Principles of operational technology cyber security

Las organizaciones de infraestructura crítica proporcionan servicios vitales, como el suministro de agua potable, energía y transporte, al público. Estas organizaciones dependen de la tecnología operativa (OT) para controlar y gestionar el equipo físico y los procesos que ofrecen estos servicios esenciales. En este sentido, la continuidad de los servicios vitales depende de que las organizaciones de infraestructura crítica aseguren la ciberseguridad y la seguridad de su OT. Debido a la extensa integración de la OT en los entornos técnicos de las organizaciones de infraestructura crítica, así como a la complejidad estructural de estos entornos, puede resultar difícil identificar cómo las decisiones empresariales pueden afectar la ciberseguridad de la OT, incluidos los riesgos específicos asociados a una decisión.


Las decisiones empresariales pueden incluir la introducción de nuevos sistemas, procesos o servicios en el entorno; la elección de proveedores o productos para apoyar el entorno técnico; y el desarrollo de planes de continuidad empresarial y de seguridad relacionados. Este documento está diseñado para ayudar a las organizaciones a tomar decisiones que les permitan diseñar, implementar y gestionar entornos OT seguros y protegidos, garantizando así la continuidad del negocio en los servicios críticos. Las agencias autoras recomiendan que los responsables de la toma de decisiones en OT apliquen los seis principios presentados en este documento para determinar si una decisión podría afectar negativamente la ciberseguridad del entorno OT. Si una decisión impacta o vulnera uno o más de los principios de ciberseguridad OT establecidos, es probable que introduzca una vulnerabilidad en el entorno. En consecuencia, dicha decisión debe ser evaluada detenidamente para garantizar que se implementen los controles de ciberseguridad adecuados y que el riesgo residual, tras aplicar esos controles, sea aceptable, o, alternativamente, reconsiderar la propuesta.


Filtrar rápidamente las decisiones para identificar aquellas que afectan la seguridad de la OT mejorará la toma de decisiones informadas y completas, promoviendo la seguridad, la protección y la continuidad del negocio al diseñar, implementar y gestionar entornos OT. Las agencias autoras recomiendan que los responsables de la toma de decisiones en OT lean y comprendan cada principio. Este documento está dirigido a todo el personal que necesite filtrar decisiones que afecten a la OT, desde los líderes de la organización (incluidos los ejecutivos y miembros de la junta que toman decisiones estratégicas) hasta el personal técnico que toma decisiones tácticas y operativas.

 
La seguridad es fundamental en los entornos físicos. A diferencia de los sistemas corporativos de TI, donde los líderes priorizan la innovación y el desarrollo rápido sin considerar la amenaza a la vida, los líderes de los sistemas ciberfísicos operativos deben tener en cuenta esta amenaza en su toma de decisiones diarias. Los peligros primarios de la infraestructura crítica incluyen altas tensiones, liberación de presión o explosiones inflamables, impactos cinéticos (por ejemplo, trenes a alta velocidad) y peligros químicos o biológicos, como en el tratamiento del agua. Además, existen implicaciones para el modo de vida de los ciudadanos si los servicios esenciales, como el suministro de energía y agua potable, se degradan o interrumpen. La naturaleza interconectada de la infraestructura crítica implica que los fallos, ya sea por error humano o por interrupción maliciosa a través de medios cibernéticos, pueden tener implicaciones de gran alcance e imprevistas para el funcionamiento diario de la sociedad.


Al hablar de seguridad, es útil considerar la seguridad de la vida humana, la seguridad de las plantas, equipos y el medio ambiente, y la confiabilidad y el tiempo de funcionamiento de los servicios de infraestructura crítica. Dependiendo del entorno y el sistema considerado, esto puede implicar la necesidad de garantizar que cualquier sistema, proceso o servicio de ciberseguridad introducido sea determinista y predecible. Esto incluye asegurar que los ingenieros tengan un conocimiento profundo de las debilidades del sistema y que los fallos ocurran de manera esperada y manejable. De manera similar, la seguridad debe estar informada por la ciberseguridad y por una comprensión clara del entorno de amenazas. Dependiendo de la criticidad del servicio, puede ser necesario garantizar que cualquier sistema, proceso o servicio de ciberseguridad introducido sea compatible con el arranque en negro, lo que implica que no obstaculice un reinicio después de una pérdida completa de electricidad y que pueda operar y recuperarse con mínima dependencia de otros sistemas.


