Los reguladores están aumentando la presión sobre las organizaciones industriales para que implementen medidas de ciberseguridad robustas. Las nuevas regulaciones como, por ejemplo, la norma de gestión de ciberriesgos de la Comisión del Mercado de Valores (SEC) de EE. UU. y la Directiva NIS2 de Europa, están elevando la urgencia para proteger mejor las operaciones de OT. Estas regulaciones se suman a los retos cada vez mayores a los que se enfrentan las organizaciones industriales debido a factores como el acceso remoto, las vulnerabilidades de la cadena de suministro y la convergencia de IT/OT.
Para superar estos obstáculos, Rockwell Automation recomienda los siguientes 6 pasos a fin de ayudar a las organizaciones industriales a reducir los riesgos de ciberseguridad y modernizar las operaciones para seguir el ritmo del cambio.
1. Realice una evaluación de riesgos
Para saber dónde están sus mayores riesgos, comience por identificar los activos críticos. Hay disponibles herramientas automatizadas de detección de amenazas industriales que pueden ayudarle a conocer exactamente lo que está conectado a sus redes, así como la postura de riesgo de seguridad de cada activo o dispositivo.
A continuación, considere hacer una prueba de penetración de OT. Las pruebas de penetración pueden revelar brechas en la arquitectura de red, los activos y las políticas o los procesos que se utilizan con mayor frecuencia para perjudicar las operaciones.
Explore los siguientes recursos para obtener información valiosa sobre la evaluación de riesgos:
- NIST SP 800-30: Proporciona orientación sobre cómo realizar evaluaciones de riesgos.
- ISO/IEC 27005: Ofrece pautas para gestionar los riesgos de seguridad de la información.
- Evaluación de la preparación para la ciberseguridad industrial de Rockwell Automation: Permite obtener una visión rápida de la preparación para la ciberseguridad de su organización y las posibles brechas.
2. Priorice las mejoras de seguridad
Aplique un enfoque basado en riesgos para ayudar a priorizar las actualizaciones de seguridad y centrarse primero en las brechas más críticas. La evaluación de riesgos llevada a cabo en el primer paso anterior puede ofrecer perspectivas sobre las brechas. Para disponer de más contexto, plantéese preguntas como:
- ¿Cuál es la importancia de este activo o proceso para las operaciones de producción, el tiempo productivo, la integridad de los datos u otros factores importantes para la organización?
- ¿Cómo se protegen los activos críticos? ¿Las protecciones actuales reducen los riesgos? ¿Faltan protecciones de ciberseguridad que podrían reducir considerablemente el riesgo de una brecha?
- ¿Cuál es el costo potencial si se pone en peligro, incluidos el tiempo improductivo, problemas de conformidad, multas, daños a la reputación y otros factores importantes para la organización?
Usted necesita comprender la tolerancia a riesgos de su organización para poder priorizar eficazmente las brechas y las mejoras. En última instancia, el nivel concreto de riesgo que es aceptable para su organización guiará sus decisiones aquí. Para tomar las decisiones más exactas, es mejor aplicar cierta metodología de cuantificación a los riesgos y los costos potenciales.
3. Cree un plan de respuesta a incidentes de ciberseguridad
Recientemente se han acortado los plazos impuestos por la NIS2 y la SEC para informar de los incidentes. Por ejemplo, la NIS2 obliga a notificar los detalles de los incidentes conocidos en un plazo de 24 horas y la entrega de un informe de notificación completo en un plazo de 72 horas. Asimismo, la nueva norma de la SEC exige la divulgación de un incidente en un plazo de cuatro días laborables después de que se determine que el incidente es relevante.
Usted puede ayudar a su equipo a responder e informar de incidentes de manera más eficaz estableciendo procesos y procedimientos mediante un plan documentado. Los componentes recomendados del plan de respuesta a incidentes incluyen:
- Asignar personal clave a su equipo de respuesta a incidentes
- Aplicar roles y responsabilidades a cada miembro del equipo
- Capturar datos de los incidentes con las herramientas disponibles para analizarlos
- Comprender los pasos y los plazos necesarios para informar, evaluar y responder a incidentes
4. Implemente ejercicios de simulación
Los ejercicios de simulación son otro paso esencial para aumentar la eficiencia de su equipo de respuesta a incidentes. Los encargados de responder a los incidentes deberán poner en práctica el plan para poder seguir los pasos antes de que tengan que responder a un incidente de ciberseguridad real.
