Qué significan las nuevas directrices globales de seguridad de OT para los entornos industriales

Históricamente, los entornos de tecnología operativa (OT) se construyeron para ser aislados y estables. El cambio fue lento y los sistemas fueron diseñados para funcionar de la misma manera durante años.

Eso está cambiando.  

Los sistemas OT ahora están conectados, se puede acceder a ellos de forma remota y están estrechamente vinculados a plataformas de software y datos. Este cambio creó beneficios operativos reales. También eliminó muchas de las suposiciones que antes mantenían seguros los entornos OT.

Este es el contexto de la nueva guía Principios de conectividad segura para tecnología operativa (OT) , desarrollada por el Centro Nacional de Seguridad Cibernética del Reino Unido con socios internacionales.  

La guía deja claro que la conectividad OT es ahora una fuente importante de riesgo y que protegerla requiere un diseño estable, no controles complementarios.

Los entornos OT deben construir de modo que la conectividad sea intencional, limitada, visible y capaz de resistir ataques. Esto significa planear para el compromiso, diseñar para el aislamiento y limitar hasta dónde se pueden propagar las fallas.

A continuación se presenta un desglose de los principios básicos de la guía, por qué son importantes para OT y cómo Illumio se alinea con esos requisitos.

¿Por qué existe esta guía ahora?

Los sistemas OT están más conectados que nunca. Muchos todavía funcionan en dispositivos antiguos que nunca fueron diseñados para enfrentar amenazas modernas.

El acceso remoto, el soporte de terceros, el análisis de la nube y los vínculos de TI ampliaron la superficie de ataque. En muchos casos, este crecimiento se produjo a una velocidad mayor a la que los equipos podían seguir o controlar por completo.

Los entornos OT también tienen límites que los TI no tienen. La aplicación de parches es lenta o imposible. Los reinicios son riesgosos. Las actualizaciones de hardware pueden llevar años. Cuando los sistemas fallan, el impacto puede ir más allá del tiempo de inactividad y afectar la seguridad.

Es por esto que la guía se centra en los objetivos finales en lugar de en una lista de verificación. Acepta que la seguridad perfecta no se puede lograr de una sola vez.

Lo que las organizaciones pueden controlar es el diseño. Al planear la conectividad OT con intención, los equipos pueden evitar que un problema se convierta en una falla más amplia.

Ese enfoque coincide con la forma en que trabajan los atacantes hoy en día. Dependen del movimiento lateral, la persistencia y el tiempo.  

8 principios fundamentales y su significado en la práctica

La guía divide la conectividad OT segura en ocho principios fundamentales. Cada uno se centra en reducir el riesgo sin poner en riesgo la seguridad ni la disponibilidad.

Juntos, estos principios forman un marco práctico. Muestran cómo diseñar entornos OT que puedan manejar riesgos y mantener las operaciones en funcionamiento.

1. Equilibrar los riesgos y las oportunidades

La conectividad con OT debe comenzar con la intención. Cada conexión debe existir por una razón operativa definida, brindar un beneficio comercial claro y tener un propietario designado que acepte el riesgo.

En realidad, muchos entornos OT no evolucionaron de esta manera. La conectividad a menudo creció con el tiempo. Se agregó el acceso de proveedores como una solución a corto plazo. Las estaciones de trabajo de ingeniería obtuvieron múltiples conexiones de red. Los datos se compartieron porque era fácil, no porque se revisaron.

Esto crea un problema común. La mayoría de las organizaciones no tienen una visión actualizada de cómo se comunican realmente sus sistemas OT.

Illumio ayuda a cerrar esta brecha al construir un mapa en tiempo real de las comunicaciones OT. Se basa en el tráfico observado, no en diagramas de red o suposiciones.

Los equipos pueden ver qué PLC (controladores lógicos programables) se comunican con qué HMI (interfaces hombre-máquina), qué servidores inician conexiones y qué flujos son necesarios para las operaciones. También pueden ver el tráfico que existe simplemente porque nada lo bloqueó.

