Infrastructure hardening: casos de uso

Buena parte del parque de control instalado tiene décadas, nunca se diseñó para redes hostiles y está documentado, si acaso, por los proveedores extranjeros que lo construyeron. Un programa de endurecimiento empieza por tanto evaluando el patrimonio tal como de verdad es y no como afirman los planos, luego prioriza la reducción de la exposición, segmenta las redes de control de las corporativas de modo que una intrusión de red de negocio no pueda alcanzar la planta, y verifica que las correcciones aguantan. Hacer ese trabajo con los operadores que manejan los sistemas mantiene el mapa detallado resultante del patrimonio en manos nacionales en lugar de con un proveedor extranjero, que es donde un mapa de sistema de control acaba de otro modo en silencio.

Los sistemas SCADA y de control industrial no toleran ni la indisponibilidad ni los falsos positivos que la seguridad informática da por sentados, y por eso aplicarles patrones corporativos yerra el tiro. El monitoreo pasivo funciona en cualquier lugar donde pueda reflejarse un conmutador, así que todo proveedor creíble abre con él; lo que se rompe en entornos aislados es la dependencia de nube que una plataforma alojada presupone. El encargo aquí cubre específicamente redes sin conexión con tolerancia nula a los falsos positivos, porque en una subestación o una pasarela de pagos actuar sobre una alerta mala puede disparar la generación o detener la liquidación. La operación en aislamiento y la vía de actualización de firmas corresponden ambas a un pliego como requisitos escritos en lugar de suposiciones.

Las subestaciones son donde el manual de la seguridad informática falla de forma más visible, porque los protocolos son en tiempo real y el equipo precede al modelo de amenazas. La tecnología de seguridad de subestaciones construida para entornos IEC 61850, validada por un laboratorio gubernamental y desplegada en real en lugar de pilotada, se sitúa junto al descubrimiento de día cero acreditado en el registro NIST de Estados Unidos. La cobertura de protocolos alcanza IEC 61850, Modbus y DNP3 incluidas las redes sin conexión, y el paso honesto de adquisición es dar a todo licitador el propio inventario de protocolos del operador y hacer que respondan contra él línea por línea, y luego preguntar cuáles de esos protocolos han roto personalmente los investigadores de cada proveedor en lugar de solo listarlos.

El endurecimiento reduce lo que un atacante puede alcanzar; el monitoreo y la respuesta se ocupan de lo que aún se cuela, así que los dos son complementos en lugar de alternativas. Muchos operadores manejan una plataforma de detección junto a un programa de endurecimiento en lugar de elegir entre ellos, y la práctica defensiva aquí corre junto al trabajo de endurecimiento con operaciones de seguridad bloqueando más de 100.000 amenazas al día en redes eléctricas, finanzas reguladas y flotas en la mar. Frente a una suscripción de monitoreo de tecnologías operativas, el endurecimiento es un trabajo de ingeniería dimensionado con un estado final definido en lugar de un coste que recurre y escala con sitios y activos, así que la comparación justa es el coste total del programa a lo largo de cinco años incluidos los términos de alojamiento y residencia de datos.

Las redes eléctricas y los sistemas de pago fallan de forma distinta, y sin embargo la disciplina que hay debajo de ellos es más cercana de lo que la mayoría de los compradores esperan: ambos son en tiempo real, ambos son implacables con la indisponibilidad y ambos los defiende demasiada poca gente. La práctica cubre energía, infraestructura financiera, sistemas de control industrial e infraestructura nacional desde un solo equipo, y se extiende a las tecnologías operativas tras los puertos, donde los sistemas de control de terminal importan tanto como los de la red eléctrica. Como es nativa de las OT y se entrega por un solo canal responsable, un Estado puede endurecer varios patrimonios críticos bajo una sola línea de rendición de cuentas en lugar de varios proveedores extranjeros, y vale la pena preguntar qué ingenieros nombrados trabajan de verdad tanto en el lado de la red eléctrica como en el de los pagos.

La evaluación ofensiva contra el patrimonio de control halla las debilidades, el endurecimiento reduce la exposición que revelan, y las operaciones defensivas vigilan lo que queda a cada hora, así que ejecutar los tres por un solo canal responsable significa que cada etapa informa a la siguiente en lugar de llegar como contratos desconectados. El programa empareja además el endurecimiento ciber con la inspección no destructiva que certifica el patrimonio físico: el endurecimiento encoge la superficie de ataque de los sistemas de control mientras la inspección verifica las estructuras que estos gobiernan. Donde esta referencia no lleva cifras auditadas, la capacidad debería juzgarse por el método, evaluación nativa de las OT, una hoja de ruta priorizada, segmentación y verificación, ejecutado con las propias personas del operador y sin dejar línea de divulgación extranjera sobre lo que se halla.