Formación - FP Andalucía

Diagnóstico de ciberseguridad en
un entorno de automatización
industrial
Belén Pérez Rodríguez
Ingeniería Técnica Industrial:
Electricidad, Electrónica, Automática-Robótica

Grado en Ingeniería Electrónica Industrial y Automática

Máster Profesional de Ciberseguridad Industrial

Máster en PRL:
Seguridad, Higiene y Ergonomía+Psicosociología

Certificaciones:
Cisco(CCNA,CCNA-Security,CCNP-R&S,CCNP-E),
IBM(Qradar), CCN-CERT(ENS), Ec-Council(CEH,CHFI)
Belén Pérez Rodríguez
Técnico de O&M - Operadora de cable

Responsable de Proyectos e Ingeniero QA - Centum

CISO, Responsable de proyectos y Auditora/Consultora

de Ciberseguridad IT/OT- BALIDEA

Formadora de Redes y Ciberseguridad

Coordinadora para Galicia del CCI

Cibercooperante INCIBE
Vocal 2ª del COITI-VIGO
Ponente: NavajaNegra, SecAdmin, Akademy, ...
VICON - H&B...
Programa de Compromiso con la
Ciberseguridad Industrial del CCI
¿Quién eres?
Planificación de mi Jornada
• Horario: Una sesión de 3 horas
• Participación Activa
• https://conocimiento.cci-es.org
Paradme si digo algo que no entendéis

● https://www.linkedin.com/in/belenpr/
@BPR_Vigo
belen.perez@escuela.cci-es.org
 Jornada
JORNADA 16/10/2020
Tecnologías de automatización industrial y escenarios de riesgos
Ejemplo práctico base
Diagnóstico - Evaluación de riesgos
DESCANSO
Diagnóstico - Evaluación
Metodología
Diagnóstico de seguridad física, sistemas y terceras partes
El informe del diagnóstico y su presentación.
Práctica
 Formación - FP Andalucía
Diagnóstico de ciberseguridad en
un entorno de automatización
industrial

Tecnologías de
automatización industrial y
escenarios de riesgo
Evolución de la
Automatización Industrial

1784 1870 1969 2011

Tipos de procesos industriales

Continuo Discreto (Manufactura) Servicio (Distribución)

Automatización industrial

)
ES
(M
Particularidades de sistemas Industriales
1. Redes muy extensas
2. Multitud de protocolos
3. Entornos agresivos
4. Ciclos de vida muy largos
5. Configuraciones muy limitadas
6. Respuesta en tiempo real
 Automatización industrial

El sistema SCADA lee la

Nivel 2 Datos medida de flujo (PLC1) y del
nivel (PLC2), los almacena
evalúa y puede enviar datos de
control.
Flujo

Nivel 1 Controlador Control

Nivel Control

Sensor

Bomba Sensor
Señales o
Nivel 0
instrumentos
Válvula
Redes industriales
Sistemas de Control – Principales
fabricantes
Redes industriales
Sistemas de Control – Principales
fabricantes
IT vs SCI
Sistemas de Control – Principales
TI ATRIBUTOS SCI
fabricantes
ALTA CONFIDENCIALIDAD BAJA
BAJA, MODERADA INTEGRIDAD MENSAJES MUY ALTA
ALTA DISPONIBILIDAD MUY ALTA
TOLERANCIA DE RETRASO CRITICIDAD DEL TIEMPO MUY CRÍTICO
BUENOS SKILLS EN SEGURIDAD MUY POBRES
3 A 5 AÑOS CICLO DE VIDA SISTEMAS 15 A 125 AÑOS
ILIMITADOS RECURSOS COMPUTADOR MUY LIMITADOS
COTS (WINDOWS, UNIX) SISTEMA OPERATIVO COTS en HMI. RTOS
TCP/IP, UDP PROTOCOLOS DE RED MODBUS, DNP,PROFIBUS,.

ivo En
rat to
rn
r po o
in
co du
r no st
to ria
En DMZ Red corporativa Red operación
Centro l
de control
Escenarios de riesgo
 EJEMPLO PRÁCTICO
Diagnóstico de ciberseguridad en
un entorno de automatización
industrial

Caso de uso Industrial.