Esto cambia la forma en que se toman decisiones sobre riesgos. En lugar de debatir la teoría del diseño, los equipos trabajan a partir de la evidencia. Pueden decidir qué conexiones son necesarias, cuáles deben restringir y cuáles pueden eliminar.

2. Limita la exposición de tu conectividad

La exposición no se limita al acceso a Internet. También depende de qué tan accesible sea un sistema desde redes cercanas y de cuántos caminos conducen a él después de que un atacante ingresa.

La guía desaconseja el acceso entrante a OT. Favorece las conexiones solo salientes, el acceso negociado y la conectividad justo a tiempo para reducir el tiempo de exposición.

Estos principios tienen sentido. Pero muchos entornos OT todavía dependen del acceso persistente. Los sistemas heredados y las herramientas de otros proveedores a menudo lo requieren.

Cuando la exposición no puede eliminar en el límite, debe limitar dentro del entorno.

Illumio reduce el impacto de los sistemas expuestos. Si una puerta de enlace de acceso remoto, un host de salto o una estación de trabajo de un proveedor se ven comprometidos, Illumio evita que ese acceso se propague a través de OT.

Las políticas definen qué sistemas pueden comunicar, en qué puertos y en qué dirección.

En la práctica, esto significa que una sesión de proveedor comprometida puede llegar a un sistema de mantenimiento. No puede escanear controladores, alcanzar sistemas de seguridad ni acceder a activos de producción no relacionados.

La exposición todavía existe. El daño que puede causar es mucho menor.

3. Centralizar y estandarizar las conexiones de red

La guía destaca un importante desafío de OT: la proliferación de la conectividad.

Con el tiempo, las organizaciones crean muchas rutas de acceso personalizadas. Las VPN, las reglas de firewall y los diseños de red especiales se acumulan. Los equipos evitan cambiarlos porque temen interrumpir la producción.

Esta complejidad aumenta el riesgo. También ralentiza la respuesta durante un incidente.

La guía exige modelos de conectividad centralizados y repetibles que puedan monitorear y aplicar de la misma manera.

Illumio respalda esto al separar la política de seguridad del diseño de la red. Las políticas se basan en lo que es un sistema y lo que hace, no en dónde se encuentra en la red.

Esto permite a las organizaciones estandarizar el acceso sin rediseñar su infraestructura. Con el tiempo, las excepciones únicas se pueden reemplazar por políticas claras y reutilizables que sean más fáciles de probar y mantener.

4. Emplee protocolos estandarizados y seguros

La orientación es realista en cuanto a los protocolos. Muchos sistemas OT todavía dependen de protocolos heredados o inseguros. Reemplazarlos todos a la vez rara vez es posible.

En cambio, la guía se centra en comprender el riesgo del protocolo y emplear controles cuando no son posibles las actualizaciones.

Muchas estrategias de seguridad fallan aquí porque suponen que las actualizaciones del protocolo deben realizar primero.

Illumio toma un camino diferente. Se supone que seguirán existiendo protocolos inseguros. La atención se centra en dónde y cómo se permite ejecutar esos protocolos.

Al limitar qué sistemas pueden usar un protocolo y a dónde puede ir ese tráfico, Illumio reduce el abuso incluso cuando el cifrado o la autenticación son débiles.

Por ejemplo, puede requerir tráfico Modbus entre un controlador y un dispositivo. Illumio cerciora que solo exista ese camino. El mismo tráfico no puede iniciar en otro lugar ni emplear para mover a través de la red.

El protocolo se mantiene mientras se contenga el riesgo.

5. Endurecer el límite OT

Los límites de OT son importantes porque muchos dispositivos internos no se pueden parchar ni proteger por sí solos.

Es esencial disponer de controles de límites estrictos. Pero la guía también plantea un punto importante. Los límites fallan.

Se producen configuraciones incorrectas y aparecen vulnerabilidades. Las credenciales son robadas. Cuando se viola un límite, los controles internos deciden qué sucede a continuación.

Illumio trata el tráfico OT interno como no confiable de forma predeterminada. Incluso después de que el tráfico cruza un límite, aún debe seguir reglas de segmentación para llegar a su destino.

