SEGURIDAD EN LOS SISTEMAS SCADA

ALVARO JOSE RUIZ JIMENEZ

ESTUDIANTE DE INGENIERIA ELECTROMECANICA
CODIGO: 1090491
E-mail: alvarojr_est@hotmail.com
Resumen: En el presente informe se muestra una revisin de las
metodologas utilizadas para la implementacin de un sistema de
gestin de seguridad de la informacin en un SCADA
(Supervisory Control and Data Acquisition). Se enfatizara en el
uso de las herramientas Magerit y PILAR, elaboradas por el
Consejo Superior de la Administracin Electrnica en Espaa y
promovidas por el Centro Criptologico Nacional, de acuerdo a la
legislacin de ese pas. Por otro lado, se analizaran tambin la
normatividad que promueve la seguridad de la informacin tales
como ISO 27001, ISO 27005 y la ISO 31000, las cuales aportan
a la identificacin de los riesgos a los cuales estn expuestos los
sistemas de control industrial y a la implementacin de
estrategias de mitigacin de los mismos.
Abstract: This report reviews the methods used to implement a
safety management system of information in a SCADA
(Supervisory Control and Data Acquisition) is shown. It will
emphasize the use of Magerit and PILAR tools, prepared by the
Higher Council of eGovernment in Spain and promoted by the
National Cryptologic Centre, according to the laws of that
country. On the other hand, they also analyzed the regulations
that promote information security such as ISO 27001, ISO 27005
y la ISO 31000,, which contribute to the identification of the risks
to which they are exposed industrial control systems and
implementing strategies to mitigate them.
Palabras Claves: SCADA, Seguridad, riesgos, informacin,
gestin, prevencin

1. Introduccin
Anteriormente, la seguridad de los sistemas SCADA (Supervisory
Control and Data Acquisition) se realizaba controlando el acceso
fsico no autorizado a los dispositivos existentes en los procesos
industriales. Hoy en dia, gracias a la convergencia que existe
entre las tecnologas de la informacin (IT) con las redes de
operacin (OT) estos sistemas ya no estn aislados y no es

necesario estar presente de forma fsica para poder hacer dao

intencionado en algn proceso industrial, provocando una
exposicin a ataques informticos de toda ndole. Debido a las
graves consecuencias que pueden tener estos ataques se ha
generado todo tipo de investigaciones tendientes a proteger,
asegurar y promover conductas de seguridad en la
implementacin y mantencin de estos sistemas. Una
vulnerabilidad implica que existen puntos dbiles en la
infraestructura tecnolgica, segn la seguridad ciberntica.
Adelantarse a las acciones maliciosas y realizar una intensiva
bsqueda de vulnerabilidades, es una actividad que se puede
aplicar como contramedida a estos ataques cibernticos.

2. Que son los sistemas SCADA?

Los sistemas SCADA (Supervisory Control and Data Acquisition)
es el conjunto de tecnologas, protocolos y plataformas que
manejan informacin acerca de procesos industriales
determinados. Estos hacen parte de lo que se denomina,
sistemas de control industrial (SCI). Habitualmente, estos
sistemas tienen acceso a los procesos de automatizacin y
control en cada uno de los niveles de la pirmide CIM, desde la
toma de datos en los niveles bajos, tales como presin,
temperatura, humedad, pasando por el nivel intermedio donde
son capaces de dirigir dispositivos con supervisin remota hasta
la parte alta, tomando decisiones como mantener el nivel de un
tanque, un rango de presin en una lnea de vapor, etc. Estos
sistemas son de gran importancia ya que se destacan entre los
activos de informacin crticos, teniendo graves consecuencias
sobre la poblacin en caso de una falla. Anteriormente, estos
sistemas
eran
implementados
en
recintos
cerrados,
supervisando tareas con dispositivos cercanos, pues la mayor
parte solo registraba y controlaba variables fsicas (presin,
temperatura, etc). Gracias a esa forma de implementacin, estos
sistemas eran inmunes a los ataques que sufren las redes desde
el exterior, debido a que estaban desconectados y su acceso era
denegado desde las redes administrativas e Internet. Hoy en dia,
estos sistemas se interconectan los sistemas de control de un
proceso con empresas proveedoras mediante Internet, o realizar
tareas sobre dispositivos remotos a travs de la red celular.
Debido a todo esto, los sistemas SCADA, son cada vez ms

U N I V ER S I DA D F R A N C I S C O DE P A
U LA S A N TA N DER

expuestos a ataques cibernticos externos,

disfuncionalidad y afectndolos de forma seria.

provocando

Figura 1. Sistema SCADA. Fuente: Autor.

