Documentos de Académico
Documentos de Profesional
Documentos de Cultura
Encuesta de seguridad:
El mundo está evolucionando hacia un futuro que se basa en sistemas inteligentes compuestos de tipos
dispares de "cosas", incluidos sistemas cibernéticos / físicos, sistemas integrados, sistemas de control
industrial, dispositivos médicos conectados, automóviles conectados e inteligentes "Todo", y esta
tendencia no se puede detener. Sin embargo, para realizar este futuro, las industrias debe integrar
correctamente los tipos interactivos conectados, habilitados por software y del mundo real
dispositivos y sistemas que llamamos Internet industrial de las cosas (IIoT) en una cohesión sistema.
Desafortunadamente, junto con la promesa de mayores capacidades técnicas y Las oportunidades
comerciales conllevan una mayor complejidad y, a su vez, una mayor vulnerabilidad.
a las amenazas de seguridad cibernética que pueden alterar todo el carrito de la manzana. Sin
embargo, la seguridad de IIoT no puede considerarse de forma aislada, sino más bien como parte de las
características del sistema que deben respaldar las expectativas de seguridad, confiabilidad, resiliencia
y privacidad que pueden describirse como la confiabilidad del sistema. La confiabilidad también debe
lidiar con el choque cultural entre la convergencia de la tecnología de la información y tecnología
operativa que presenta tanto desafíos como oportunidades para organizaciones y las industrias que las
apoyan y suministran.
Para ayudar a abordar estos desafíos, se creó el Consorcio de Internet Industrial (IIC) 1 en 2014 para
allanar el camino para la realización del valor comercial en IIoT y abordar los riesgos que emergen,
afectando a aquellos que usan, operan o viven cerca de esos sistemas IIoT. Esta El informe proporciona
información y validación muy necesarias sobre los problemas reales que enfrentamos hoy. y qué está
funcionando para abordarlos. Proporciona información útil para muchos, incluida la CII. y sus socios en
todo el mundo, donde las preocupaciones relacionadas con la seguridad no son solo siendo abordado,
pero también como parte de la necesidad holística de Sistemas IIoT.
Prólogo de ARC
Ya sea que se llame Internet industrial de las cosas (IIoT), Industria 4.0 o digitalización, las empresas
están desarrollando nuevas estrategias de mejora empresarial basadas en análisis, inteligencia
artificial (IA) y aprendizaje automático. Estos esfuerzos son generalizados y de gran alcance.
Afectarán todas las actividades críticas, incluidas las operaciones, el mantenimiento y Ingenieria.
Tecnología de la información (TI), tecnología operativa (OT) e ingeniería tecnología (ET) se verá
afectada por la explosión de sensores, nuevas redes soluciones y cambios arquitectónicos.
Los hallazgos de esta investigación de SANS se alinean bastante bien con los comentarios continuos
que recibe ARC de usuarios finales en industrias de procesos, fabricación discreta e infraestructura.
El mantenimiento predictivo y las mejoras operativas son el enfoque principal de la mayoría de sus
esfuerzos de IIoT. Ambos implican una conexión amplia de nuevos y existentes sensores de plantas
con soluciones basadas en la nube y proveedores de servicios. Conectividad en la nube es una
preocupación, pero la mayoría de las empresas creen que pueden lidiar con esto a través de redes
segmentación y aislamiento de redes de control. La seguridad de los nuevos endpoints es claramente
más problemático. Pocas organizaciones creen que pueden confiar en los sensores originales
fabricantes de equipos (OEM) en este mercado emergente para proporcionar dispositivos seguros.
La falta de control sobre los procesos de desarrollo y las cadenas de suministro complejas agrava el
final preocupaciones del usuario. La administración de actualizaciones y parches de seguridad de
endpoints es otra tarea abrumadora desafío. El personal de la planta ya está abrumado con las tareas
de higiene de seguridad para los bienes. No hay ancho de banda para coordinar parches de seguridad
de una multitud de diferentes OEM. Asimismo, pocas plantas tienen el tipo de acceso remoto seguro
que se necesita. para permitir la gestión directa por parte de los OEM. No es sorprendente que estos
dispositivos de seguridad Las preocupaciones están impulsando un mayor apoyo para grupos de
estándares como el Industrial Consorcio de Internet (IIC) y programas de certificación de dispositivos
ofrecidos por grupos como la Sociedad Internacional de Automatización (ISA) y Underwriters
Laboratories (UL).
Resumen Ejecutivo
La seguridad de los puntos finales de IIoT es la principal preocupación de los encuestados de 2018
Encuesta de seguridad SANS IIoT, con controles de seguridad de red y contramedidas actualmente
siendo los principales facilitadores de la seguridad IIoT. La mayor parte del crecimiento de los
dispositivos conectados se espera que sea para aquellos que se utilizan para monitoreo, estado,
alarmas y alertas, así como mantenimiento predictivo, pero más del 50% de los encuestados todavía
utilizan sus dispositivos para el control directo de operaciones y procesos. A medida que IIoT mueve
las operaciones industriales cada vez más hacia procesos distribuidos en línea, mayor visibilidad en el
punto final necesita complementar la dependencia actual de la recopilación y el análisis del tráfico
de red y eventos de seguridad para la respuesta y reparación de incidentes.
