IEC 62443 (Ciberseguridad industrial)
La norma IEC 62443 es la norma para la seguridad de los sistemas de automatización y control industrial —los PLC, los sistemas SCADA, las IHM y los sistemas instrumentados de seguridad que gestionan plantas, servicios públicos e infraestructuras críticas—. Existe porque las prácticas de seguridad de TI no se trasladan sin más al ámbito de la tecnología operativa (OT). No basta con aplicar un parche a un controlador que lleva once años ejecutando un proceso de tratamiento de aguas sin supervisión; tampoco es posible realizar un análisis agresivo de vulnerabilidades en equipos en los que un paquete inesperado podría activar un sistema de seguridad. La norma IEC 62443 se diseñó teniendo en cuenta esa realidad, con conceptos como las zonas y los conductos para segmentar una red de control según el nivel de confianza y las consecuencias, y los niveles de seguridad que adaptan la protección a la amenaza real a la que se enfrenta un activo, en lugar de aplicar una política única al estilo de las TI en todos los ámbitos.
La norma abarca todo, desde cómo un proveedor desarrolla productos seguros y cómo un integrador de sistemas diseña una planta, hasta cómo el propietario de los activos la gestiona y mantiene en el día a día. La mayor parte de mi trabajo se centra en esa última parte: el aspecto operativo y arquitectónico del que los propietarios de los activos son realmente responsables.
¿A quién va dirigido?
Fabricantes, empresas de servicios públicos, sistemas de agua y aguas residuales, petróleo y gas, y cualquier operador para el que un incidente cibernético no solo signifique una filtración de datos, sino que implique la interrupción de un proceso físico o, lo que es peor, que este se vuelva inseguro. Si su entorno cuenta con una red de control que se ha ido conectando gradualmente a la red empresarial por motivos de comodidad, o que en su día estuvo aislada físicamente y ya no lo está, esta es la norma que le indica cómo aplicar correctamente la segmentación y el control de acceso sin interrumpir el proceso que está protegiendo.
Cómo lo abordaría yo
Empiezo por comprender el proceso antes de intervenir en la red: qué hace realmente cada sistema, qué ocurre si falla o es manipulado, y cuál es la consecuencia real, porque eso es lo que debe determinar sus objetivos de nivel de seguridad, no una lista de comprobación genérica. A partir de ahí, se trata de trazar zonas y vías de comunicación que reflejen los límites reales de confianza, evaluar en qué puntos las tecnologías de la información (TI) y de la tecnología operativa (TO) se han entremezclado de formas que nadie ha definido del todo, y trazar una estrategia de corrección que respete las restricciones de tiempo de actividad y seguridad, en lugar de ir en contra de ellas. Colaboro con sus equipos de operaciones e ingeniería, no por encima de ellos: en la tecnología operativa (OT), las personas que conocen el proceso son las que evitan que un cambio se convierta en una interrupción del servicio.
Si está tratando de determinar cuál es la situación real de su entorno de control con respecto a la norma IEC 62443, o si necesita una evaluación externa fiable antes de que se lo solicite un organismo regulador, una aseguradora o un cliente, póngase en contacto con nosotros.