3. Riesgos en los sistemas SCADA.

Un estudio reciente de la empresa TrendMicro, ha arrojado el
porcentaje de ataques contra sistemas de control industrial por
pases (Figura 1), lo que incentiva a una real preocupacin por
parte de la industria de la seguridad a tomar contramedidas.

Figura 2. Numero de intento de ataques por pas. Fuente:

Seguridad en Sistemas SCADA, un acercamiento practico a
travs de EH e ISO 27001.
Los sistemas SCADA, nos ofrecen un gran nmero de
beneficios, sin embargo, la necesidad de aumentar su
conectividad los ha expuesto mayoritariamente a nuevas
amenazas como gusanos, troyanos, virus, etc.
Si se llegase a explotar en gran manera la vulnerabilidad de los
sistemas SCADA, tendramos consecuencias serias tales como:
- Denegacin del servicio.
- Perdida de la integridad de datos.
- Perdida de la confidencialidad de datos.

- Perdida de reputacin.
- Impacto en las condiciones de trabajo [1].
Muchas de las compaas que desarrollan software SCADA
hacen difcil la instalacin de parches o, en ocasiones ante el
temor de que este cdigo adicional afecte el software de
operacin, no ofrecen una estrategia de soporte para sistemas
parchados. Por lo anterior, y como suele suceder en sistemas
legados, se deja toda la estrategia de seguridad a la inclusin
de firewalls y dispositivos de deteccin de intrusos que aslen la
infraestructura SCADA del resto de la red. Los sistemas SCADA
fueron desarrollados pensando en redes que siempre estaran
aisladas [2].
De acuerdo a esto, las consideraciones econmicas nos llevaron
a un entorno donde las redes SCADA no se pueden separar de
las redes de TI, y lo nico que se puede hacer es lograr una
separaciones de estas redes mediante tecnologas de switcheo y
a su vez complementarlas con dispositivos detectores de
intrusos.

4. Seguridad en Sistemas SCADA.

La necesidad de un cumplimiento regulatorio ha llevado a las
empresas a la implementacin de mejores prcticas de
seguridad y administracin de la informacin. Cada organizacin
debe evaluar los riesgos para poder incluir los requisitos de
seguridad, indicar cuales son los activos de informacin crticos
para la continuidad del negocio e identificar de forma detallada
las vulnerabilidades existentes en cada activo de informacin.
Sea cual sea la norma que se elija existen tres principios
fundamentales en todas las normas, guas o estndares: la
disponibilidad, integridad y confidencialidad. Estos se conocen
como la trada de la seguridad de la informacin. El nivel de
seguridad requerido para llevar a cabo estos principios es
decisin de cada empresa, debido a que cada una tiene su
propia combinacin de objetivos de negocio y de requisitos de
seguridad. Todos los controles de seguridad, mecanismos y
contramedidas se aplican para proporcionar uno o ms de estos
principios, y todos los riesgos, amenazas y vulnerabilidades se
miden por su capacidad potencial de comprometer uno o todos
los principios de la triada de la seguridad de la informacin [3].
En este trabajo, se har nfasis en las herramientas Margerit y
PILAR, utilizadas en Espaa, por el Centro Criptologico Nacional.
Estas normas fueron creadas a partir de la Ley 11/2002 del 6 de
Mayo, reguladora del centro nacional de Inteligencia.
4.1. Herramienta MAGERIT. Metodologa de Anlisis y
Gestin de Riesgos de los sistemas de Informacin.
MAGERIT es la metodologa de anlisis y gestin de riesgos
elaborada por el Consejo Superior de Administracin Electrnica

U N I V ER S I DA D F R A N C I S C O DE P A
U LA S A N TA N DER

y su misin se encamina a la proteccin de la informacin en una

organizacin y crear una aproximacin metdica que no deje
lugar a la improvisacin, ni dependa de la arbitrariedad de la
persona analista.