Asegurar la infraestructura de IIoT de una organización requiere comprender las amenazas y riesgos a
afrontar. Según los datos de la encuesta, durante los próximos dos años, las principales amenazas se
refieren a problemas de gestión del ciclo de vida de IIoT y errores humanos, mientras que el riesgo
informado está relacionado con consideraciones de seguridad en la instalación de productos y
sistemas, configuración, servicio, soporte y mantenimiento. Una forma de interpretar esto es que Los
atacantes aprovecharán las vulnerabilidades inherentes a los productos o las debilidades introducido
por los responsables de la construcción, operación y mantenimiento de los sistemas dónde se utilizan
estos dispositivos, no muy diferente de lo que vemos en otros sistemas de red. En la mayoría de los
entornos industriales, cuando las organizaciones necesitan elegir entre operaciones y seguridad, es
raro que la seguridad tenga prioridad. Confianza en qué tan bien las organizaciones pueden proteger
sus entornos IIoT, sin embargo, depende de a quién se le haya asignado la gestión del riesgo de IIoT.
Cuanto más cerca está alguien para los sistemas IIoT, mayor es el reconocimiento de una realidad
desafiante. Los individuales probablemente el más conocedor de la implementación de IIoT, el equipo
de TO, parece ser el menos confiados en la capacidad de su organización para proteger estos
dispositivos, mientras que la empresa el liderazgo y la gestión, incluidos los directores de
departamento, parecen los más seguros. La convergencia en IIoT no se trata solo de tecnología; se
trata de quién gestiona el riesgo y define el presupuesto. Para muchos, tales disparidades
organizacionales hacen que el presupuesto de seguridad, las decisiones sobre dotación de personal y
formación son aún más difíciles de ejecutar. La división que a menudo separa las perspectivas de TI y
OT sobre el establecimiento de prioridades adecuadas entre la disponibilidad, Los objetivos de
integridad, confidencialidad y seguridad a veces se ven eclipsados por un error no intencionado.
abismo entre el liderazgo de la empresa y las operaciones. Como convergencia operativa de TI / OT
comienza a superar las diferencias, incluso hoy en día, no es inusual que haya otras diferencias en
lenguaje, tolerancia al riesgo y percepciones del panorama de amenazas para mostrarse al comparar el
proverbial piso superior y el piso de producción de muchas de las empresas actuales.
Controles industriales
32% de los dispositivos IIoT se conectan directamente a Internet, evitando la TI tradicional capas de
seguridad.
72% confiar en las suites de IP para controlar, configurar y recopilar datos de dispositivos.
71% de los dispositivos ya están usado para monitorear (salud del proceso, monitoreo de condición).
41% recopilar seguridad específica y datos de operaciones sobre IIoT dispositivos y sistemas.
Resultados clave
• Confusión sobre lo que se quiere decir por "punto final" más destacados la necesidad de una
referencia arquitectura exclusiva de IIoT.
• Los puntos finales son la preocupación; las redes son las actuales controlar.
• La percepción de riesgo, sostenida por los más cercanos a los problemas, necesita ser compartido por
aquellos que aprueban y gestionan el Presupuesto IIoT.
El Problema
IIoT se está acelerando, ya que los beneficios a corto y largo plazo para su adopción están claros. Las
soluciones IIoT pueden ayudar a reducir costos y aumentar la productividad, reflejado por ROI
tangible. Por ejemplo, el mantenimiento predictivo es ahora una realidad facilitada a través del uso
de inteligencia y, a menudo, sensores altamente especializados que recopilan mejores datos más
rápido en máquinas y aplique matemáticas, análisis de datos y aprendizaje automático para
determinar exactamente cuándo una máquina necesitará mantenimiento.
IIoT también enfrenta desafíos importantes. Ciberataques contra personas conectadas los activos
pueden resultar en la pérdida de propiedad intelectual; la pérdida de producción a través de
interrupciones o daños en el equipo físico, sistemas y producto; enormes pérdidas financieras; y
lesiones graves o muerte. Orquestando una comunicación de red significativa en un variedad de
puntos finales puede ser un desafío, especialmente cuando son propietarios los protocolos y las
implementaciones específicas del proveedor aún se superponen abiertos estándares, lo que hace que
la interoperabilidad sea complicada, si no inalcanzable.
SANS realizó esta encuesta a principios de 2018 para estudiar lo que puede facilitar o impedir la
seguridad de las soluciones IIoT. Dado que aparición y crecimiento de los sistemas IIoT, qué
limitaciones están afectando conectividad a gran escala en todas las industrias? ¿Y cómo deberían
estos Las limitaciones se caracterizan en términos de las demandas impuestas a profesionales de
seguridad de TI y OT para salvaguardar estos cada vez más sistemas complejos, garantizando al mismo
tiempo una mayor fiabilidad, integridad operativa, eficiencia y productividad?
Caracterización de IIoT
Desde finales de la década de 1990, los diseños de redes de ICS se han alineado más estrechamente
con la Arquitectura de referencia empresarial de Purdue, que describe una jerarquía estándar de
aplicaciones y controles, flujos de datos y límites de aplicación necesarios para realizar operaciones
industriales complicadas Si bien es útil para diseñar la segmentación funcional de sistemas de control,
el modelo Purdue no es una arquitectura de seguridad; No Uno imaginó un ICS que sigue su jerarquía,
ni requiere una organización para implementar controles de seguridad en la arquitectura.
