En un entorno industrial cada vez más interconectado, el acceso remoto a ICS para controlar cualquier imprevisto en las instalaciones y reducir el tiempo de respuesta e inactividad se ha convertido en una "norma". No obstante, tras la optimización operativa surge una interrogante esencial: ¿Es posible garantizar la eficiencia operativa sin comprometer la seguridad?
Imagina la escena: la necesidad imperante de mantener operativos los sistemas y la tentadora solución del acceso remoto a ICS. Sin embargo, detrás de cada conexión se abre la posibilidad de un acceso no autorizado, una puerta franca para ciberdelincuentes que buscan evadir los controles físicos de las instalaciones.
A lo largo del tiempo, la implementación descuidada de estos accesos ha generado riesgos considerables para la seguridad cibernética empresarial. Por ello, es importante implementar soluciones y procedimientos que cumplan con los estándares y marcos normativos de seguridad.
Beneficios del Control Accesos Remotos
Implementar soluciones de acceso remoto seguros, conlleva una serie de beneficios a nivel de ciberseguridad:
- Contribuir a asegurar la continuidad del negocio, reduciendo el nivel de resiliencia frente a ciberataques.
- Disminuir la probabilidad de un ataque a través de la cadena de suministro.
- Mayor control y gestión de todas las vías de acceso a las redes de planta, facilitando la identificación de eventos de seguridad que pudieran estar produciéndose a través de ellas.
- Garantizar la confidencialidad en el flujo de comunicaciones.
- Cumplimiento del estándar de seguridad ISA/IEC 62443 y de los marcos normativos NIST y ENS.
Sistemas de accesos remotos OT
El acceso remoto a dispositivos de campo puede realizarse tanto desde la red corporativa como desde una red externa. Para asegurar un acceso remoto que cumpla con los rigurosos estándares de seguridad en ambos casos, el estándar ISA/IEC 62443 y los marcos normativos ENS y NIST requieren la implementación de una red privada virtual (VPN) y su configuración óptima, con el objetivo de restringir los accesos únicamente a lo esencial.
Para ello, existen soluciones específicas que proporcionan accesos remotos a entornos OT de manera segura, permitiendo un control preciso sobre qué puertos y aplicaciones se exponen hacia la red externa y qué usuarios tienen acceso. Ejemplos de estas soluciones son SinemaRC de SIEMENS o Forticlient de Fortinet.
Estas herramientas tienen en común la funcionalidad de establecer túneles, ya sea TLS o encapsulando el tráfico mediante HTTPS, entre el cliente que busca conectarse y el equipo remoto de la solución. Este túnel, configurado en sentido cliente-solución, simplifica la gestión en el firewall, ya que no es necesario habilitar conexiones entrantes, sino solo una conexión saliente a través de un puerto específico.
Estas soluciones también presentan otras funcionalidades como:
- Control de accesos basado en funciones (Políticas RBAC).
- Registro de los accesos realizados.
- Registro de los accesos realizados.
- Doble factor autenticación.
- Cifrado de datos.
- Soporte técnico remoto.
- …
No obstante, es crucial reconocer que el riesgo asociado con la instalación de un sistema de acceso remoto se incrementa proporcionalmente a la diversidad de conexiones que los sistemas pueden ofrecer. Para mitigar este riesgo, es necesario seguir un procedimiento que defina las características y límites que la red OT debe poseer, garantizando así un acceso remoto seguro para los empleados a los sistemas críticos.
Política de accesos remotos a SCI
Cuando se integran mecanismos de acceso remoto seguro, es fundamental implementar una política de seguridad para los accesos remotos de manera rigurosa y claramente definida que permitan mitigar posibles amenazas que podrían comprometer las redes internas de la empresa.
Un enfoque relajado o poco restrictivo de dicho procedimiento podría facilitar el acceso no autorizado de terceros, con consecuencias potencialmente devastadoras en caso de materializarse. Además, se añade el riesgo de que incidentes de seguridad en proveedores se expandan hacia nuestra infraestructura, dando pie a lo que se conoce como un ataque mediante la cadena de suministro.