Figura
3.
Logo
herramienta
Magerit.
Fuente:
http://administracionelectronica.gob.es/pae_Home/pae_Documen
tacion/pae_Metodolog/pae_Magerit.html#.VVqUJfl_Oko
MAGERIT persigue los siguientes objetivos:
Directos:
- Concienciar a los responsables de las organizaciones de
informacin de la existencia de riesgos y de la necesidad de
gestionarlos
Ofrecer un mtodo sistemtico para analizar los riesgos
derivados del uso de tecnologas de la informacin y
comunicaciones (TIC).
Ayudar a descubrir y planificar el tratamiento oportuno para
mantener los riesgos bajo control.
Indirectos:
- Preparar a la Organizacin para procesos de evaluacin,
auditora, certificacin o acreditacin, segn corresponda en
cada caso.
La metodologa Magerit se basa en los siguientes elementos:
activos, amenazas, vulnerabilidades, impactos, riesgos y
salvaguardas. Segn la metodologa Margerit, hay dos tareas
bsicas a realizar, Analisis de riesgos y tratamientos de los
riesgos. La primera organiza que tiene la organizacin y estima
lo que podra pasar, y la segunda permite organizar la defensa y
al tiempo estar preparados para atajar las emergencias,
sobrevivir a los incidentes y seguir operando en las mejores
condiciones.
Ambas actividades, se combinan en un proceso
denominado gestin de riesgos. El anlisis de riesgos considera
tres elementos bsicos los cuales son: activos, amenazas y
salvaguardas. Con estos elementos se puede estimar el impacto,
es decir, lo que podra pasar y el riesgo, lo que probablemente
pase. Los resultados del anlisis de riesgos permiten a la gestin
de riesgos recomendar las medidas apropiadas que deberan
adoptarse para conocer, prevenir, impedir, reducir o controlar los
riesgos identificados y as reducir al mnimo su potencialidad o
sus posibles perjuicios. La gestin de riesgos es mostrada de
forma metdica en la figura 3.

Figura 4. Proceso de gestin de riesgos. Fuente: ISO 31000.

La metodologa MAGERIT se estructura de la siguiente forma:

El captulo 2 presenta los conceptos informalmente. En
particular se enmarcan las actividades de anlisis y tratamiento
dentro de un proceso integral de gestin de riesgos.

El captulo 3 concreta los pasos y formaliza las

actividades de anlisis de los riesgos.

El captulo 4 describe opciones y criterios de tratamiento

de los riesgos y formaliza las actividades de gestin de riesgos.

El captulo 5 se centra en los proyectos de anlisis de

riesgos, proyectos en los que nos veremos inmersos para
realizar el primer anlisis de riesgos de un sistema y
eventualmente cuando hay cambios sustanciales y hay que
rehacer el modelo ampliamente.

El captulo 6 formaliza las actividades de los planes de

seguridad, a veces denominados planes directores o planes
estratgicos.

El captulo 7 se centra en el desarrollo de sistemas de

informacin y cmo el anlisis de riesgos sirve para gestionar la
seguridad del producto final desde su concepcin inicial hasta su
puesta en produccin, as como a la proteccin del propio
proceso de desarrollo.

El captulo 8 se anticipa a algunos problemas que

aparecen recurrentemente cuando se realizan anlisis de
riesgos.

U N I V ER S I DA D F R A N C I S C O DE P A
U LA S A N TA N DER

Figura 5. Proceso de gestin de riesgos. Fuente: Magerit.