Sin embargo, el modelo de Purdue todavía puede ayudar a determinar un diseño de seguridad que
protege el control, el proceso y la seguridad sensibles dispositivos de otras capas más expuestas
públicamente a través de segmentación lógica y colocación efectiva de activos, como cortafuegos,
IDS e IPS intervinientes.
El crecimiento de IIoT requiere repensar este enfoque tradicional con la expansión de los sistemas
industriales sin fronteras, un nuevo control arquitecturas de sistemas y vías de comunicación. IIoT,
como ISA / IEC-62443 anterior, desdibuja la jerarquía del Modelo Purdue en una más "federada" y
arquitectura efectivamente más plana, disolviendo la delimitación de niveles y zonas a lo largo con los
flujos de datos prescriptivos en los que la industria ha llegado a depender. Encuestados (32%) informan
que sus dispositivos se conectan directamente a Internet, ya sea individualmente o como parte de un
sistema IIoT. Otro 32% afirma que sus activos se conectan a través de una puerta de enlace al empresa
que transforma la información recibida de dispositivos externos (ubicada en el DMZ). Ver tabla 1.
Si bien el modelo de Purdue puede ayudar a los lectores a comprender dónde está IIoT se conecta a un
ICS, no proporciona ninguna información sobre el nivel de riesgo que estos dispositivos introducen en
la infraestructura. Basado en IP Los protocolos y los canales de comunicación inalámbrica permiten los
sistemas IIoT. para conectarse más fácilmente a través de redes y aplicaciones de TI y OT, para integrar
procesos y datos de manera más eficiente, pero también para aumentar vulnerabilidades y superficies
de ataque.
Demografía de los encuestados
• Las principales industrias representadas incluyen energía / servicios públicos, seguridad cibernética,
gobierno / público sector, tecnología y educación / formación.
Porcentaje de la industria
Ciberseguridad 8,91%
Tecnología 8,91%
Fabricación 5,94%
• Las organizaciones varían en tamaño de fuerza laboral desde pequeñas (<= 1,000) a grande (más de
50,001).
Pequeña:
<= 1.000
Pequeño mediano:
Medio:
5.001 a 15.000
Mediano grande:
15.001 a 50.000
Grande:
Más de 50.001
• Los roles de los encuestados son principalmente de seguridad administrador / analista (20%) y
seguridad gerente o director (11%). Más encuestados desempeñó roles de TI que los roles de OT, lo
que la perspectiva proporcionada en este documento.
PARA LLEVAR
Hoy en día, el ICS tradicional debe abrazar la idea que el perímetro del sistema de control puede
extenderse más allá de los límites de seguridad tradicionales para a menudo incluyen algunos medios
de conectividad al Internet. Las arquitecturas de referencia IIoT deben reflejar estas fronteras
operativas ampliadas, mientras que también contabilizando un sistema integrado seguro y confiable
red de datos y garantizar que los puntos finales tanto de confianza como protegido.
Sorprendentemente, la mayoría (40%) de los encuestados tiene menos de 100 dispositivos conectados.
Tener menos de 100 dispositivos conectados no debe interpretarse necesariamente como un pequeño
conjunto de terminales. La definición de un punto final de IIoT y su relación con un dispositivo de IIoT
siguen siendo temas muy debatidos. Un fabricante de dispositivos puede considerar el sensor o
actuador integrado único como el punto final de IIoT, mientras que un integrador de sistemas puede
definir ese punto final como una colección de dispositivos que cumplen una función particular dentro
de un subsistema más grande. El propietario del activo puede considerar un punto final como un
sistema más complejo que está enmascarado detrás de una puerta de enlace o dispositivo de borde,
como una turbina eólica o una torre de enfriamiento. Ver figura 1.
Dado este rango en la definición de un punto final de IIoT y la relación un tanto confusa con un
dispositivo, la cantidad real de dispositivos IIoT puede subestimarse aquí, señalando la necesidad de
administración de activos, saber lo que tiene y cómo está configurado, y su importancia en el
mantenimiento de una infraestructura segura. ¡Es difícil proteger lo que no conoces!
Los puntos finales están en todas partes en un panorama de IIoT, ya sea haciendo un conexión directa
o indirecta. Un punto final debe caracterizarse específicamente para el sistema IIoT del que forma
parte, especialmente si el punto final requiere configuración o programación basada en su uso
previsto en el sistema. Esto es esencial para desarrollar mecanismos de protección adecuados contra
vectores de ataque conocidos y, en algunos casos, desconocidos. La comunidad IIoT está adoptando el
desarrollo de las mejores prácticas en torno a la seguridad de los terminales, como se describe en el
documento técnico de la IIC, "Mejores prácticas de seguridad de terminales", publicado el 12 de marzo
de 2018.
Vocabulario del Industrial Internet Consortium (IIC) define un punto final como un "componente que
tiene capacidades computacionales y redes conectividad ”. 6
Los puntos finales IIoT admiten dos tipos de conexión básicos: "Directo: donde el [punto final] puede
hablar como un cliente ... a cualquier aplicación remota en línea interfaces con o donde se puede ver
en línea como un servidor; e indirecta, donde la comunicación al IIoT está mediado por algún método
que no sea IP ".
Más del 56% de los encuestados utilizan sus dispositivos conectados en sistemas IIoT para recopilar
datos para el monitoreo (71%); estado, alarmas y alertas (69%); y mantenimiento predictivo (56%),
frente al control directo de operaciones y procesos (53%). Ver figura 2.
