Diferencia entre IT y OT

Nayib Jiménez Ramírez y Jesús Alexis Illescas Ramírez

RESUMEN. Este artículo proporciona las diferencias entre IT y OT, la estructura basada en el estándar ISA-95, que actualmente evoluciono a una arquitectura segura en la Isa 99;  el surgiendo de la ciberseguridad industrial y los aspectos diferenciales entre ellos. El articulo tiene el objetivo de facilitar el entendimiento de las diferentes arquitecturas de las funciones empresariales y los sistemas de control en empresas productivas. Adicionalmente, aborda los modelos y las terminologías que pueden ser usadas para determinar qué información se debe intercambiar entre las diferentes funciones empresariales.

PALABRAS CLAVES: IT, OT, ciberseguridad, firewall, scada, PLC.

Introducción

En el sector industrial se encuentran dos conceptos clave para la operación del negocio IT y OT. Las Tecnologías de la Información y las Tecnologías de Operación ambas tecnologías pueden y deben trabajar en conjunto debido a la transformación de las tecnologías en las últimas décadas a este cambio de forma de operar se le conoce como la transformación digital; la transformación de los equipos industriales se da al trabajar con el modelo TCP/IP, generando que los dispositivos ocupados en la industrial tengan como necesidad el uso de una dirección IP integrando una arquitectura de comunicación que habilite estos nuevos servicios como equipos como routers, switches multicapa, servidores de virualuzación, así como equipos de seguridad como  firewall de nueva generación, IDS especializados, proxys, SIEM, etc.

El unir ambas tecnologías en una arquitectura, trae grandes beneficios para la gestión y el monitoreo del proceso agilizando la compra de materias primas, la generación de ordenes de mantenimientos, por ende, eficiencia en los procesos; a esta revolución de tecnología, procesos y personal calificado se le conoce como Industria 4.0, en donde es importante conocer ambos campos “IT y OT” con el fin de asegurar una convergencia responsable, funcional y segura, como se muestra en la Figura 1.

NECESIDADES TECNOLÓGICAS

El primer factor a tener en cuenta son las necesidades de cada tecnología, mientras que en IT, el número de componentes tecnológicos suele ser similar al número de profesionales en activo en una oficina, en OT se despliega una gran cantidad de dispositivos a lo largo de toda la infraestructura. Además, la cantidad de personas que son responsables y operan etas tecnologías son mucho menores. Podríamos decir que los dispositivos IT siempre requieren de un profesional que lo controle, mientras que la tecnología OT es autónoma.

ARQUITECTURA

La arquitectura de IT y OT la mayoría de las veces se ve constituida por el estándar ISA-95, la cual propone una división en 6 partes, en la cual vamos a enfatizar en los niveles 4,3,2 y 1.

Al tener dos redes en donde tenemos datos y procesos, en IT las comunicaciones suelen estar congestionadas a causa de grandes cantidades de información enviada y recibida. Por el contrario, en OT la infraestructura informativa es más bien secundaria. En OT las organizaciones suelen tener aplicaciones integrales de control, por lo cual se trabaja con uno o dos sistemas SCADA, cabe mencionar que este entorno permanece relativamente estático.

En el nivel 4 propuesto por la ISA-95, tenemos la gestión de las operaciones de manufactura y la integración de las empresas y los sistemas de control, el nivel 3 es la DMZ creada con el fin de ser la barrera entre IT y la OT, en la cual los usuarios pueden ver registros de producción, gestión de mantenimientos, inventario y producción mediante un histórico (base de datos) o el software scada. A continuación, se presenta el nivel 2 en el cual se encuentran los dispositivos de almacenamiento de datos (locales o transaccionales) o intercambio de información, por ultimo tenemos el nivel 1 teniendo los dispositivos de control, los cuales tienen como tarea realizar una operación en el proceso industrial. La figura 1 muestra la arquitectura entre red de IT y OT, dividida por equipos de seguridad perimetral o equipos de comunicación.

Figura 1. Arquitectura basada en la ISA-95 (2016).

FRECUENCIA DE ACTUALIZACIÓN

La tecnología IT es más vulnerable y por ello necesita actualizaciones constantes. Al tratarse de entornos más dinámicos, es fácil encontrar estos errores y solventarlos. Sin embargo, los sistemas OT deben permanecer en marcha durante largos periodos de tiempo, siendo casi imposible la implementación de parches, ya que algunos sistemas críticos requerirían de un reinicio impactando directamente a la operación ocasionando que se utilicen sistemas de legado siendo más vulnerables a amenazas conocidas y desconocidas.

ASPECTOS ENTRE IT Y OT

Actualmente las redes de control o de operaciones (OT) y las redes que conectan los sistemas transaccionales (IT) suelen estar integradas. Esto es debido a que ambos entornos necesitan compartir información practicamente en tiempo real, además de algunas aplicaciones de medición de KPI’s.

En la figura 2 observamos los aspectos evaluados en el sector de IT como en el de OT.

Figura 2. Diferencias entre IT y OT (2014).

Teniendo en cuenta las diferencias entre ambos sectores, es importante resaltar el desarrollo de la ciberseguridad industrial, por lo cual se debe dar importancia a los siguientes 3 factores: tecnología, procesos y personal.

