La Ciberseguridad Industrial es una disciplina de la ciberseguridad encargada de la protección de los sistemas industriales, habitualmente asociados a la fabricación, transformación, manipulación o montaje de materiales o productos. Es lo que habitualmente denominamos entornos OT (Operational Technologies).
Para entender correctamente la necesidad de actuar en los entornos OT, es necesario poner en contexto las infraestructuras industriales a fin de identificar los principales retos que se presentan:
- La antigüedad del parque. Máquinas de 20, 30 años que siguen funcionando y que van a seguir haciéndolo durante unos cuantos más. ¿Industria 4.0 como motor de competitividad? La renovación tecnológica industrial en contextos de crisis o moderación económica no es una primera necesidad.
- La obsolescencia tecnológica del equipamiento industrial conectado a las redes. Cuenta con elementos que, en muchas ocasiones, no es posible ni parchear ni actualizar.
- Redes de comunicaciones industriales desplegadas sin criterios de seguridad, con una alta visibilidad en el propio entorno OT, pero mucho más preocupante con IT.
- Una mayor demanda (interna y externa) para mantener un mayor control sobre la producción u obtener información para la mejora de los procesos productivos. No solo hay que plantearlo en términos de mayor capacidad, sino de optimización de servicios de mantenimiento.
- Nuevos modelos de negocio basados, por ejemplo, en el pago por uso de máquinas, que requieren ofrecer un control o visibilidad a terceros de sistemas que hasta el momento han sido únicamente de acceso interno.
A todo lo anterior, hay que añadir la indefinición de hasta dónde llega la responsabilidad de IT y de las áreas de producción, mantenimiento o ingeniería en el aseguramiento de los entornos OT. Esto crea un vacío de responsabilidades y, por lo tanto, de actuaciones, que permitan disponer de unos niveles asumibles de riesgo.
Y… ¿Por dónde empezar?
- Identifica el punto de partida y determina el nivel de riesgo que presenta el entorno OT de tu organización. ¡Recuerda!: un mismo sistema o proceso industrial puede no tener el mismo nivel de criticidad en dos empresas diferentes. Por este motivo, es necesario acompañarse de personal cualificado para realizar correctamente esta evaluación.
- Determina el nivel de riesgo objetivo que deseas alcanzar y prioriza las actividades para alcanzarlo de la forma más efectiva posible.
- Mide, vigila, actúa… es un ciclo, acabas de empezar.
Secure&IT
Departamento de Ciberseguridad Industrial