La alta utilización de dispositivos para monitoreo y estado, alarmas y alertas apunta a la tendencia
probable de modernizar los sistemas heredados con nuevos sensores adicionales como una forma
rentable de recopilar datos clave para con fines de mantenimiento predictivo / preventivo y para
optimizar el desempeño (por ejemplo, reemplazar procesos previamente manuales) y mejorar la
productividad (complementar la ausencia de personal). Para poner esto en perspectiva, revise la Tabla
1. La presencia de no IP (Capa-2, Serial, USB) en el lado de la red OT en el Nivel
El método de conexión y el cableado pueden proporcionar una pista sobre si este es el caso. El
cableado físico de estas conexiones puede resultar caro debido a los costes de instalación y las
actualizaciones de la red. Es posible que algunas partes de los sistemas sean de difícil acceso, se
encuentren en una ubicación que no respete el medio ambiente o que formen parte de equipos en
movimiento o giratorios, lo que hace que las conexiones por cable sean poco prácticas o imposibles.
Aquí, la tecnología inalámbrica puede ser rentable, si no el único método de conexión viable,
especialmente si los dispositivos no se consideran de misión crítica. Comparando la utilización del
dispositivo con la El método de conexión muestra que el uso de Wi-Fi y conexiones celulares es
mayor para el monitoreo y el estado que para el mantenimiento predictivo y el control de procesos,
lo que sugiere que esto puede ser una tendencia que siguen los encuestados y un resultado directo
de las limitaciones prácticas y técnicas de conexiones cableadas. Ver figura
Los dispositivos se gestionan a través de la red. Los encuestados dependen del uso de protocolos de
Internet para controlar, configurar y recopilar datos de los dispositivos. La mayoría (72%) confía en
conjuntos de protocolos de Internet.8 El uso de protocolos específicos de dominio basados en IP9
indica en un 53% la adopción continua y el desplazamiento de protocolos patentados, no enrutables y
punto a punto utilizados en el control sistemas. Ver figura 4.
Para el 41% de los encuestados que recopilan datos específicos de seguridad y operaciones sobre los
dispositivos y sistemas IIoT en su red, la mayoría (82%) los está usando para visibilidad e investigación,
incluida la respuesta a incidentes, la recuperación ante desastres y análisis forense.
MEJORES PRÁCTICAS
Ligero, fácil de implementar e incluido en casi todos los productos basados en IP actuales, el uso de
servicios web para interactuar con dispositivos también es popular, a pesar de las preocupaciones y
desafíos desde las perspectivas de TI y seguridad, sin mencionar la dificultad con la administración de
activos en toda la empresa. lo que lleva a riesgosas inconsistencias de configuración entre dispositivos.
Cuando utilice una interfaz basada en web para comunicarse con dispositivos IIoT, asegúrese de
identificar y abordar las preocupaciones potenciales y las vulnerabilidades resultantes:
• Cambie las contraseñas predeterminadas, esté atento a las contraseñas cableadas y considere
seriamente adoptar mecanismos de rotación de contraseñas que eviten la duplicación y reutilización
de contraseñas.
• Administre los activos de IIoT y desarrolle y mantenga un inventario en tiempo real que incluya sus
dispositivos conectados. Utilice este inventario para mantener los productos actualizados,
asegurándose de que todos los parches y actualizaciones provengan de fuentes aprobadas y confiables.
• Asegúrese de que las divulgaciones de vulnerabilidades relacionadas con el producto o los servicios
empleados por el producto se consideren cuidadosamente y, cuando sea posible, parcheen los
productos o agreguen controles técnicos y no técnicos de compensación para mitigar los riesgos.
• Desactive los puertos y servicios innecesarios y supervise el tráfico de la red para detectar futuras
indicaciones de actividad en esos puertos o servicios. Esto también puede ayudar a protegerse contra
vulnerabilidades no basadas en la red, como las conexiones directas al dispositivo.
• Probar productos en un entorno altamente controlado sin riesgos de seguridad para el personal, la
maquinaria y el entorno en busca de vulnerabilidades que van desde el agotamiento de los recursos y
la denegación de servicio hasta los desbordamientos de búfer y secuencias de comandos entre sitios
que aumentan la exposición a la fuga de datos.
Los tres métodos principales de recopilación de datos enfatizan el uso de registro, escaneo y análisis de
tráfico de la red. Casi el 50% de los encuestados emplean software de configuración y monitoreo
específico del dispositivo, y el 32% usa interacción manual y no automatizada con dispositivos
conectados a IIoT, una señal de que incluso con la conectividad de red y la creciente automatización, la
interacción humana con IIoT todavía prevalece para casi uno de cada tres propietarios de activos. Ver
figura 5.
