Las organizaciones encuestadas en el informe elaborado por Forrester Consulting tienen tecnologías IoT en funcionamiento, con empresas que tienen un promedio de 4,7 tipos diferentes de tecnología IoT conectadas a su red, incluyendo RFID pasivo, seguimiento de ubicación en tiempo real (RFID activa, banda ultraancha, ultrasonido, etc.), rastreo GPS, sensores de seguridad, sensores de la red eléctrica y sensores de condiciones climatológicas. Estos dispositivos también usan una amplia gama de protocolos de comunicación, incluyendo Wi-Fi, sistemas celulares como CDMA/GPRS/4G, redes malladas, telemática y comunicaciones NFC. Cada una de estas tecnologías no solo presenta sus propios desafíos de seguridad, también se ven agravados por muchos de los problemas de seguridad inherentes a los dispositivos IoT que se han creado utilizando código deficiente, con puertas traseras y contraseñas integradas directamente en su firmware o que funcionan como dispositivos sin usuarios, lo que impide incluso las actualizaciones y parches básicos.
El problema se magnifica aún más por el hecho de que más de la mitad de las organizaciones subcontratan al menos parte de su infraestructura y seguridad SCADA/ICS, otorgando a terceros el acceso completo y de alto nivel a estos sistemas. Las principales funciones de seguridad de SCADA/ICS que las organizaciones generalmente subcontratan, incluyen conexiones inalámbricas IPS, NAC e IoT. Sin embargo, estamos empezando a ver un cambio en este comportamiento. Si bien, la mayoría de las organizaciones que subcontratan estas funciones han trabajado tradicionalmente con múltiples proveedores, el miedo a la exposición al riesgo está cambiando esta tendencia. El número de organizaciones que ahora dependen de un solo proveedor para proporcionar una gama completa de soluciones subcontratadas ha aumentado del 38% al 47% entre 2016 y 2018.
Ante esta situación, además de contactar con expertos, parte de la solución comienza simplemente por cumplir con el reglamento que puede evitar gran parte de las conjeturas al desarrollar una estrategia de seguridad. Si bien las organizaciones priorizan los estándares de regulación a las que están sometidas, la exposición de los sistemas OT hace que se centren en aquellos estándares que son más importantes para proteger sus sistemas SCADA/ICS. Por eso, cumplir con los estándares de cumplimiento (49%), proporcionar soluciones de extremo a extremo (47%) y confiabilidad (46%) son los criterios más importantes que se utilizan cuando una empresa selecciona un proveedor de seguridad.
La mayoría de las organizaciones encuestadas consideran que la mejor forma de evitar los desafíos relacionados con la convergencia de OT e IT es llevar a cabo una evaluación completa del riesgo de negocio y operacional, independientemente de lo avanzada que esté su estrategia de convergencia.
Pero también hay muchas otras medidas que las organizaciones pueden poner en marcha como la implementación de controles de seguridad en las redes críticas como NGFW, IPS y Sandboxing en el perímetro del entorno OT; centralizar la administración de dispositivos y la toma de decisiones; el cifrado de datos y del tráfico, y, dada la naturaleza altamente sensible de los sensores y sistemas implementados en entornos de infraestructuras críticas, establecer una monitorización pasiva y controles dentro del entorno de OT; aislar la infraestructura crítica de las redes de producción, los dispositivos IT y los personales, utilizando estrategias de segmentación y microsegmentación; el registro y análisis continuo de todo el tráfico de red (Security Analitics); la autenticación de los datos biométricos (huella digital, voz, reconocimiento facial…) y el establecimiento de controles de acceso basado en roles para todos los empleados (IAM), así como gestión de identidades privilegiadas para los administradores (PIM); invertir en desarrollar internamente la experiencia en seguridad específica de SCADA/ICS, OT e IoT; consultar con organismos gubernamentales como el equipo de respuesta de emergencia cibernética de sistemas de control industrial (ICS-CERT), e implementar estándares comunes como ISA/IEC-62443 o ISA-99.
El éxito en la nueva economía digital requiere el desarrollo de redes integradas que puedan aprovechar sin problemas todos los recursos disponibles, ya sea dentro de la red informática tradicional, a través de aplicaciones y dispositivos endpoint, de entornos de múltiples nubes o incluso de sistemas ICS/SCADA en las redes OT. Lograr esto, sin embargo, introduce nuevos riesgos, muchos de los cuales podrían tener consecuencias devastadoras si se realizaran. A medida que los ataques se vuelven más frecuentes, el potencial de un evento catastrófico que pone en riesgo a los trabajadores o incluso a las comunidades sigue aumentando y las organizaciones deben tomar precauciones que les permitan ver y responder a las amenazas e incluso anticiparlas, independientemente de dónde ocurran en la red en expansión.
Fortinet
Director Técnico
