Guillem Alsina Gonzàlez
Decía un profesor universitario que tuve en mis estudios de la carrera de informática, que el único ordenador realmente seguro es aquel que está «apagado, desconectado de la red eléctrica, metido en una caja fuerte protegida con una combinación que nadie sabe, la cual ha sido encerrada en un búnker subterráneo del que nadie sabe nada, y cuya llave de la puerta se ha destruído«. Pero esto, si bien es altamente seguro, es imposible y, además, no permite utilizarlo.
Admitámoslo, la conectividad es necesaria y, además, práctica, pero conlleva el problema de que aumenta la superficie de exposición de los sistemas informáticos y, con ello, la continuidad operativa de empresas y organizaciones.
Para ayudar a mejorar la seguridad de la tecnología operacional (OT por sus siglas en inglés), históricamente orientada a la seguridad física, la disponibilidad y la continuidad del servicio, y que se encuentra, precisamente, cada vez más interconectada, diversas entidades internacionales se han unido para publicar una guía de como reforzar su ciberseguridad en esta área.
Entre dichas entidades encontramos la CISA y el FBI estadounidenses, la Oficina Federal para la Seguridad de la Información alemana, el Centro Nacional de Ciberseguridad británico, u otras entidades gubernamentales canadienses, neozelandesas o australianas.
El documento refiere que las necesidades de eficiencia e integración que habilitan analítica en tiempo real, mantenimiento predictivo y monitorización y administración remotas, y que requieren de conectividad que aporta agilidad, también amplían la superficie de ataque y elevan el impacto potencial de un incidente, que en OT puede traducirse en daños físicos, impacto ambiental o interrupciones de servicios esenciales.
Para reforzar la ciberseguridad de los sistemas, la presente guía plantea “estados finales deseables”, más que mínimos obligatorios para diseñar y gestionar conectividad segura en OT, tanto en sistemas nuevos como existentes y con especial énfasis en operadores de servicios esenciales.
El texto subraya que la conectividad OT expuesta o insegura es objetivo tanto de actores oportunistas como de adversarios altamente capacitados, incluidos grupos con patrocinio estatal, y que también se han observado campañas oportunistas de hacktivistas. La conclusión operativa es que fortalecer la ciberseguridad en infraestructuras críticas (y, en particular, la conectividad OT) incrementa el umbral que un atacante debe superar para provocar efectos físicos o interrupciones en el servicio.
La primera pieza, antes de desplegar tecnología, es la gobernanza y, para ello, el documento plasma que toda conectividad debería partir de un caso de negocio formal, centralizado y revisable, que deje trazabilidad de por qué existe una conexión, qué beneficio aporta, qué riesgos se aceptan, qué impactos tendría un compromiso y qué dependencias externas introduce, además de asignar un responsable sénior del riesgo. La guía insiste en que las decisiones de conectividad deben ser “auditables” y comparables con umbrales de riesgo definidos de antemano, no el resultado de atajos operativos.
Este punto enlaza con un problema recurrente en OT: la presencia de productos obsoletos, activos y software que ya no reciben actualizaciones de seguridad o carecen de mitigaciones modernas. La guía advierte de que dichos componentes incrementan la probabilidad de explotación y complican la detección y la respuesta, además de forzar a invertir en controles compensatorios y conocimiento especializado. Por ello, recomienda tratarlos como “no fiables” y no utilizarlos para implementar controles de seguridad, recurriendo mientras tanto a segmentación y controles de red como medidas temporales y planificando su sustitución.
Con el marco de riesgo establecido, el documento aborda la exposición. En su definición, la exposición depende de dónde se sitúa un activo en la arquitectura y de cuán accesible es desde redes externas o adyacentes, considerando la defensa en profundidad. Aquí cobra relevancia la gestión de interfaces de administración, para lo que la guía recomienda, cuando sea posible, limitar la administración a estaciones de trabajo de acceso privilegiado (PAW), es decir, equipos dedicados y más fiables para tareas de gestión, y en escenarios sensibles incluso restringir la administración a acceso físico local.
El objetivo operativo es reducir al mínimo la exposición de los puntos de administración y acotar el “tiempo de exposición” con modelos de acceso just-in-time, activando conexiones solo cuando se hacen necesarias.
A medida que las organizaciones evolucionan, también lo hacen sus modelos de conectividad, a menudo con múltiples actores (sistemas de negocio, plataformas de facturación, proveedores de mantenimiento). La guía alerta de que el crecimiento “ad hoc” multiplica rutas de acceso y puntos ciegos. Por ello, plantea centralizar y estandarizar conexiones para consolidar puntos de entrada y aplicar controles uniformes, con modelos repetibles y categorizados según el tipo de interacción (persona a persona, persona a máquina o máquina a máquina) para ajustar medidas a cada flujo.
La arquitectura debe favorecer soluciones reutilizables en vez de despliegues específicos realizados por terceras partes, citando como ejemplo la centralización del acceso remoto en una solución segura alojada en la DMZ, en vez de multiplicar extremos de VPN dentro de la red OT.
La guía también baja al plano de los protocolos señalando que, además de asegurar redes y dispositivos, hay que considerar la seguridad de los protocolos empleados y su adecuación a la tríada de confidencialidad, integridad y disponibilidad, priorizando aspectos distintos según el tipo de enlace.
Propone validar protocolos y datos con formatos simples y esquemas que permitan comprobar que el tráfico es el esperado, e inspeccionarlos en límites de confianza (por ejemplo, entre OT e IT o delante de sistemas de control) y, en protocolos industriales, recomienda optar por variantes seguras y más recientes (por ejemplo, evoluciones seguras de DNP3, CIP, Modbus u OPC), exigir protecciones criptográficas de autenticidad e integridad, y contemplar “agilidad criptográfica”, es decir, capacidad de migrar algoritmos conforme evolucionen los requisitos.
En el perímetro OT, el texto subraya que la prevalencia de activos obsoletos y controles débiles convierte la frontera en un elemento crítico, apoyándose en segmentación y segregación para reducir exposición. Recomienda invertir en activos de frontera modernos, modulares y sustituibles como, por ejemplo, cortafuegos con inspección de capa de aplicación, y mantenerlos fuera de obsolescencia, actualizados por defecto y reemplazados antes del fin de su ciclo de vida.
Otras medidas que menciona la guía son la eliminación de servicios y puertos no necesarios, la autenticación multifactor resistente al phishing en servicios externos, el cambio de credenciales por defecto, la aplicación del mínimo privilegio (incluida la trazabilidad por usuario y su integración en procesos de altas, cambios y bajas), el acceso contextual cuando sea posible, y la exigencia de requisitos a terceros cuando diseñan conectividad hacia la OT.
Para limitar el impacto si hay compromiso, el documento centra la atención en dos riesgos: la “contaminación” (introducción no autorizada de código, datos o configuraciones inseguras) y el movimiento lateral, es decir, la expansión del atacante dentro de la red tras el acceso inicial, y recomienda arquitecturas zonificadas y segmentadas, profundizando en la microsegmentación como enfoque más granular que restringe las comunicaciones hasta el nivel de dispositivos o servicios, alineado con mínimo privilegio.
En su conjunto, este documento sitúa la conectividad OT como una disciplina que combina diseño, operación y compras, desde el caso de negocio y la gestión de la obsolescencia, hasta los patrones de acceso remoto, la estandarización, la selección de protocolos y el endurecimiento del perímetro, cerrando el ciclo con detección y planes de aislamiento.