Estos resultados demuestran la necesidad de aumentar la visibilidad en una amplia gama de puntos
finales de IIoT a través de la automatización y lo que se supone se convertirá en una presión creciente
para reducir los procesos manuales de recopilación de datos de seguridad y operaciones de
dispositivos IIoT localmente. Este objetivo, sin embargo, seguirá siendo problemático porque no todos
los dispositivos IIoT cumplen con los estándares consistentes de comunicación y salida de datos.
proporcionando fácilmente el mismo nivel de datos que los activos de grado de TI. Será necesaria una
mayor coherencia en el futuro con respecto a los protocolos IIoT que se emplean, y en cómo y en qué
formato se presentan los datos por los puntos finales. El treinta y ocho por ciento recurre a
aplicaciones específicas de OT para monitorear y rastrear las actividades de la red. Los datos de
diagnóstico y pronóstico en los sistemas de TO son excelentes indicadores de cómo se ven las
operaciones normales o esperadas. Los cambios abruptos o las tendencias anormales a lo largo del
tiempo, como la producción reducida, la reducción de la calidad, las interrupciones intermitentes, el
desgaste prematuro u otro comportamiento aparentemente errático, podrían indicar una
manipulación accidental o maliciosa, un cambio de configuración o simplemente la presencia de una
amenaza dentro de un sistema. Sin embargo, las herramientas de seguridad automatizadas no suelen
utilizar tales datos de pronóstico y diagnóstico operacional orientados a procesos para evaluar la
postura de seguridad de un sistema y si esa postura ha cambiado. La red se convierte en el terreno
común para indicación de compromiso basada en cambios en la actividad y el contenido de la
comunicación. Aquí se necesitan herramientas que superen las limitaciones impuestas por los
protocolos específicos del proveedor o el uso de agentes que puedan interrumpir las operaciones. El
crecimiento de IIoT es una señal crítica de que se necesitan medidas para que todo interopere entre TI
y OT, que convergen cada vez más. Los encuestados confían en una variedad de enfoques, pautas,
marcos, estándares o metodologías de gobierno para impulsar su seguridad en el uso de dispositivos
IIoT, como se ilustra en la Figura 6 en la página siguiente.
En general, el 79% combina uno o más de estos enfoques, directrices, marcos, estándares o
metodologías de gobierno, y la mayoría (37%) utiliza al menos tres. La mayoría (57%) cita el uso de
NIST Cybersecurity Framework (CSF) que es, es importante señalar, una guía de pautas, ya que incluye
asignaciones a otros estándares destacados. Seguir NIST CSF también puede significar seguir las
directrices NIST 800-82 y NIST 800-53, ISO 27001, ISA / IEC 62443 y, como varios mencionaron en la
respuesta abierta a esta pregunta, los controles críticos de seguridad de CIS.
MEJORES PRÁCTICAS
Establezca su propia estrategia a largo plazo para lograr la higiene cibernética de IIoT dentro de su
organización. Preste especial atención a la gestión de terminales IIoT, especialmente en términos de
inventario de activos, configuración de activos y monitoreo continuo de esos activos.
En general, al elegir el software / firmware y los dispositivos integrados con mayor frecuencia, los
encuestados clasificaron los puntos finales, a diferencia de las redes, como el aspecto más vulnerable
de una solución IIoT, por lo que presentaban el mayor riesgo. Ver tabla 2.
Sin embargo, cuando se les preguntó qué prácticas, políticas, procedimientos, métodos e
implementaciones técnicas se utilizan actualmente para protegerse contra los riesgos impuestos por
los dispositivos y sistemas IIoT conectados a sus redes, los encuestados seleccionaron los controles
basados en la red como los tres principales, como se muestra en la Tabla 3.
“La preocupación por los endpoints, incluido su diseño para ser resistentes a los ataques, puede
derivarse de la visión de IIoT más como un dispositivo o una colección de dispositivos que como un
sistema completo, agravado por la variedad, escala y complejidad de estos dispositivos, incluida la falta
de estandarización que hace posible la interoperabilidad ".
Si bien las preocupaciones a nivel de dispositivo son importantes, la reparación de los riesgos de los
terminales depende de la infraestructura de red como control de compensación. Solo el 40% de los
encuestados (dos de cada cinco) indicaron que aplican y mantienen los parches y actualizaciones
actuales en el dispositivo, lo que implica que tres de cada cinco (60%) no están usando parches a nivel
de dispositivo para proteger los dispositivos y sistemas IIoT.
Este alto porcentaje sugiere que la mayoría no ha establecido o no está siguiendo un programa formal
de parcheo de terminales para proteger sus dispositivos y sistemas IIoT. Los factores pueden incluir:
conocimiento de si una vulnerabilidad / parche se aplica a los dispositivos
Entonces, a pesar de que el punto final presenta la mayor preocupación, la red sigue siendo el foco de
los esfuerzos de control. Una forma de subrayar esta divergencia es preguntar:
De hecho, parece ser el equipo de TI el que asume ese papel principal, independientemente del
tamaño de la organización. TI siente que el diseño y la administración de la arquitectura de red
defendible están completamente bajo su control, mientras que la configuración y administración de
dispositivos de punto final IIoT están en gran parte fuera de su control, perteneciendo a OT. Dentro de
cada uno de los segmentos responsables, la percepción de qué parte del IIoT es más vulnerable y en
riesgo depende de dónde radica la responsabilidad de gestionar el riesgo del IIoT:
• El equipo de OT enfatiza los sistemas específicos relacionados con los puntos finales de IIoT y luego
los dispositivos.