4.2. Herramienta PILAR.
PILAR conjuga los activos TIC de un sistema con las amenazas
posibles, calcula los riesgos y nos permite incorporar
salvaguardas para reducir el riesgo a valores residuales
aceptables. Esto nos permite fundamentar la confianza en el
sistema.
Las organizaciones pblicas dependen de forma creciente de las
tecnologas de la informacin y comunicaciones (TIC) para la
consecucin de sus objetivos de servicio. La razn de ser de
PILAR est directamente relacionada con la generalizacin del
uso de los medios electrnicos, informticos y telemticos, que
supone unos beneficios evidentes para los usuarios; pero
tambin da lugar a ciertos riesgos que deben minimizarse con
medidas de seguridad que generen confianza en el uso de tales
medios.
Los objetivos perseguidos por la Herramienta Pilar son:
-

Realizar el anlisis de riesgos segn la metodologa

Magerit e ISO/IEC 27005.

Figura 6. Interfaz grfica de la herramienta PILAR versin 5.3.

Fuente: http://www.ar-tools.com/es/index.html

Diseo del plan de mejora de la seguridad.

PILAR consiste en una aplicacin informtica que compila los

activos del sistema, sus relaciones de interdependencia y su
valor para la organizacin. Conocido el sistema, permite
introducir las amenazas posibles en los aspectos de
disponibilidad, integridad, confidencialidad, autenticidad y
trazabilidad, para derivar los riesgos potenciales sobre el
sistema.
Una vez conocidos los riesgos, se pueden determinar una serie
de salvaguardas y estimar el riesgo residual. En tratamiento del
riesgo es un proceso continuo y recurrente en el que el sistema
de proteccin se va mejorando regularmente para afrontar
nuevos riesgos y aumentar la confianza que el sistema merece
para los responsables y los usuarios.

Los resultados que se obtienen con el uso de esta herramienta

son los siguientes:
Impacto potencial y residual.
Riesgo potencial y residual.
Mapa de riesgos.
Plan de mejora de la seguridad
Monitorizacin contina del Estado de Riesgo.
Las ventajas que conlleva la utilizacin de esta herramienta son
las siguientes:
Conocer los riesgos a fin de poder tratarlos.
Conocer el grado de cumplimiento de diferentes perfiles de
seguridad: 27002, proteccin de datos de carcter personal,
esquema nacional de seguridad, etc.
Implementar la metodologa Magerit e ISO/IEC 27005.
4.3. ISO 27001:2005.
La norma ISO 27001:2005[4] define los requisitos para un
sistema de gestin de seguridad informacin (SGSI) e ISO 17799
se utiliza para identificar controles de seguridad de la informacin
adecuados para el SGSI. La norma ISO 27001:2005 incorpora un
resumen de los controles ISO 17799:2005 como apndice.
El origen histrico de la familia ISO 27000 fue la BS 7799-1, de
los cuales las piezas esenciales fueron tomadas en el desarrollo
de ISO/IEC 17799:2005 Information Tecnology: cdigo de
prctica para administracin de seguridad de la informacin. Fue
desarrollado y publicado por el British Standards Institution (BSI),
etiquetado como BS 7799-1:1999.

U N I V ER S I DA D F R A N C I S C O DE P A
U LA S A N TA N DER

La norma fue publicada en el ao 2000 en su primera edicin, y

fue actualizada en junio de 2005.

5. CONCLUSIONES.
-

4.4. ISO 27005.

La norma internacional ISO 27005[5] proporciona directrices para
la gestin de riesgos de seguridad de la informacin en una
organizacin, apoyando, en particular, los requisitos de un SGSI
segn lo establecido en la norma ISO/IEC 27001:2005. Sin
embargo, este ltimo estndar internacional no proporciona
ninguna metodologa especfica para la gestin de riesgos de
seguridad de la informacin. Por este motivo ISO/IEC se enfoca
en la gestin de riesgo, dependiendo, por ejemplo, del alcance
del SGSI, el contexto de la gestin de riesgo, y por supuesto el
sector de la industria en la que se quiere aplicar. Esta norma sin
embargo, no excluye que se puedan utilizar otras metodologas
existentes para la gestin de riesgos, siempre que estas estn
bajo el marco que se describe en ISO 27001:2005 para
implementar los requisitos de un SGSI.

