Danielle Jablanski, estratega de ciberseguridad OT de Nozomi Networks hace un repaso sobre las principales tendencias que veremos este 2023 y qué podemos esperar de la ciberseguridad en los entornos OT e IOT.

El público se ha dado cuenta de que las operaciones que toleran poco o ningún tiempo de inactividad física -incluidas las infraestructuras críticas, los sectores industriales y las instalaciones hiperconectadas- son objetivos lucrativos para los ciberataques. Hace una década, las herramientas de detección de intrusiones y anomalías para la tecnología operativa (OT) y los sistemas de control industrial (ICS) estaban en pañales. Hoy en día, el mercado se está expandiendo y madurando de nuevas maneras.

Históricamente, al hablar de «prueba de concepto» nos referíamos a garantizar que el software introducido en entornos de control industrial y de procesos no corrompería los sistemas y las redes que pretendía proteger. Hoy en día, una «prueba de concepto» es a menudo una competición entre los mejores del sector para demostrar un conocimiento más profundo y exhaustivo de los sistemas OT/ICS y la integración de TI e IoT, asociaciones eficientes y estrategias de comercialización, así como una aplicación horizontal en muchos sectores. A pesar de que las TI y las OT son campos sustancialmente diferentes con prioridades divergentes, varias empresas de ciberseguridad que tradicionalmente prestaban servicios a las TI, ya se han introducido en el mercado de la ciberseguridad de las OT. Si a esto le sumamos informes y análisis de mercado que predicen un auge importante, los principales players del mercado se encontrarán en un escenario más concurrido en 2023. La detección, la transformación digital, la fiabilidad operativa, la interoperabilidad, la gobernanza y las normas serán claves y seguirán impulsando la demanda de la ciberseguridad en entornos OT e IoT.

En 2022, INCONTROLLER demostró la gravedad potencial de los ciberataques dirigidos a operaciones industriales. Afortunadamente, el ataque se descubrió antes de que se produjera ningún incidente operativo, lo que demuestra la rentabilidad potencial de la inversión en soluciones de ciberseguridad adaptadas específicamente a las operaciones industriales. Este incidente, el cuarto ataque con malware dirigido a sistemas de control industrial, supuso una respuesta muy delicada que exigía confianza y verificación entre el proveedor de ICS y los equipos de investigación de seguridad.

En Estados Unidos, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA, por sus siglas en inglés) ha publicado directrices específicas para el sector, al tiempo que fomentaba la confianza con la industria para mejorar la aportación de propietarios y operadores en acciones como el proceso de elaboración de normas para la nueva Ley de Información sobre Incidentes Cibernéticos en Infraestructuras Críticas de 2022 (CIRCIA, por sus siglas en inglés).  La Unión Europea no se queda atrás y está llevando a cabo dos nuevos mandatos que proporcionarán «un marco jurídico actualizado y completo para reforzar tanto la resistencia física como la cibernética de las infraestructuras críticas.»

Israel, Alemania, Singapur, Australia y muchos otros países de todo el mundo siguen reforzando las iniciativas de ciberseguridad con el objetivo de aumentar la confianza y la verificación. Por otra parte, la invasión de Ucrania por parte de Rusia puso un nuevo énfasis en la confianza en las operaciones cibernéticas, con operaciones oficiales de crowdsourcing por parte del ministerio para formar un «ejército cibernético» de voluntarios para ayudar en el conflicto.

La arquitectura Zero Trust ha cobrado vida propia con una miríada de definiciones y mecanismos de implementación desde la estrategia hasta la aplicación. Con la mentalidad de asumir la brecha, reconociendo que la seguridad perimetral es insuficiente para defenderse del panorama actual de amenazas, los principios de Zero Trust son esenciales para reducir el «Dwell Time» (es el tiempo que un atacante tiene vía libre en un entorno, desde el tiempo que penetra hasta que es eradicado) y la gravedad de los posibles impactos.

Algunos podrían decir que el Zero Trust es simplemente el reempaquetado de las mejores prácticas como la segmentación de la red y el principio del menor privilegio, pero aplicar adecuadamente el Zero Trust requiere estudiar cómo las tecnologías interactúan, lo que necesitan unas de otras y cómo minimizar los accesos superfluos a la información, comandos y control de sistemas.

De acuerdo con el CIAB (Council of Insurance Agents and Brokers), los ciberseguros premium han aumentado de nuevo en 2022 según una media del 28% en la primera mitad del año. En un litigio en 2022 se anuló un contrato de ciberseguro por no haber comprobado el demandante que la empresa disponía de autenticación multifactor (MFA) cuando fue atacada por el ransomware, como se indicaba en la parte de autocertificación de la solicitud de cobertura.

En 2022, el NIST actualizó las directrices de gestión de riesgos de la cadena de suministro de ciberseguridad, haciendo especial hincapié en la «confianza».  Y finalmente, más específico para la ciberseguridad industrial, 2022 puso un nuevo énfasis en la supervisión continua de OT e ICS. Definido por NIST como “»el sistema de información y los activos que se supervisan para identificar eventos de ciberseguridad y verificar la eficacia de las medidas de protección», la supervisión continua es la máxima prioridad para la detección y prevención de incidentes cibernéticos

¿Qué hay en el horizonte para 2023?