Estas diferencias se exponen en la Tabla 4. Sin embargo, mientras que el riesgo del endpoint es el
impulsor, la red sigue siendo el habilitador de la seguridad. Casi
El 69% de TI y más del 83% de los gerentes de departamento de OT, respectivamente, seleccionaron la
segmentación de la red utilizando firewalls, diodos de datos y pasarelas de TI / OT como el control
principal para protegerse contra los riesgos impuestos por dispositivos IIoT nuevos o existentes. El
fortalecimiento de la red es supremo como el mecanismo más favorecido para abordar los riesgos a
nivel de dispositivo con productos y sistemas IIoT. El liderazgo de la empresa y la alta gerencia
respaldan este enfoque centrado en la red, con un 71% enfatizando la autenticación / autorización de
los dispositivos IIoT conectados a la red / sistemas (por ejemplo, integración en AD / LDAP, uso de PKI)
y monitoreo de la red, identificación, análisis y énfasis. conexiones inusuales y comportamientos de
comunicación. Llama la atención que los líderes de la empresa se diferencian de otras categorías en sus
controles de seguridad. El control superior citado por el liderazgo de la empresa: servicios de
supervisión y autenticación / autorización de la red de dispositivos conectados: sugiere que este grupo
coloca un mayor Valor en la identificación y detección de amenazas (es decir, ¿qué está conectado al
sistema y qué está haciendo?). Este resultado está en alto contraste con otros roles que calificaron la
segmentación de la red como un control superior, un control de seguridad que cumple una función
protectora y preventiva en la arquitectura.
En general, los principales impulsores de la seguridad de IIoT incluyeron la marca, la pérdida financiera
en la línea de visión, la protección de la información y los activos, y el cumplimiento de las regulaciones
de la industria más que la seguridad, tanto dentro como fuera de la operación. En otras palabras, estos
resultados indican que la inversión empresarial y los impactos superan la prioridad de proteger a los
empleados y la comunidad. De hecho, al combinar las respuestas de los respondedores de TI y OT, la
protección de los equipos y sistemas fue casi un 7% más alta en prioridad que la seguridad dentro de la
operación y, inquietantemente, casi un 25% más alta que la seguridad fuera de la operación. Ver Tabla
5 Sin embargo, quién tiene la responsabilidad de la gestión de riesgos de IIoT afecta la clasificación de
los conductores porque las responsabilidades percibidas y reales pueden diferir. El equipo de TI está
más preocupado por la protección de datos, la protección contra pérdidas financieras y el
cumplimiento de las regulaciones de la industria, mientras que el equipo de OT enfatiza los aumentos
en la confiabilidad, disponibilidad, eficiencia y producción, seguridad dentro de la organización y
protección de equipos y sistemas. Incluso para OT, mientras que la seguridad en la infraestructura
crítica a menudo se cita como un factor primordial, las presiones para mantener las operaciones tienen
una mayor importancia.
tamaño, confían solo un poco en la capacidad de su organización para proteger sus dispositivos IIoT.
Consulte la Figura 8. Curiosamente, los miembros del departamento de TO (las personas que
probablemente tienen más conocimientos sobre la implementación de IIoT) parecen tener menos
confianza en la capacidad de su organización para proteger estos dispositivos, mientras que el
liderazgo y la administración de la empresa, incluidos los gerentes de departamento, aparecen para ser
los más seguros, como se ilustra en la Figura 9. “Los miembros del departamento de OT, las personas
que probablemente tienen más conocimientos sobre la implementación de IIoT, parecen tener menos
confianza en la capacidad de su organización para proteger estos dispositivos, mientras que el
liderazgo de la empresa y la gerencia, incluidos los gerentes de departamento, parece ser la más segura
". La discrepancia en las opiniones de la administración y el liderazgo de OT en la capacidad de la
empresa para asegurar IIoT es problemática. Una disparidad tan pronunciada seguramente conduce a
desafíos para la capacidad del grupo de OT para asegurar el presupuesto para inversiones tales como el
desarrollo continuo de habilidades de seguridad, tecnologías y servicios para ayudar a salvaguardar las
operaciones y recursos para responder y recuperarse ante incidentes.
Los mismos datos también pueden sugerir una perspectiva general de liderazgo y administración de
que las inversiones actuales en seguridad de la empresa en IIoT son de alguna manera adecuadas, o al
menos se consideran lo suficientemente adecuadas para contrarrestar los riesgos actuales para el
negocio en general.
Amenazas y vulnerabilidades
De acuerdo con la Figura 2 (en la página 8), los parches y las actualizaciones de productos son puntos
problemáticos y se espera que sigan siéndolo durante los próximos dos años. El reconocimiento por
parte de muchos de que los dispositivos IIoT serán vulnerables y seguirán siendo vulnerables debido a
la falta de parches expone cómo las inversiones en el fortalecimiento de la infraestructura pueden
seguir considerándose como una estrategia de seguridad suficiente para proteger adecuadamente los
sistemas IIoT.
Riesgo
Los encuestados (48%) reconocen que la perspectiva de dos años para el riesgo principal para la
seguridad de IIoT no es realizar "seguridad por diseño" a través de un ciclo de vida de diseño,
construcción, operación y mantenimiento. La oportunidad de abordar el riesgo cibernético comienza al
comienzo del ciclo de desarrollo del sistema y las fases de adquisición, con un énfasis tanto en el
diseño de la infraestructura de red como en la selección del punto final. En conjunto, los cinco
primeros en las preocupaciones de los encuestados son en realidad una combinación de riesgos
introducidos por una combinación de proveedores, integradores y usuarios finales de IIoT, que
requieren responsabilidades compartidas para mitigar y remediar el riesgo en estos sistemas. Ver tabla
7.