Para abordar estas amenazas, es esencial que cualquier procedimiento de acceso remoto contemple, como mínimo, las siguientes medidas:
- Mecanismos de autenticación robustos. La importancia de los mecanismos de identificación y autenticación de los operarios en el acceso remoto es crucial, ya que la prioridad es evitar la suplantación de identidad. Estos mecanismos deben incluir medidas necesarias, como la limitación del número de intentos de acceso y el bloqueo de la cuenta del usuario durante un periodo de tiempo después de tres intentos fallidos.
- Gestión de los usuarios y roles (RBAC) de acceso a los SCI. Es esencial seguir una política precisa de gestión de usuarios, roles y permisos a los Sistemas de Control de la Información (SCI) en función de sus responsabilidades específicas, garantizando así que solo accedan a la información necesaria para llevar a cabo sus tareas asignadas de manera segura y eficiente.
- Política de contraseñas segura. La gestión eficiente de usuarios carecería de efectividad si la política de contraseñas utilizada no es adecuada. Por lo tanto, se requiere que los usuarios sigan una política de contraseñas que sea lo más robusta posible, evitando así posibles ataques de fuerza bruta.
- Protección de acceso lógico. Se deben definir los usuarios remotos y restringir su acceso solo a las zonas y equipos desde los cuales están destinados a operar. Para lograr esto, es esencial contar con una red segmentada y segregada, considerando la posibilidad de asignar roles y privilegios específicos a estos usuarios remotos.
Con una buena segmentación de red basada en el Modelo de Purdue, en el acceso remoto intervendrán los niveles de red 4 y 1, además de la red de intercambio de información (Demilitarized Zone, DMZ), por la que se accederá a la red industrial a través de las máquinas de salto.
- Mecanismos de monitorización de la red y de centralización de logs. Es recomendable registrar todas las actividades de acceso remoto asegurando la trazabilidad y transparencia necesarias para evaluar la seguridad del sistema y dar respuesta ante posibles incidencias en el acceso remoto (registros de inicio de sesión, cierre de sesión, cambios en la configuración…).
- Políticas de uso aceptable. Definir claramente lo que está permitido y lo que no lo está en términos de uso de recursos y datos durante las conexiones remotas.
Buenas prácticas durante la implantación de una solución de control accesos remotos
Para lograr una correcta y eficaz implementación de proyectos de acceso remoto hay que tener en cuenta aspectos fundamentales. Aquí se destacan algunas buenas prácticas que deben tenerse en cuenta:
- Inventario de proveedores. La colaboración con el personal de Áreas como Producción, Mantenimiento y Operación es esencial para identificar proveedores que necesiten acceso remoto. Se debe evaluar bajo qué circunstancias se requiere acceso, qué medios están empleando actualmente y la vigencia de los accesos remotos (anual, bianual, 24x7x365, 8x5, etc.),renovándolos de forma periódica.
- Inventario de dispositivos. Es importante disponer de un listado detallado de todos los dispositivos para definir aquellos que puedan emplearse para establecer acceso remoto.
- Red segmentada. Es muy común encontrarnos una red plana, en laque están incluidos todos los dispositivos de la empresa, sin ningún tipo desegregación en VLAN que separe los equipos por niveles de criticidad o de funcionalidad. Disponer de una red segmentada en zonas y conductos, asegura que un incidente en un equipo de baja criticidad no afecte a otro de mayor importancia.
- Infraestructura de seguridad adecuada. La carencia de elementos de seguridad, como firewalls, o configuraciones deficientes, como la falta de aislamiento entre redes TI y TO o la conexión directa a Internet de dispositivos SCI, los expone a ataques y accesos no deseados. La presencia de una infraestructura de seguridad robusta es esencial para implementar soluciones de acceso remoto adaptadas a las circunstancias específicas de cada cliente.
La respuesta a nuestra interrogante "¿Es posible garantizar la eficiencia operativa sin comprometer la seguridad?" es un rotundo sí. Como hemos constatado, alcanzar esta armonía requiere la aplicación meticulosa de medidas de seguridad, como una autenticación robusta y una segmentación de red estratégica. Este enfoque no solo asegura la integridad de las operaciones, sino que también construye un entorno industrial resiliente y eficiente en la era de la interconexión digital.
Contacta con nosotros para obtener más información sobre Ciberseguridad y como implantar soluciones de accesos remotos.
¿Te ha gustado?
Compártelo en redes sociales