Las predicciones son difíciles de dominar, desde el «ahora o nunca» que rodea a los SBOM (Software Bill of Materials) hasta el próximo problema internacional sin precedentes. Las predicciones son aún más difíciles para OT e ICS, dado que los datos son a menudo privados, distribuidos, o están detrás de un muro de pago. 2023 promete ser un año integral, que exigirá mayores inversiones en ciberseguridad en un momento en el que una posible recesión puede exacerbar los impactos del ransomware y los tiempos de inactividad imprevistos o las pérdidas de producción.

La gobernanza sentará un nuevo precedente

Hasta la fecha, las normas y marcos gubernamentales han adoptado un enfoque de acordeón, extendiéndose para abordar lo que los sectores de infraestructuras críticas tienen en común, y comprimiéndose para magnificar las cuestiones de seguridad más críticas para sectores específicos.

Una nueva dirección y una mayor participación de la industria generarán un mayor conocimiento de la situación, confianza y determinación en toda la comunidad de seguridad de infraestructuras críticas. El gobierno de EE.UU. está «poniendo su dinero donde está su boca», desplegando una directiva operativa federal vinculante centrada en el descubrimiento de activos y la enumeración de vulnerabilidades, ofreciendo asistencia para la implementación y conjuntos de herramientas únicos.

Además de la legislación CIRCIA, en 2023 llegarán los frutos de dos programas CISA recientemente estrenados. El programa CyberSentry vigilará las redes de infraestructuras críticas en busca de amenazas conocidas e indicadores de compromiso, y la herramienta RedEye, recientemente lanzada, desarrollada para «analizar registros de marcos de ataque (por ejemplo, Cobalt Strike) presentará datos complejos en un formato más digerible». Ambas ampliarán la comprensión de los incidentes de OT e ICS, creando mecanismos para mejorar la confianza y la verificación.

La Información compartida será más significativa

A pesar de la reticencia a agregar información, compartir información significativa requiere de un mecanismo independiente del proveedor para compartir en tiempo real los datos de alerta temprana. En cuanto al panorama de las amenazas, no hay forma de estandarizar y correlacionar la investigación sobre amenazas y vulnerabilidades producida por los líderes competitivos del mercado. El intercambio de información carece de confianza y verificación, y se ha fragmentado en mecanismos específicos para cada sector, sector privado o agencia gubernamental, creando fuentes únicas de información sin mucho consenso.

Independientemente de los puntos en común, no hay dos ataques a los sistemas OT/ICS exactamente iguales, lo que dificulta la respuesta automatizada y la corrección. Desgraciadamente, esta realidad significa que todas las operaciones e instalaciones tienen que esperar a ver cómo otra organización se convierte en víctima antes de que puedan compartirse firmas, detecciones e inteligencia completa para poder proceder a la caza de amenazas. En 2023, las soluciones para compartir información en este ámbito empezarán a cambiar hacia formas más inclusivas, creativas y proactivas de compartir información.

Un análisis innovador marcará la diferencia

La innovación en la capacidad de proporcionar conocimiento de la situación, con confianza y verificación, liderará el futuro de la ciberseguridad en OT. Muchas organizaciones habilitan herramientas para recopilar y almacenar datos, pero no los analizan para mejorar su misión. Limitarse a tener y almacenar una gran cantidad de datos no es especialmente útil para mitigar los riesgos. Las soluciones creadas para OT e ICS seguirán corrigiendo las lagunas de seguridad y mejorando los controles de seguridad.

El análisis del comportamiento y la detección de anomalías en las operaciones de red pueden aumentar la inteligencia sobre amenazas y las posturas generales de seguridad. La detección de anomalías puede alertar sobre desviaciones de los patrones normales de comunicación, así como sobre variables dentro del proceso, como lecturas de sensores y parámetros de flujo. Estos datos del proceso pueden correlacionarse con los datos de las comunicaciones para proporcionar información procesable que sirva de base a los procedimientos de seguridad y reduzca el riesgo general.

Los recibos

El informe de SANS patrocinado por Nozomi Networks sobre el estado de la ciberseguridad ICS/OT en 2022 y más allá menciona que «los adversarios en las redes de infraestructuras críticas han ilustrado el conocimiento de los componentes de los sistemas de control, los protocolos industriales y las operaciones de ingeniería.» Otros informes de incidentes OT/ICS citan la «falta de familiaridad de los adversarios con el dominio OT». 2023 puede ser el año en que los adversarios demuestren una mayor capacidad para vigilar y modificar los sistemas OT e ICS en sectores críticos.

En todo el mundo, los gobiernos, las asociaciones público-privadas, los proveedores de seguros y las relaciones internacionales se muestran reticentes ante la importancia de proteger las infraestructuras críticas y crear resiliencia en los sectores industriales y las instalaciones hiperconectadas. En todo el mercado -desde la inteligencia competitiva hasta la innovación, pasando por los «bake-offs» en directo-, la confianza y la verificación son hoy más importantes que nunca para la ciberseguridad OT. Las partes interesadas en la ciberseguridad OT, preocupadas por la seguridad física, los impactos medioambientales, el suministro de bienes, servicios y recursos, la microeconomía y la macroeconomía, dirán «enséñame los recibos» en 2023.