MEJORES PRÁCTICAS
Las amenazas evolucionan constantemente, y para los dispositivos de TI y no IIoT, hay casos en los que
la aplicación de parches en el producto podría al menos haber aumentado la dificultad para que un
atacante cumpla un objetivo. Por esta razón, la implementación de una gestión de cambios
disciplinada, la selección cuidadosa de terminales, la reducción de la complejidad de la red y los
terminales, y el monitoreo de cerca de las conexiones y comunicaciones de IIoT siguen siendo
recomendaciones muy adecuadas, además de la mejor práctica de desarrollo y ejecución de
procedimientos de parcheo de IIoT en curso.
La mayoría de los encuestados continúan invirtiendo en controles relacionados con la red. Consulte la
Tabla 8. Esto no debería ser una sorpresa. Las soluciones IIoT generalmente se basan en conexiones
persistentes entre puntos finales, siendo primordial el tiempo de actividad. Los datos de OT que se
envían a través de estas conexiones generalmente se seleccionan cuidadosamente, son deterministas y
repetibles. Esto significa que los patrones y comportamientos de comunicación inusuales pueden ser
indicaciones muy efectivas de problemas de configuración, fallas o fallas inminentes o actividades
maliciosas destinadas a interrumpir o dañar las operaciones. Aquí, la seguridad basada en reglas y de
comportamiento puede ayudar a aumentar la conciencia y la capacitación de los empleados, así como
la aplicación de políticas para el uso, operación y administración seguros de los dispositivos IIoT en la
empresa. El alto nivel de inversión en concientización y capacitación de los empleados para desarrollar
un mayor conocimiento, habilidades y habilidades de seguridad es un buen indicador de que las
capacidades más amplias para reconocer y mitigar el riesgo van más allá de la tecnología, los procesos
y las políticas. Con casi el 48% de los controles implementados en los sistemas IIoT provenientes de
inversiones en personal, en el futuro previsible, es más probable que IIoT ayude a asegurar los roles
laborales relacionados que poner estos roles en riesgo de reemplazo. Esto también indica que las
opciones y ofertas relevantes relacionadas con la concientización sobre seguridad y la capacitación
están disponibles y comprenden el gasto presupuestario actual.
PARA LLEVAR
La mayoría de las organizaciones buscan un crecimiento del 10 al 25% en sus dispositivos conectados.
Esto se aplica a organizaciones de todos los tamaños, aunque las organizaciones más pequeñas
también parecen menos seguras de su crecimiento proyectado que las organizaciones más grandes,
como lo demuestran los porcentajes más altos de respuestas "Desconocidas". Consulte la Figura 10.
Esta tasa de crecimiento hará que los sistemas a los que se conectan los dispositivos IIoT se dupliquen
en tamaño aproximadamente cada tres a siete años, lo que resultará en una mayor complejidad de la
red a medida que TI y OT se conecten más, demande ancho de banda y necesite personal capacitado
en mejores prácticas de seguridad relacionadas con el diseño, construcción y operación de sistemas
IIoT.
PARA LLEVAR
Cada nueva conexión expande una superficie de ataque a la solución IIoT y otros sistemas con los que
interactúa. Si bien las inversiones en el desarrollo de habilidades del personal ya se reconocen como
importantes, la preparación continua del personal se convertirá en un factor crítico a medida que
evolucionen las amenazas. Invertir en conocimientos, habilidades y habilidades de seguridad (KSA) que
abarquen las demandas de seguridad basadas en OT para ayudar a reducir los riesgos que ya están
apareciendo en los sistemas IIoT actuales a medida que se expanden en tamaño y complejidad, y estar
preparado para desarrollar habilidades a medida que el panorama de amenazas cambios.
La mayoría de los encuestados no sabe si su organización tiene un presupuesto establecido para IIoT,
como se ilustra en la Figura 11. Este parece ser el caso independientemente del tamaño de la
organización, la cantidad de dispositivos conectados o el crecimiento proyectado en dispositivos
conectados.
Las organizaciones deben invertir parte de su presupuesto para mejorar la seguridad de las soluciones
de IIoT, ya sea que la inversión adopte la forma de un presupuesto específico de IIoT o se cree como
algo independiente del presupuesto general de TI o seguridad. Las soluciones de IIoT crean riesgos
únicos asociados con un rápido crecimiento en el volumen en expansión de terminales, una
conectividad más amplia y, en última instancia, grados más altos de accesibilidad remota como un
subproducto de los beneficios que produce IIoT. Los presupuestos de seguridad existentes que
permanecen fijos o no se comparan adecuadamente con los riesgos cambiantes probablemente serán,
o se volverán rápidamente, inadecuados para abordar los riesgos de IIoT a corto y largo plazo.
Conclusión
Los sistemas críticos deben operar incansablemente y de manera económica. Las soluciones diseñadas
por IIoT se están adoptando porque prometen ayudar a las partes interesadas a cumplir mejor los
objetivos operativos y facilitar mejoras en la seguridad, confiabilidad, resiliencia y privacidad del
sistema, todos factores clave en lo que el Industrial Internet Consortium (IIC) denomina confiabilidad
de los sistemas. Estos elementos hacen que las soluciones IIoT sean atractivas, lo que lleva a tasas de
adopción mayores y más rápidas en todas las industrias.
