Zonas y Conductos

Anselmo Olivero Hernandez Bautista
Apollo Communications SA de CV, México,
contacto@apollocom.com.mx

RESUMEN

En la ya conocida industria 4.0 siguen existiendo múltiples desafíos entre los cuales la ciberseguridad industrial toma relevancia debido a que es un factor crucial para la constante evolución tecnológica de los procesos industriales. Es por ello por lo que los conceptos de zonas y conductos constituyen un componente fundamental para establecer las bases de un programa de ciberseguridad que permita la correcta segmentación de los sistemas mediante una serie de características y requisitos de seguridad establecidos como atributos que se vuelven más rigurosos en medida que avanzamos en los niveles de seguridad que requiere cada zona.

PALABRAS CLAVES: SuC, zona, conducto, ciberseguridad

Zonas y Conductos

Al llevar a cabo la implementación de un programa de ciberseguridad en un sistema industrial el primer punto de partida consiste en llevar adelante un análisis de riesgos. Al plantearnos este objetivo surge la siguiente pregunta: ¿Qué es lo que vamos a proteger?

Cada industria en particular presenta características propias que nos permiten establecer y evaluar diferentes elementos según el nivel de detalle que se busque obtener, entonces optar por analizar un proceso, un subproceso, un sistema industrial o bien cada uno de sus componentes.

El estándar ISA99/IEC62443 constituye el principal marco de referencia internacional de ciberseguridad en sistemas industriales donde la disponibilidad y la integridad son los factores clave para la adopción de medidas de protección contra ciber amenazas y permiten reducir los incidentes tecnológicos no intencionados.

De acuerdo con este estándar, el ciclo de vida de Ciberseguridad Industrial consta de tres fases: Evaluación, Desarrollo & Implementación y Mantenimiento.

Cada una de estas fases conforman la metodología propuesta para la protección de los sistemas industriales. Al referirnos a este ciclo de vida en este rubro es importante comprender que en ciberseguridad no existe un estado de seguridad “garantizada” sino que cada una de estas fases se debe realizar de manera iterativa complementándose de la fase anterior y agregando valor a la siguiente. De esta manera, podremos mejorar las contramedidas implementadas hasta lograr alcanzar un nivel de riesgo tolerable.

Como punto de partida, el estándar propone identificar con claridad el “Sistema bajo Consideración” (SuC – “System under Consideration”) el cual consiste en la infraestructura completa que será objeto del análisis. Puede incluir redes de control, tele supervisión, infraestructura de comunicaciones y seguridad (Routers/Firewall) e incluso incorporar redes informáticas dependiendo de los servicios que estas brinden al proceso industrial y viceversa. Una vez identificado el SuC, se da inicio a la fase de “Evaluación” dentro de la cual se encuentra la etapa “Asignar activos a Zonas & Conductos”.

Para sistemas industriales de gran envergadura o complejos quizás no sea recomendable o necesario aplicar el mismo nivel de seguridad a todos sus componentes. Es por ello que se crean los conceptos de Zona y Conducto los cuales deber ser identificados dentro del SuC.

Una Zona se define como la agrupación lógica o física de activos industriales (dichos activos puedes ser físicos, aplicaciones o información) los cuales comparten los mismos requisitos de seguridad.

Un Conducto es un tipo particular de zona que agrupa las comunicaciones que permiten transmitir información entre diferentes zonas.

Por último, se agrega el concepto de Canal el cual se define como un determinado vínculo de comunicación establecido dentro de un conducto

El objetivo de la Ciberseguridad industrial es brindar al SuC dos conceptos claves: Robustez y Resiliencia. El concepto de Robustez otorga la capacidad de operar frente a un determinado nivel de perturbaciones producidas por ciberamenazas y la Resiliencia es la capacidad de restablecer o restaurar el sistema luego de producido un evento no deseado, con el mínimo impacto posible acorde a los riesgos tolerables definidos por la Organización.

La importancia de esta definición radica en la premisa de que cada escenario particular posee diferentes niveles de seguridad asociados al riesgo tolerable por cada Organización.

ZONAS

Durante la creación de un programa de Ciberseguridad, el concepto de “zonas” constituye uno de los recursos más importantes y su definición es uno de los aspectos fundamentales para el éxito de este proceso.

Las zonas pueden ser una agrupación de activos independientes, un grupo de subzonas o una combinación de ambos. A su vez, las zonas poseen atributos de herencia, lo cual significa que las zonas “hijas” (o subzonas) deben cumplir con todos los requisitos de seguridad de su zona “padre”. Cuando nos referimos a activos, hacemos alusión a “activos necesarios para el proceso industrial” lo cual definiremos como “todo elemento perteneciente a un sistema industrial (PLCs, RTUs, estaciones de operación e ingeniería, equipamiento de comunicaciones etc.) que tiene valor o potencial valor para una organización”. Las cotas en el valor a partir de cuándo un elemento es considerado activo varían dependiendo de las organizaciones y su magnitud.

Cada zona posee un conjunto de características y requisitos de seguridad que constituyen sus atributos:

  • Políticas de seguridad y niveles de seguridad
  • Inventario de activos
  • Requisitos de acceso y controles
  • Amenazas y vulnerabilidades
  • Consecuencias de una brecha de seguridad
  • Tecnología autorizada
  • Proceso de gestión de cambios.

