Guillem Alsina Gonzàlez
La proveedora de equipos de comunicaciones y redes industriales Moxa, ha trabajado desde el año 2016 en adaptar sus procesos al marco normativo IEC 62443, centrado en la seguridad de la tecnología operativa. Como resultado de este proceso continuo, la compañía ha obtenido la doble certificación IEC 62443-4-1 de Nivel de Madurez 3, conocida por sus siglas en inglés como ML3. Este reconocimiento ha sido otorgado por el sistema IECEE y el ISA Security Compliance Institute, tras someterse a las evaluaciones pertinentes llevadas a cabo por la entidad acreditadora internacional UL Solutions.
La consecución de este nivel avanzado acredita que el fabricante cuenta con un Ciclo de Vida de Desarrollo Seguro plenamente integrado y estandarizado en toda su estructura organizativa. Desde la entidad certificadora destacan que alcanzar este grado de madurez exige un compromiso organizativo profundo con la ciberseguridad, un elemento que se considera la referencia básica para la protección de las infraestructuras críticas.
En la práctica, el cumplimiento del nivel ML3 implica que la seguridad se aplica de manera consistente desde la fase de diseño y durante todo el ciclo de vida de los productos, lo cual abarca procesos de ingeniería formalizados como el modelado de amenazas, la trazabilidad de los riesgos, la gestión ininterrumpida de vulnerabilidades y la provisión de parches a lo largo del tiempo. Además, también incluye la consolidación de las operaciones del equipo de respuesta ante incidentes y la extensión de estas prácticas a la cadena de suministro.
La auditoría independiente avala que estas políticas no sólo están definidas sobre el papel, sino que se aplican de manera efectiva en el desarrollo diario.
Desde el departamento de investigación y desarrollo de Moxa señalan que estas certificaciones ratifican su estrategia de asentar la protección industrial desde los cimientos. Al conectar los entornos de las tecnologías de la información (TI) con la tecnología operativa (OT), se facilita a los responsables de compras la adquisición de infraestructuras seguras.
Contar con componentes respaldados bajo este estándar reduce los ciclos de diligencia debida en las adquisiciones y aporta certidumbre en despliegues industriales cuyas operativas suelen extenderse entre una y dos décadas.
La integración de este modelo de desarrollo basado en estándares prepara el terreno ante la evolución constante de los marcos regulatorios. Un claro ejemplo de ello es la futura Ley de Ciberresiliencia de la Unión Europea, que establece requisitos más estrictos en la gobernanza tecnológica. Esta normativa exige demostrar que los equipos integran la protección de serie y que se mantienen los esfuerzos de actualización una vez llegan al mercado, una serie de garantías que los profesionales pueden consultar a través del portal específico habilitado por el proveedor para el seguimiento de dicha legislación comunitaria.