Hoy en día, una inversión en IIoT ofrece una productividad mejorada, mayor rendimiento y eficiencia
para una mayor inteligencia y una mejor visibilidad de las operaciones, pero ¿a qué riesgo? No se
puede subestimar la necesidad de mantener un enfoque claro en los riesgos comerciales, ya que las
iniciativas IIoT avanzan más rápido de lo que los propietarios y operadores de activos pueden
reaccionar. Las organizaciones necesitan una hoja de ruta que pueda guiar a las partes interesadas
(usuarios, integradores y proveedores, propietarios de activos y operadores) en la combinación de
definiciones formales, estándares de datos, protocolos comunes, requisitos de conectividad y mejores
prácticas para lograr la interoperabilidad necesaria para que los sistemas IIoT funcionen juntos de
manera segura. . La confusión sobre lo que constituye un punto final es solo un ejemplo de por qué se
necesita un marco específico para IIoT. IIoT ha difuminado los límites de la infraestructura tradicional
de TI y OT y sus bordes y perímetros históricamente nítidos, como los definidos por el modelo
jerárquico de Purdue y otros estándares de la industria como IEC 62443.11 Estos modelos y estándares
están limitados en su capacidad para proporcionar una guía adecuada para segmentar y proteger
sistemas contemporáneos porque ninguno tiene en cuenta las arquitecturas de sistemas de control y
automatización sin fronteras que IIoT ha traído a la industria. Las conexiones e interdependencias de
OT de hoy no solo se conectan a Internet, sino que, para las verdaderas soluciones de IIoT, dependen
de ellas como un conducto para alcanzar los servicios habilitantes basados en Internet. Y al momento
de escribir este artículo, ningún estándar reconocido internacionalmente incorpora una arquitectura de
referencia integral que pueda ayudar a las empresas en su búsqueda de reducir los riesgos de
seguridad de las soluciones IIoT. Sin embargo, algunas empresas progresistas están comenzando a
brindar orientación independiente, e incluso hay esfuerzos de múltiples empresas más amplios, como
los del Industrial Internet Consortium (IIC), que continúan promoviendo recomendaciones para buenas
prácticas de diseño de IIoT a través de esfuerzos como la Arquitectura de referencia de Internet
industrial ( IIRA) v 1.8.12 Los problemas de interoperabilidad de múltiples proveedores también
obstaculizan la visibilidad adecuada de la postura de seguridad de los dispositivos y sistemas IIoT.
Muchos dispositivos no cumplen con estándares consistentes, como protocolos de comunicación,
servicios habilitados o deshabilitados, o métodos de configuración, todo lo cual dificulta la ingeniería, la
seguridad y la administración en estos terminales y en el sistema en general. Las aplicaciones
específicas de OT proporcionan información de diagnóstico y pronóstico que podría marcar actividades
anormales para la acción, mientras que las herramientas de nivel de red orientadas a TI no suelen
utilizar dicha información.
Mientras que la comunidad IIoT lidia con las limitaciones operativas impuestas por el estado
inconsistente de su tecnología implementada por la creciente variedad de proveedores de dispositivos,
¿qué pueden hacer las organizaciones para mejorar su seguridad IIoT? Los resultados de esta encuesta
sugieren que las organizaciones deberían:
• Desafíe a todos y cada uno de los proveedores de IIoT para que demuestren indicadores claros de la
calidad y madurez de la seguridad en las soluciones que brindan, incluida la evidencia y los artefactos
de mejora continua de la postura de seguridad de un producto y sistema.
• Establecer líneas de comunicación claras y abiertas dentro de la cadena de suministro para garantizar
un intercambio de información proactivo y bidireccional en relación con asuntos que pueden afectar
los riesgos de los sistemas IIoT.
• Fortalecer sus procedimientos de gestión del ciclo de vida, especialmente para el inventario y la
gestión de activos, la gestión de la configuración y la gestión de cambios para abordar las
complejidades de IIoT. Los encuestados citaron la falta de incorporación de buenas prácticas de
seguridad en los modelos de ciclo de vida de IIoT para los sistemas como una de las principales
amenazas para los próximos dos años. Una fuente que, aunque no es específica de IIoT, se puede
adaptar para satisfacer las necesidades de dichos sistemas podrían ser los controles críticos de
seguridad de CIS, 13 un conjunto de acciones recomendadas para la defensa cibernética.
• Revisar su enfoque interno y externo tanto para la ingeniería de la red como para la seguridad de la
red. IIoT depende de la red para hacer cumplir la seguridad en el punto final (y en todo el sistema). Las
organizaciones necesitan determinar la madurez de su seguridad según se mida mediante el uso de
buenas prácticas de diseño, como la segmentación y separación, y mediante procedimientos
operativos, como el monitoreo y control de acceso.
el impacto empresarial de un sistema o punto final de IIoT comprometido. Tanto TI como OT deben
comprender los riesgos que imponen los dispositivos IIoT nuevos o existentes que se conectan a
Internet y a la red corporativa. Y ambos necesitan saber cómo realizar un seguimiento y gestionar estos
riesgos como equipo.
• Hacer converger las opiniones de las partes interesadas internas con respecto a los impulsores de
negocios, el lenguaje y las perspectivas de IIoT sobre lo que constituye el riesgo cibernético y
establecer un conjunto uniforme de prioridades financiadas entre los equipos de liderazgo,
administración y TI y OT corporativos. Si el equipo de OT dice que la infraestructura de IIoT no es
defendible pero la gerencia cree que lo es, tal diferencia puede resultar en que los presupuestos de TI o
de seguridad no crezcan lo suficiente para garantizar el crecimiento de IIoT seguro.