Ciberseguridad en Entornos Industriales

Todos, seguramente, hemos leído sobre el alarmante incremento de ciberataques en América Latina, particularmente desde el inicio de la pandemia de COVID-19, y lo que en un principio se analizaba con cierto escepticismo por parte de las organizaciones industriales de la región, rápidamente se ha convertido en una de las prioridades estratégicas mas importantes.

Debemos considerar que desde el 2015 el sector industrial a nivel global ha puesto un gran esfuerzo en implementar su modelo de producción y automatización 4.0, lo cual ha generado un importante incremento en la conectividad de dispositivos IoT (sensores, PLCs, variadores de velocidad, robots, HMI, etc.) lo cual a su vez ha incrementado el riesgo de exposición a ciberataques si dichos dispositivos no son adecuadamente asegurados.

Adicional a esto, uno de los grandes efectos de la pandemia ha sido la necesidad de conectividad desde cualquier punto geográfico, desde los hogares de los equipos de trabajo, y también la necesidad de dar acceso remoto a los proveedores que colaboran en labores de mantenimiento y resolución de fallas, esto ha tenido como consecuencia inmediata que el perímetro electrónico de seguridad de la organización se extienda mucho mas allá de las instalaciones de las plantas de manufactura o los edificios corporativos, incrementando así la complejidad y la necesidad de contar con una adecuada estrategia de ciberseguridad no solo que permita proteger el perímetro físico de la organización (edificios corporativos,  plantas de manufactura) y adicionalmente el nuevo y mucho mas disperso perímetro electrónico (edificios corporativos, plantas de manufactura, la nube, trabajadores remotos, proveedores, conexiones desde casa, etc.).

Para poner un contexto mucho más claro de la amenaza que representan los ciberataques a nivel mundial. El Foro Económico Mundial en su sesión de Davos en enero 2021, presentó su mapa global de riesgos, en la cual puede observarse que los ciberataques se encuentran en el lugar 9 en la lista de los 10 mayores riesgos para la economía mundial, lista que incluye amenazas como desastres naturales, cambio climático, daños al medio ambiente generados por actividad humana, pérdidas en la biodiversidad, enfermedades infecciosas, entre otros.

De igual manera, el Banco Interamericano de desarrollo en su sesión de 2016 en Cancún México, presentó su primer estudio sobre el estado de la ciberseguridad en América Latina, en el cual hizo un análisis a diversos niveles (cultura y sociedad, educación, marcos legales, tecnologías, etc.) a fin de ponderar en una escala de 1 a 5, que tan preparados están los países en nuestra región para afrontar esta amenaza. A finales de 2020 el BID publicó la segunda edición de este estudio donde podemos ver que, salvo contadas excepciones, ha habido poco avance en las diversas estrategias en Latinoamérica. La siguiente gráfica muestra de manera resumida la situación en 2016 y al 2020 .

Por otra parte debemos tener en cuenta que la mayoría de los protocolos utilizados en los sistemas de control industrial, desde su diseño hace ya algunos años, no se tomó en cuenta integrar elementos de seguridad, ya que a principios de la década del 2000 se asumía que la seguridad por aislamiento era una buena práctica, sin embargo a lo largo de los años, y particularmente desde el famoso ataque a la red eléctrica en Ucrania en Diciembre de 2015, ese tipo de prácticas se ha ido abandonando como la única estrategia de defensa.

Hoy en día el consenso internacional nos dice que para considerar que un protocolo, o mecanismo de comunicaciones para una red de control industrial, pueda ser considerado como seguro (en su aspecto mas básico) debe contar al menos con las siguientes 3 características:

• Integridad: La capacidad para evitar que un tercero pueda alterar el contenido de un mensaje enviado entre dos sistemas

• Privacidad: La capacidad para evitar que un tercero pueda leer los mensajes transmitidos entre dos sistemas

• Autenticación: La capacidad para asegurar que la persona y la máquina o dispositivo utilizado para enviar un mensaje a un punto B, estén autorizados para hacerlo.

En conclusión, podemos decir que, aunque el modelo 4.0 seguirá siendo bandera de las estrategias de transformación en todos los sectores industriales, la ciberseguridad será uno de los elementos más críticos para asegurar su éxito y minimizar el riesgo de exposición para las organizaciones. Aquí no se trata de cuanto gastarán las organizaciones en tecnologías de seguridad, sino en cuanto gastarán en proteger sus activos mas valiosos y cual será el nivel de riesgo que estén dispuestas a asumir con esta decisión.

Francisco Bolaños, Arquitecto de Internet de las cosas y Transformación Digital, Cisco en América Latina