Realizar ejercicios con regularidad (de trimestral a anual) también aumentará la confianza y la competencia de su equipo, lo que llevará a mejoras continuas, además de aumentar la velocidad y la eficacia de las acciones de respuesta a incidentes. Se aconseja a las organizaciones de mayor tamaño, o a aquellas en los sectores de infraestructura crítica, que efectúen los ejercicios de simulación con mayor frecuencia, incluso trimestrales.
Consulte los siguientes recursos para obtener más información sobre cómo implementar los ejercicios de simulación:
- Paquetes de ejercicios de simulación de la Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA) de EE. UU.
- Pautas para la gestión de incidentes del Centro Nacional de Ciberseguridad (NSCS) del Reino Unido
- Rockwell Automation también puede ayudarle a configurar y completar los ejercicios de simulación
5. Mejore la protección con herramientas y estrategias de defensa en profundidad
Ninguna herramienta de seguridad, por robusta que sea, puede proteger su ambiente de OT frente a toda amenaza. Reforzar su postura de ciberseguridad con una estrategia de defensa en profundidad mejorará la resiliencia de su organización y de OT frente a los ciberataques.
La defensa en profundidad debería incluir controles en todos los niveles, desde las redes y los puntos finales hasta las aplicaciones y la gestión de acceso.
Rockwell Automation sugiere las mejores prácticas siguientes:
- Segmentar las redes de IT y OT con una zona desmilitarizada industrial (IDMZ)
- Considerar un sistema de monitoreo de amenazas para detectar incidentes, alertar a los equipos de seguridad y proporcionar recolección de datos para el análisis de causa raíz y la generación de informes
- Desplegar un sistema de gestión de puntos finales para abordar eficazmente las vulnerabilidades
- Adoptar herramientas como antivirus, cortafuegos, encriptación de datos y control de acceso remoto según las necesidades y requisitos específicos de su organización
- Autentificar constantemente los dispositivos, conexiones y usuarios mediante el despliegue de políticas de control de acceso de confianza cero
- Aplicar el protocolo industrial común CIP Security para ayudar a proteger los puntos finales frente a ataques de comunicación
- Implementar copias de seguridad de los sistemas de OT críticos para recuperarse rápidamente de incidentes
Para obtener información más táctica sobre cómo poner en marcha una defensa en profundidad, consulte recursos como el Marco de ciberseguridad del NIST, el sitio web de la CISA y los controles de seguridad críticos del CIS.
6. Consiga la participación de las partes interesadas
A medida que aumenta el escrutinio regulatorio, también aumenta la presión sobre las juntas directivas para gestionar mejor los riesgos de ciberseguridad. Conseguir la implicación de las partes interesadas clave de toda la organización (desde la planta de fabricación hasta los directores ejecutivos) ayuda a crear una base sólida de confianza que respaldará mejor sus esfuerzos para financiar e implementar iniciativas de seguridad clave que contribuyan a proteger las operaciones.
Así ocurrió con un fabricante global de bienes de consumo envasados. La organización logró nuevos niveles de participación y colaboración que involucraron a personas de varias plantas de fabricación, dentro de IT y en toda la alta gerencia, mediante un proceso paso a paso que involucraba a cada grupo con la información y los procesos adecuados en el momento adecuado.
Priorizar la participación de las partes interesadas ha traído beneficios sumamente valiosos de reducción de riesgos que siguen acumulándose a diario.
Consejos útiles adicionales
Al invertir en los procesos, herramientas y estrategias adecuados, puede crear una base sólida para lograr una protección de ciberseguridad robusta y completa.
Afortunadamente, dispone de ayuda que le podrá guiar paso por paso. Trabajar con un socio de confianza como Rockwell Automation, líder tanto en automatización como en ciberseguridad industrial, puede ayudarle a aumentar su experiencia interna a medida que planifica, ejecuta y mejora las iniciativas de ciberseguridad.
Comuníquese con nosotros aquí para obtener más información.