Manufactura 4.0
Caso práctico Manufactura 4.0

Mazzallón
Mazzallón S.A
Fabricación en 2019 Oficina corporativa Fábrica Mazallón
20 millones de cajas de mazalletas anuales (Madrid) (Toledo) desde 2014

Exportación
Francia, Alemania y Rusia (desde 2018)
México, Colombia y Argentina (desde 2016)
Distribución ventas 2019
Dubai (desde 2014) Consejero
Delegado
Personal actual (132 empleados)
Oficina corporativa 44 personas
Fábrica. 88 personas Director General

Dirección
Dirección Dirección Dirección Dirección
Tecnología e
Operaciones Comercial Financiera Marketing
innovación
 Proceso de fabricación de las galletas mazzalletas

SILOS PARA LA DISTRIBUCIÓN DE

INGREDIENTES
 Proceso de fabricación de las galletas mazzalletas

HMI Dosificador
 Proceso de fabricación de las galletas mazzalletas

Amasadoras espirales
 Proceso de fabricación de las galletas mazzalletas

Moldeadora
 Proceso de fabricación de las galletas mazzalletas

Horno de túnel a gas

 Proceso de fabricación de las galletas mazzalletas

HMI del horno continuo

MAZALLÓN
 Proceso de fabricación de las galletas mazzalletas

Cinta de enfriado
ERP de Mazzallón S.A.

Mazall
ón
Automatización Mazzallón
FÁBRICA

Dispone de 3 Líneas de producción automatizadas.

Gestiona un total de 1.200 instrumentos (Nivel 0)

Controladores (Nivel 1)
Siemens para fabricación y empaquetado
Schenider Electric para eficiencia energética
Rockwell Automation seguridad de proceso y trazabilidad

SALA DE CONTROL para supervisión (Nivel 2)

OFICINA
Sistema MES (Nivel 3 Almacenamiento, procesamiento y análisis Big Data en
CLOUD)
Sistema ERP (Nivel 4 preparación de la formulación de cada lote según pedidos
cumpliendo requisitos sanitarios e ingredientes autorizados)
 Arquitectura Mazzallón
OFICINA CLOUD Servicio
Servidores Servidores MES
CORPORATIVOS ERP
Firewall
corporate Internet
Estaciones corporativas
WAN

WAN
1
2 Firewall
FÁBRICA
industrial
HMI
SCADA

Estación de
ingeniería
Sistemas de proceso

PROVEEDOR Internet
Control Control Control
Servidores proceso eficiencia Safety
HMI Local
CAU

Firewall
proveedor
 CASO PRÁCTICO
Diagnóstico de ciberseguridad en
un entorno de automatización
industrial

Evaluando el riesgo
 Te acaban de nombrar
responsable de
Ciberseguridad Industrial
de MAZZALLÓN
GESTIÓN
DEL
RIESGO
¿Qué responsabilidades
tendrás?
Responsabilidades en la gestión del riesgo

Nivel Directivo o Dueño de la organización

Define el compromiso y aprueba recursos
Directivo
Comité de seguridad
Nivel Define alcance.
Estratégico Planifica, controla y verifica

Coordinador de seguridad
Nivel Coordina, gestiona, reporta
Táctico Establece directrices

Personal operativo
Nivel Administra sistemas, redes
Operativo Aplicaciones, ...
¿Cómo?
Metodología para gestionar procesos
 ¿Hay alguna metodología
adaptada a la gestión de
riesgos en tecnologías
industriales (de operación)?
SGCI
Guía SGCI. Objetivo

• Guía práctica para el coordinador de

ciberseguridad industrial.
• Método para diseñar, implementar y
mantener un conjunto de políticas,
procedimientos y sistemas para
gestionar los riesgos tecnológicos en
instalaciones industriales.
• Basado en estándares reconocidos y
buenas prácticas.
Guía SGCI. Fuentes de referencia
Marco de referencia del SGCI
(Ciclo de Vida)

PLAN ACT

PLAN DO CHECK
STARTER KIT SGCI

1 guía 24 plantillas 84 controles

SGC I
¿Es suficiente esta guía para implantar el SGCI?

D2 D4 D4 D5
 Centro de
Ciberseguridad Industrial

ESCIM, Plataforma “ÁGIL” de Escenarios de Incidentes de ciberseguridad

Industrial de Alto Impacto
https://www.cognitoforms.com/CentroDeCiberseguridadIndustrial/ESCIMV2#hi
WYfzpyCgeUWTfmlyEyi0nXTWBp8YGU49U8YRocS-I$*
Mazzallón CLOUD
OFICINA Servicio
Servidores Servidores MES
CORPORATIVOS ERP
Firewall
corporate Internet
Estaciones corporativas
WAN

WAN
1
2 Firewall
FÁBRICA
industrial
HMI
SCADA

Estación de
ingeniería
Sistemas de proceso

PROVEEDOR Internet
Control Control Control
Servidores proceso eficiencia Safety
HMI Local
CAU

Firewall
proveedor
Descanso