No existe confianza automática sólo porque el tráfico esté dentro de la red.

Este enfoque en capas implica que una violación de límites no se convierte en un compromiso total. Los controles internos limitan hasta dónde puede mover un atacante.

6. Limitar el impacto del compromiso

Este principio es la afirmación más contundente de la guía. Señala directamente la contaminación y el movimiento lateral como los principales riesgos una vez obtenido el acceso.

Las redes planas, las credenciales compartidas y el acceso amplio permiten a los atacantes mover más rápido de lo que los defensores pueden responder.

Illumio está diseñado para detener ese movimiento.

La microsegmentación limita la comunicación a lo que está explícitamente permitido. Los sistemas no pueden comunicar entre sí de forma predeterminada.

Una estación de trabajo de ingeniería comprometida no puede acceder a los controladores. Un servidor comprometido no puede acceder a los sistemas de seguridad. El movimiento lateral está bloqueado.

Esto evita la escalada. En entornos OT, donde las opciones de respuesta están limitadas por la seguridad y el tiempo de actividad, detener la escalada es fundamental.

7. Cerciorar de que toda la conectividad esté registrada y monitoreada

El monitoreo solo funciona cuando los equipos saben cómo es la normalidad.

El tráfico OT suele ser previsible. Pero eso sólo ayuda si los equipos pueden ver la comunicación este-oeste.

Illumio proporciona visibilidad continua de los patrones de tráfico reales. Esto hace que sea más fácil establecer líneas de base y detectar cambios.

También agrega contexto. Cuando sucede algo inusual, los equipos pueden ver qué cambió, qué sistemas están involucrados y si se violó la política.

Esto acorta las investigaciones y permite tomar decisiones más rápidas durante los incidentes.

8. Establecer un plan de aislamiento

La guía considera el aislamiento como parte del diseño, no como una reacción de último momento.

Los entornos OT deben poder aislar sistemas o servicios sin causar daños. Esas acciones deben planear y probar.

Esto sólo funciona cuando ya existe segmentación.

Illumio admite el aislamiento dirigido. Los equipos pueden bloquear rutas específicas, aislar sistemas comprometidos o eliminar el acceso de terceros sin cerrar sitios completos.

El aislamiento se vuelve preciso y reversible.

Esa precisión ayuda a las organizaciones a responder a los incidentes sin convertirlos en emergencias operativas.

La contención de infracciones es el requisito unificador de seguridad de OT

En conjunto, las directrices indican que la seguridad OT ya no puede basar únicamente en la prevención.  

La conectividad garantiza la exposición y los sistemas heredados garantizan la vulnerabilidad. La única estrategia sostenible es la contención por diseño.

La contención de brechas no consiste en asumir que habrá fallas, sino en diseñar entornos que sigan funcionando de manera segura cuando se produzcan fallas.

Illumio se alinea con la guía porque trata la segmentación, la visibilidad y la aplicación como controles fundamentales, no como funciones avanzadas.  

En entornos OT, esa base es lo que permite a las organizaciones adoptar la conectividad de forma segura, cumplir con las directrices cambiantes y responder a incidentes sin aumentar el impacto.

La conectividad OT segura requiere contención de brechas

Los Principios de conectividad segura para OT dejan claro que la conectividad cambió la forma en que el riesgo se manifiesta en los entornos operativos.

El acceso remoto, el soporte de terceros y el intercambio de datos ahora son parte de las operaciones diarias de OT. Muchos de los sistemas involucrados nunca fueron construidos para este nivel de exposición.

Las organizaciones que resisten bajo presión planean llegar a un acuerdo. Limitan la confianza por defecto. Controlan cómo los sistemas se comunican entre sí. Y diseñan redes de manera que una falla no se convierta en un incidente que afecte a todo el sitio o a la seguridad.

La contención de brechas no reemplaza los controles de seguridad OT. Cerciora que esos controles sigan funcionando cuando algo sale mal.

Descubra cómo Illumio Insights lo ayuda a comprender y contener el riesgo en entornos complejos y conectados. Pruebe Insights gratis Hoy.