Diferencias de seguridad entre OT e IT

Aplicar directamente las prácticas de seguridad de IT a OT suele causar más perjuicios que beneficios. Ambos ámbitos optimizan objetivos diferentes, utilizan tecnologías distintas y fallan de maneras diferentes. Quien trabaja en seguridad y pasa a OT debe desaprender varios reflejos.

En esta lección se contrastan las prioridades, restricciones y amenazas que hacen de la seguridad de OT una disciplina propia.

IT prioriza la tríada CIA: confidencialidad, integridad y disponibilidad. OT la invierte en la práctica.

• Disponibilidad en primer lugar — el proceso debe seguir funcionando; una interrupción puede ser peligrosa o extremadamente costosa
• Integridad en segundo lugar — las lecturas y los comandos deben ser fiables
• Confidencialidad en último lugar — los valores de los sensores rara vez son secretos

Por encima de todo está una preocupación que IT no comparte: la seguridad. Proteger la vida humana y el medioambiente está por encima de todo lo demás.

En OT, un control de seguridad que pueda hacer que un proceso se comporte de forma inesperada puede ser peor que la amenaza. Una acción automatizada que desconecte una turbina o cierre una válvula en el momento equivocado puede causar lesiones.

• Los cambios de seguridad nunca deben comprometer la función de seguridad
• Los ingenieros, no solo el personal de seguridad, deben aprobar los cambios
• El SIS debe seguir siendo independiente y fiable

Por eso las tácticas agresivas de IT, como el aislamiento automático, requieren una adaptación cuidadosa en OT.

En IT, aplicar parches rápidamente es una regla incuestionable. En OT, existen restricciones.

• La aplicación de parches puede requerir una parada de planta, programada con meses de antelación
• La certificación del proveedor puede prohibir los parches no aprobados
• Un parche defectuoso puede detener la producción o invalidar la justificación de seguridad

Como la aplicación de parches es lenta, OT depende más de los controles compensatorios: segmentación, monitorización y control de acceso para proteger sistemas que no pueden actualizarse rápidamente.

Los equipos de OT funcionan durante décadas. Es habitual encontrar controladores y sistemas operativos que llevan mucho tiempo sin soporte del proveedor y que aún siguen en producción, porque sustituirlos implica reconstruir la línea física.

• Versiones de sistemas operativos sin soporte y sin parches disponibles
• Hardware que no puede ejecutar agentes de seguridad modernos
• Protocolos diseñados en una época en la que se suponía que la red estaba aislada

Debe proteger lo que existe, no lo que desearía que existiera.

Muchos protocolos industriales se crearon para redes confiables y físicamente aisladas y, por tanto, no incluyen autenticación ni cifrado de forma predeterminada. En una red de este tipo, cualquier dispositivo que pueda acceder a un controlador puede enviarle comandos.

• Los comandos se aceptan sin verificar la identidad del emisor
• El tráfico suele transmitirse en texto plano y es fácil de falsificar
• En las versiones heredadas, esto es una suposición de diseño, no un error que pueda corregirse

La protección se consigue controlando quién puede acceder a la red, como se explicará más adelante.

En IT, el escaneo de vulnerabilidades es una práctica habitual. En OT, un escaneo agresivo puede bloquear dispositivos frágiles. Algunos PLC fallan o se detienen al recibir tráfico inesperado, lo que puede ser peligroso si el proceso está activo.

• Prefiera la monitorización de red pasiva al escaneo activo
• Pruebe primero cualquier herramienta activa en un laboratorio o durante una ventana de mantenimiento
• Coordínese con el equipo de operaciones antes de tocar las redes de producción

La máxima es la siguiente: en OT, la evaluación no debe convertirse en el incidente.

Los lazos de control funcionan con una temporización estricta. Añadir latencia o fluctuaciones puede desestabilizar un proceso.

• Los dispositivos de seguridad en línea no deben introducir un retraso perjudicial
• Los agentes pesados pueden privar de CPU a las tareas en tiempo real
• Los cambios de red pueden interrumpir las comunicaciones con una temporización estricta

La seguridad debe ajustarse al determinismo que requiere el proceso, lo que a menudo descarta soluciones triviales en IT.

La diferencia fundamental es que los incidentes de OT tienen efectos físicos en el mundo real. Un servidor de IT comprometido filtra datos; un sistema de OT comprometido puede desbordar un tanque, dañar una turbina, contaminar el agua o poner en peligro a los trabajadores.

Esto eleva el nivel de riesgo y cambia su evaluación. El peor resultado posible no es solo financiero o reputacional; también puede provocar la pérdida de vidas. El modelado de amenazas en OT debe considerar el impacto físico y sobre la seguridad, no solo los datos.

OT atrae un perfil de amenazas distinto.

• Los Estados nación que buscan interrumpir estratégicamente las infraestructuras críticas
• Atacantes cuyo objetivo es la interrupción física, no el robo de datos
• Incluso el ransomware de IT no dirigido puede propagarse a OT y detener las operaciones

Como las consecuencias son graves y los atacantes pueden disponer de muchos recursos, la defensa de OT hace hincapié en la resiliencia y la detección, además de la prevención.

El objetivo no es abandonar la seguridad de IT, sino adaptarla.

• Dé prioridad a la monitorización pasiva y la segmentación frente al escaneo intrusivo y la aplicación rápida de parches
• Antepon­ga la seguridad y la disponibilidad a la confidencialidad
• Involucre a los ingenieros de procesos en todas las decisiones de seguridad
• Utilice controles compensatorios para los sistemas a los que no se puedan aplicar parches

Estos principios guían las lecciones sobre protocolos y arquitectura que siguen.

Aplique las prioridades invertidas a una decisión real.

Ha aprendido por qué la seguridad de OT es una disciplina distinta.

• Las prioridades se invierten: primero la seguridad y la disponibilidad, y la confidencialidad en último lugar
• La aplicación de parches está restringida; deben utilizarse controles compensatorios
• Los equipos heredados y los protocolos inseguros por diseño forman parte de la realidad
• El escaneo activo y los agentes intrusivos pueden dañar dispositivos frágiles y en tiempo real
• Los incidentes tienen consecuencias físicas; se debe involucrar a los ingenieros de procesos en todas las decisiones

A continuación: los protocolos específicos y sus debilidades.