  • En cuanto a la tecnología es recomendable incorporar a los entornos OT sistemas específicos relacionados con la segmentación de redes, con el análisis y gestión de eventos relacionados con la seguridad, etc.
  • Por cuanto a los procesos deben establecerse políticas, procedimientos y programas que ayuden a fortificar los entornos industriales y de infraestructuras.
  • Por último, el tercer pilar y sin duda el más complejo de gestionar las personas, es necesario crear equipos multidisciplinares (Red Teams) que sean capaces de identificar posibles amenazas y vulnerabilidades, de gestionar los SGSI, así como de adaptar las recomendaciones propuestas en normativas y marcos de referencia a cada planta concreta.

Diferencias entre la ciberseguridad en IT y OT

En la ciberseguridad existe un concepto llamado Triada de la seguridad que consiste en los siguientes factores clave:

Confidencialidad: Este factor tiene como objetivo que la información no sea revelada o accedida por individuos, programas o procesos no autorizados.

Integridad: La información debe estar integra, es decir debe ser precisa y no puede sufrir alteraciones son autorización.

Disponibilidad: La información de estar accesible cuando es solicitada, de manera que esta no afecte a la operación.

Estos tres factores marcan una diferencia significativa en el desarrollo de la ciberseguridad en los ambientes IT y OT debido a la priorización mientras que en una industria como un banco lo más importante es la confidencialidad de la información en una fábrica de autopartes su prioridad es la disponibilidad de los datos que permita a las maquinas seguir produciendo como se muestra en la siguiente imagen.

Figura 3. Diferencia de prioridades de la ciberseguridad IT y OT

Por lo tanto, el enfoque de las soluciones de protección de la información de los procesos industriales debe tener un punto de vista diferente, para una estrategia de seguridad basada en la normativa de la ISA/IEC 62443 se divide en cuatro secciones principales:

Figura 3. Diferencia de prioridades de la ciberseguridad IT y OT
  • General: Donde se tiene los conceptos base, métrica, ciclo de vida, casos de uso y los niveles de protección para los sistemas de control y automatización industrial (IACS).
  • Políticas y procedimientos: Un marco de referencia para la incorporación de un gobierno de seguridad de la información en el entorno OT.
  • Sistema: Controles de seguridad como tecnologías y procesos que permitan contar con una protección de la información de los procesos.
  • Componentes: Requisitos de ciberseguridad para el desarrollo seguro de productos y que se incorporan durante todo el ciclo de vida de este.

La ciberseguridad industrial es un gran reto ya que requiere de conocimiento especializado y multidisciplinario, tomar conciencia de las necesidades de la industria es fundamental para habilitar más servicios en esta nueva revolución industrial.

REFERENCIAS

[1] ANSI/ISA-95.00.01-2010 (IEC 62264-1 Mod) – Enterprise-Control System Integration – Part 1: Models and Terminology

[2]Universidad Rey Juan Carlos (2016). Arquitectura basada en la ISA-95  [Figura]. Recuperado de Diferencia en los entornos transaccionales entre IT y OT.

[3] ANSI/ISA-95.00.05-2013, Enterprise-Control System Integration – Part 5: Business-to-Manufacturing Transactions

[4] Retos actuales y tendencias futuras, Universidad Rey Juan Carlos – Diferencia en los entornos transaccionales entre IT y OT.

[5] Siemens – 2019  Industrial Communication Networks – OT and IT: separated and yet connected

[6] Siemens – Industrial – 2019 Communication Networks – Industrial digitalization requires industrial networks.

[7]ciberseguridadlogitek (2014). Diferencia entre IT y OT [Figura]. Ciberseguridad Industrial – Seguridad IT versus Ciberseguridad Industrial

[8] CISSP All-in-One Exam Guide, Eighth Edition, 8th Edition by Shon Harris, Fernando Maymi Released October 2018 Publisher(s): McGraw-Hill ISBN: 9781260142648

[9] Quick Start Guide: ISA/IEC 62443 Global Automation Cybersecurity Standards / Presented by Johan Nye https://www.youtube.com/watch?v=tCUdZ51oKAg&t=194s

ACERCA DEL AUTOR

Ing. Nayib Jiménez Ramírez, Analista de vulnerabilidades y sistemas de correlación, certificado en herramientas de seguridad perimetral, sistemas de correlación y análisis de vulnerabilidades. Encargado de la seguridad de empresas de gobierno, arquitecto de infraestructura de seguridad para los estados del norte del país, administrador e implementador de la solución de correlación para las empresas de Teleinformática y Temsa. Actualmente labora como Analista L2 SOC enfocado a clientes de Gobierno y clientes financieros en Netrix de Grupo Cepra

Ing. Jesús Alexis Illescas Ramírez, consultor en ciberseguridad OT/IT y actual director del comité de redes industriales y ciberseguridad industrial de ISA México sección central. Durante su carrera profesional se he empeñado en el desarrollo de conocimiento y concientización de la ciberseguridad industrial, presentándose en diferentes foros y desarrollando la práctica en México, apasionado del conocimiento, así como de las nuevas tecnologías IOT, IIOT, SaaS para industria y seguridad. Actualmente labora como consultor en ciberseguridad industrial en Accenture México contacto: jesus.a.illescas@accenture.com.

Dejar un comentario

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.