Las investigaciones que se pueden desarrollar a futuro, se

enfocaran en el desarrollo de nuevas tecnologas, con la
finalidad de crear simulaciones y detectar ataques cibernticos
en un ambiente real de sistemas SCADA. Modelar estos
ataques, para conocer el impacto que puede causar a gran
escala.

Con la implementacin de los sistemas de gestin para la

seguridad de la informacin se quiere planificar y manejar de
forma eficiente la seguridad de la informacin en sistemas de
control industrial, as como adoptar herramientas metodolgicas
que facilitan el proceso integral de gestin de riesgos, seguridad
de la informacin y concientizacin en seguridad en sistemas de
control industrial.

4.5. ISO/FDIS 31000.

Esta norma recomienda que las organizaciones desarrollen,
implementen y mejoren continuamente un marco de trabajo con
el propsito de integrar el proceso de gestin de riesgo en el
gobierno corporativo de la organizacin, que incluyen la
estrategia y planificacin, gestin, informes, procesos, polticas,
valores y cultura[6]. Por lo que establece una serie de principios
que deben ser satisfechos para hacer efectiva la gestin de
riesgos.
Para mejorar la seguridad en los sistemas ICS y SCADA es
necesario aplicar estndares internacionales para mantener una
gestin adecuada de los activos de informacin. Al contrastar los
riesgos encontrados con los controles propuestos en la norma
ISO/IEC 27001:2005[4] se puede mitigar los riesgos aplicando
los siguientes controles:
o 11.1.1 Poltica de Control de Acceso
o 11.2.3 Administracin de Contraseas
o 11.3.1 Uso de las contraseas
o 10.3.2 Aceptacin de sistemas
o 11.4.3 Identificacin de equipos en la red
o 11.4.5 Segregacin en la red
o 11.4.7 Control de enrutamiento de la red
o 12.6.1 Control tcnico de vulnerabilidades
o 10.1.2 Control de Cambios
o 10.2.3 Administracin de cambios a servicios de terceros
o 12.5.1 Procedimientos para el control de cambios.

La importancia de la seguridad en la informacin que manejan

las organizaciones es un tema nuevo para el rea de
investigacin en los sistemas de control industrial. Es por ello
que se hace necesario conocer el impacto que puede ocasionar
un ataque ciberntico y las consecuencias que se pueden derivar
de los mismos.
Los sistemas de generacin de energa elctrica masivos,
las plantas de aguas residuales y de acueducto a gran escala,
deben ser considerados de seguridad nacional. Blindar los
sistemas SCADA de estas industrias e infraestructuras traer
consigo beneficios importantes para la poblacin en general, ya
que una falla en ellos puede acarrear una consecuencia
desastrosa.

6. BIBLIOGRAFIA.
[1] Seguridad en los sistemas SCADA. Guia de Seguridad de las
TIC (CCN STIC 480). 2010.
[2]
SAN ROMAN, Esteban. Los sistemas SCADA y su
exposicin ante ataques informticos. Revista Magazcitum.
2011.
[3] ANABALON, Juan. Seguridad en sistemas SCADA un
acercamiento practico a travs de EH e ISO 27001:2005.
Departamento de Ingeniera Informtica. Universidad de
Santiago de Chile. Santiago, Chile.
[4] ISO/IEC 27001:2005 Tecnologa de la Informacin - Tcnicas
de Seguridad - Sistemas de Gestin de Seguridad de la
Informacin - Requerimientos. 15-Oct-2005.

U N I V ER S I DA D F R A N C I S C O DE P A
U LA S A N TA N DER

[5] ISO/IEC 27005: Gestin de riesgos de la seguridad de la

informacin.

[7] MAGERIT Version 3.0. Metodologa de Anlisis y Gestin de

Riesgos de los Sistemas de Informacin. Libro I Mtodo.
Secretaria de Estado de Administraciones Pblicas.

[6] International Organization for Standardization, ISO/FDIS

31000. Risk management Principles and guidelines..

U N I V ER S I DA D F R A N C I S C O DE P A
U LA S A N TA N DER