Cada zona definida debe contener un documento que describa sus requisitos de seguridad y como asegurar que los niveles de riesgos tolerables son alcanzados. Este documento debe incluir, entre otros, el alcance de la zona, su nivel de seguridad, la estructura organizacional a la cual pertenece y sus responsabilidades, los riesgos asociados a la zona, la estrategia de seguridad adoptada, los tipos de actividades que son permitidas dentro de ella etc. Toda esta información debe estar documentada para cada zona ya que sirve como guía para la construcción y el mantenimiento de los activos contenidos en ella.

Con respecto al inventario de activos, este constituye un factor determinante para podes alcanzar los objetivos definidos en la política de seguridad. Se debe crear un documento que detalle todos aquellos activos, lógicos y físicos, que forman parte de la zona. “Matriz de activos”

Al definir una zona, claramente estamos acotando un determinado segmento dentro del sistema y/o proceso industrial, y como consecuencia debería existir un número reducido de requisitos y medios para obtener acceso a la misma. Una política de acceso debe establecer con precisión el personal que está autorizado para acceder a cada zona, los medios a través de los cuales se realiza el acceso y los mecanismos de control sobre los mismos. Es aquí donde cobra importancia el concepto de conducto el cual se desarrolla más adelante en este documento.

Una zona posee sus propias vulnerabilidades, y se encuentra expuesta a un determinado número de amenazas. Es por ello que realizar un análisis de vulnerabilidades periódicamente sobre ellas (o sobre el proceso industrial completo) resulta de vital importancia para identificar potenciales amenazas que provoquen que los activos industriales no cumplan con sus objetivos de negocio.

CONDUCTOS

Los “conductos” son zonas particulares que se aplican a procesos de comunicación específicos proporcionando funciones de seguridad que permiten a dos zonas comunicarse de manera segura. Toda comunicación entre diferentes zonas ha de realizarse a través de un conducto.

Al igual que una zona, los conductos constituyen una agrupación lógica y/o física de activos (activos de comunicación en este caso). Un “conducto de seguridad” protege la seguridad de los canales que éste contiene, de la misma manera que un conducto físico protege los cables de daños físicos.

Los conductos pueden ser pensados como los “tubos” que unen diferentes zonas o bien que son utilizados para unir componentes dentro de una misma zona. Ya sea internos (dentro de una zona) o externos (fuera de una zona) los conductos protegen los canales que proveen vínculos de comunicación entre activos industriales. Generalmente en los sistemas industriales, los conductos constituyen dispositivos de red (switches, routers, firewalls etc.) que forman parte de su arquitectura, pero en algunos casos también se pueden presentar como servidores o Gateway de comunicaciones utilizados para la conversión de diferentes protocolos.

Los conductos se utilizan como uno de los principales “inputs” para determinar las amenazas a las cuales se encuentra expuesta una zona. Identificando con claridad los conductos podremos conocer cuáles son los puntos de acceso que la zona posee, y analizar si pueden convertirse en un potencial vector de ataque. Un análisis de riesgos detallado debe incluir tanto las zonas, como sus conductos asociados para obtener mejores resultados.

Al ser un tipo particular de zona, de la misma manera que ellas cada conducto posee un conjunto de características y requisitos de seguridad que constituyen sus atributos.

  • Políticas de seguridad y niveles de seguridad
  • Inventario de activos
  • Requisitos de acceso y controles
  • Amenazas y vulnerabilidades
  • Consecuencias de una brecha de seguridad
  • Tecnología autorizada
  • Proceso de gestión de cambios
  • Zonas que interconecta

Protocolos de comunicaciones (muy heterogéneo por la naturaleza de cada industria y fabricante). A diferencia de las zonas, los conductos deben incluir el detalle de las diferentes zonas a las cuales interconectan, asegurando que la tecnología utilizada para la creación de canales de comunicación cumple con los requisitos fundamentales de seguridad especificados.

Referencia

[1] ANSI/ISA-62443-1-1-2007, Security for industrial automation and control systems: Terminology, concepts and models

[2] ANSI/ISA-TR62443-1-2, Security for industrial automation and control systems: Master glossary of terms and abbreviations

[3] ANSI/ISA-62443-3-2, Security for industrial automation and control systems: Target security levels for zones and conduits

[4] ANSI/ISA-62443-3-3, Security for industrial automation and control systems: System security requirements and security levels

Acerca del Autor

Profesional especialista en redes de comunicación tanto en sector Enterprise como industrial. Habilidades en el diseño, configuración e implementación de equipos de redes Switches, routers, firewalls, Access point, telefonía VoIP. Manejo de protocolos de routing tanto estáticos como dinámicos RIP v2, EIGRP, OSPF, BGP. Implementación y gestión de zonas de seguridad, ACL, NAT, PBR, VLANs VPNs, Trunk, Etherchannel, VRRP, HSRP, DHCP, entre otros. Certificado en CCNA Routing and Switching.

Sitio: www.apollocom.com.mx 

Linkdln & Twitter: ApollocomMX

Dejar un comentario

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.