Un principio comúnmente aceptado en ciberseguridad es saber qué se debe proteger. La primera parte de esto consiste en entender qué elementos del negocio son esenciales para que la organización proporcione sus servicios críticos. La segunda parte es conocer los sistemas y procesos que deben protegerse. Esto puede incluir, pero no se limita a, dibujos de ingeniería de sistemas, listas de activos, diagramas de redes, saber quién puede conectarse a qué y desde dónde, procedimientos de recuperación, proveedores de software, servicios y equipos, y, en la medida de lo posible, las facturas de materiales de software y el estado de configuración deseado Saber qué partes del negocio son esenciales para proporcionar un servicio crítico requiere tanto un enfoque de arriba hacia abajo como de abajo hacia arriba. El pensamiento de arriba hacia abajo ha llevado históricamente a muchas organizaciones a buscar separar la OT de la TI. El pensamiento de abajo hacia arriba ofrece a las organizaciones la oportunidad de ir más allá y descubrir el conjunto mínimo de equipos OT necesarios para una función crítica. Por ejemplo, para generar electricidad, dependiendo del generador, el requisito mínimo podría ser el generador, un controlador en un panel de control y un suministro adecuado de combustible. Para las entidades de infraestructura crítica, comprender lo que se necesita para proteger funciones fundamentales absolutas, como mantener el agua fluyendo y las luces encendidas, debería guiar el apilamiento efectivo de controles de ciberseguridad. Esto tiene implicaciones para la arquitectura, protección, detección y respaldo de dispositivos y archivos.


Comprender el contexto empresarial del sistema OT es esencial para evaluar el impacto y la criticidad de las interrupciones de OT y los compromisos de ciberseguridad. También es vital para determinar las prioridades de recuperación durante un incidente crítico. Para las organizaciones que dependen de OT para proporcionar un servicio crítico, una función de ciberseguridad OT integrada es una parte necesaria del negocio. No se espera que el personal de ciberseguridad OT tenga el conocimiento profundo de un sistema físico que pueda tener un ingeniero eléctrico, químico o de procesos, pero debe contar con un conocimiento operativo de la planta y, lo más importante, mantener relaciones laborales con aquellos responsables de la planta física en la organización.

 

Tales relaciones son cruciales tanto para el éxito de cualquier proyecto de mejora cibernética como para responder a un evento cibernético. Es fundamental conocer la fuente y la procedencia de todos los dispositivos en el entorno OT. Esto incluye cualquier computadora portátil de un proveedor o consultor que se conecte a la red OT y que pueda ser utilizada para acceder a contenido bloqueado, como correo electrónico o navegación web. Se debe considerar a qué otras redes, como la de un cliente alternativo del proveedor, se han conectado los dispositivos, y si esas redes están al mismo nivel de confianza que la red OT. Esto incluye el caso en que dispositivos de redes corporativas de TI de menor confianza se reutilicen para su uso en redes OT de mayor confianza.

 

Para leer más ingrese a:

https://www.cyber.gov.au/about-us/view-all-content/publications/principles-operational-technology-cyber-security?utm_source=international_partner&utm_medium=social&utm_campaign=critical_infrastructure

https://www.cyber.gov.au/sites/default/files/2024-10/principles_of_operational_technology_cyber_security.pdf

¡Haz clic para puntuar esta entrada!
(Votos: 0 Promedio: 0)

Compartir artículo

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Busca los documentos, noticias y tendencias más relevantes del sector eléctrico

Buscador de documentos
Buscador de noticias y tendencias

Banco de Información

Descripción del semáforo tecnológico

Los documentos se clasifican en varios colores tipo semáforo tecnológico que indican el nivel de implementación de la tecnología en el país

Tecnología en investigación que no ha sido estudiado o reglamentado por entidades del sector.

La tecnología se aplica de manera focal y se encuentra en estudio por parte de las entidades del sector.

La tecnología se aplica de manera escalable y se encuentran políticas y regulaciones focales establecidas.

La tecnología se aplica a través de servicios  y se encuentran políticas y regulaciones transversales establecidas.

La tecnología se aplica de manera generalizada  y se tiene un despliegue masivo de esta.

Para acceder a todos los documentos publicados y descargarlos ingresa aquí