las compañías deben utilizar tecnología de seguridad funcional con características de ciberseguridad desde su diseño y construcción, así como, utilizar tecnologías que ayuden a proteger los sistemas de seguridad funcional.

ANÁLISIS DE RIESGOS

Las empresas deben poner en práctica una estrategia empresarial de gestión de riesgos para gestionar las amenazas y vulnerabilidades de ciberseguridad, así como sus posibles efectos en la seguridad funcional. Existen dos evaluaciones esenciales de esta estrategia:

  • Una evaluación de riesgos de seguridad funcional es necesaria para confirmar la conformidad con normas existentes incluyendo los requisitos de seguridad IEC 61508 [7]y 61511 [3]. La evaluación debe considerar no solo las funciones de operador estándar, sino también todas las interacciones operador-máquina, inclusive la puesta en marcha de máquinas, el mantenimiento, la limpieza y saneamiento, y los requisitos administrativos y de capacitación. Las empresas también deben ampliar sus métodos existentes para realizar el análisis de riesgos con la finalidad de analizar los riesgos debidos a ciberataques.
  • Una evaluación de riesgos de ciberseguridad debe describir la posición actual de ciberseguridad general de una organización con respecto al software, redes, sistemas de control, políticas y procedimientos que incluya hasta el comportamiento de empleados. También debe resumir los pasos necesarios para lograr el nivel de ciberseguridad deseado.

Aunque estas evaluaciones se efectúan por separado, deben tener los mismos objetivos de gestión de riesgos empresariales para proteger el personal, los clientes y el medio ambiente.

Las empresas que contratan a terceros para realizar estas evaluaciones deben buscar a un proveedor con experiencia en la protección y la seguridad. Esto puede contribuir a garantizar la coherencia y uniformidad entre las dos evaluaciones.

RESUMEN

La seguridad no solo incluye la protección de los datos y la disponibilidad de las operaciones, también incluye la protección de las personas y el medio ambiente, así como las infraestructuras y sistemas críticos de los que dependen las poblaciones. Las organizaciones que desean hacer frente a los riesgos informáticos, físicos y del medio ambiente y si llegan a suceder, sobreponerse a ellos, necesitarán lograr el cumplimiento de las normas más recientes, integrar la ciberseguridad y la seguridad funcional de manera holística, realizar un análisis de riesgos e implementar medidas de mitigación de riesgos mediante el uso de las tecnologías de punta.

REFERENCIAS

  • [1] ARCAdvisoryGroup, https://goo.gl/2YtXdB
  • [2] Rockwell Automation (2016) Safety Through Security, https://goo.gl/1T3Cfn
  • [3] IEC 61511-1 Ed.2 2016, Functional safety – Safety instrumented systems for the process industry sector.
  • [4] IEC 62433 serie de estándares, reportes técnicos e información relacionada que define procedimientos para implementar Sistemas de Control y Automatización Industrial electrónicamente seguros.
  • [5] NERC CIP serie de estándares de la North American Eletric Realiability Corporation Critical Infraestructure Protection, set de requerimientos designados para asegurar los activos requeridos para operar el sistema eléctrico de norte-américa.
  • [6] SAN (2017) Securing Industrial Control Systems, https://goo.gl/3J7G44
  • [7] IEC 61508 Functional Safety of Electrical/Electronic/ Programmable Electronic Safety-Related Systems
  • [8] ARC Insights (2015) Ensuring the Safety and Security of Industrial Control Systems

ACERCA DEL AUTOR

Oscar López Suárez es Ingeniero en Sistemas Computacionales con especialidad en comunicaciones y bases de datos, egresado del Instituto Tecnológico de Zacatepec. Cuenta con diferentes estudios y especializaciones en el área de las comunicaciones, ciberseguridad, virtualización, control industrial, programación, automatización y sistemas de control así como tecnologías convergentes y asociadas al internet de las cosas industrial. Tiene más de 12 años de experiencia en el sector de la automatización y comunicaciones industriales. Actualmente se encuentra laborando para la compañía Rockwell Automation como líder de desarrollo de negocios para Redes, Ciberseguridad y Tecnologías Connected Enterprise, ha participado en múltiples proyectos de convergencia tecnológica para sectores automotrices, alimentos y bebidas, farmacéutico, industria pesada, gas y petróleo, entre otros. Actualmente se encarga de asesorar y acercar tecnologías Connected Enterprise a Industriales y al desarrollo de planes estratégicos para abordar conceptos como Smart Manufacturing, Industria 4.0 y el Internet de las cosas industrial.

0
Compartir:

Dejar un comentario

This site uses Akismet to reduce spam. Learn how your comment data is processed.