Por Michael T. Lester
Los fabricantes, las empresas de servicios generales y los operadores de infraestructura crítica se enfrentan a las amenazas de ciberseguridad cada vez más sofisticadas. Los ataques están evolucionando de manera constante, ya que las tecnologías avanzadas y el malware proporcionan nuevas capacidades de ataque para amenazar a los actores.
La principal motivación para los ciberataques sigue siendo el beneficio económico, pero los agentes del estado están cada vez más implicados y cada vez hay más ataques orientados al espacio de control industrial por parte de varios actores de amenazas.
La ciberseguridad eficaz requiere estar al día ante las últimas amenazas, realizar un inventario de los activos en tiempo real, mejorar la capacidad de detección de amenazas, garantizar que los equipos y dispositivos cuenten con las últimas medidas de defensa, revisar y actualizar los sistemas y mejorar las capacidades de respuesta ante incidentes. Además, las políticas y los procedimientos y la capacitación periódica de la fuerza laboral son todos aspectos claves de ciberseguridad que se deben implementar para proteger los sistemas críticos siguiendo un enfoque basado en el riesgo.
Para los fabricantes que buscan liberar el potencial de la Internet industrial de las cosas (IIoT), la ciberseguridad es una preocupación importante. La necesidad de una ciberseguridad eficaz es conocida, pero no hay una gran comprensión sobre la materia dentro de la industria. El diseño y la implementación de la tecnología IIoT requieren nuevas habilidades y experiencia en ciberseguridad. Las nuevas soluciones pueden introducir nuevos vectores de amenaza si no se implementan y se mantienen de manera segura.
Identificamos las vulnerabilidades
Dentro de la fabricación, las soluciones de ingeniería con mayores costos de capital crean reticencias a la hora de actualizar los sistemas y un ritmo de cambio lento. Los sistemas obsoletos que no están actualizados o bien protegidos con un enfoque de defensa en profundidad son los más vulnerables.
Para los fabricantes que buscan liberar el potencial de la Internet industrial de las cosas (IIoT), la ciberseguridad es una preocupación importante
Los usuarios deben priorizar las acciones que llevarán a cabo en respuesta a las amenazas y los ataques identificados, y crear un plan para esas acciones. Esto incluye la implementación y la prueba regular de la respuesta a los incidentes y los planes de respaldo o recuperación para todas las personas, procesos y tecnologías de su organización durante el ciclo de vida de cada uno. Incluso algo sencillo, como la administración de las cuentas de usuario, debe abordar el ciclo de vida de cada usuario, desde que se le autoriza por primera vez hasta que abandona la organización.
Existe una creciente necesidad de colaboración entre las partes interesadas de la tecnología de la información (TI) y de la tecnología operativa (TO) para implementar nuevos sistemas y servicios que ayuden a la transformación digital de la organización. En el desarrollo de una estrategia de ciberseguridad, las partes interesadas de TI y TO deben comprender las fortalezas de cada uno y cómo lograr los objetivos comerciales mientras se mantienen los niveles más altos de seguridad.
Cada experiencia aporta algo diferente, ya que la TI aporta un proceso muy estandarizado y la TO ofrece una solución más diseñada. Los objetivos de ambas partes interesadas deben revisarse y cumplir con los requisitos establecidos para evitar vacíos y riesgos para las operaciones. Los proveedores de automatización pueden lograr una implementación segura de los sistemas de manera más exitosa al proporcionar una gama de controles de seguridad, procedimientos y servicios que mejoran la seguridad del sistema y ayudan a los usuarios finales a priorizar las evaluaciones de ciberseguridad.
Las organizaciones deben considerar la ciberseguridad durante la ingeniería y el diseño de un proyecto de sistema de control. Con demasiada frecuencia, las defensas de ciberseguridad se agregan más adelante y esto resulta más costoso y casi nunca es tan efectivo como incorporar la ciberseguridad en el proyecto. Esto se conoce como el concepto “Desplazamiento a la izquierda” (Shift Left). La seguridad por diseño, combinada con un análisis adecuado de los riesgos cibernéticos, debe incluir una revisión de las características y los controles para garantizar su efectividad frente al creciente panorama de las ciberamenazas.
Para respaldar la justificación comercial de una iniciativa de ciberseguridad, las evaluaciones se pueden utilizar como una métrica de reducción de riesgos que represente el progreso de las iniciativas cibernéticas implementadas hasta el momento y la protección potencial que ofrece la implementación de protecciones cibernéticas adicionales. Una buena manera de justificar las capacidades de ciberseguridad puede ser a través del concepto “Desplazamiento a la izquierda”, donde cada euro de la seguridad proactiva gastado equivale a más de 60 euros de seguridad reactiva.
Si se produce un ataque, la mejor manera de resolverlo es contar con un plan de respuesta de incidentes bien documentado y practicado. En pocas palabras, resolver un ataque no resulta bien sin elementos de ciberseguridad, controles y un plan bien diseñado.
Un problema cultural
Cuando la ciberseguridad no forma parte de la cultura de una organización, su personal crea un importante riesgo en el ciberespacio a través de acciones accidentales que ocasionan vulnerabilidades. Una cultura de ciberseguridad generalizada reduce el riesgo de las amenazas externas e internas. El personal de capacitación en nuevas tecnologías y ciberseguridad relacionada ayuda a crear una cultura de ciberseguridad.
En pocas palabras, resolver un ataque no resulta bien sin elementos de ciberseguridad, controles y un plan bien diseñado
Es fundamental crear oportunidades de capacitación para que los empleados aumenten sus competencias en tecnología y ciberseguridad. El perfeccionamiento puede llevar mucho tiempo, pero educar al personal para que acepten de manera consciente la responsabilidad de la ciberseguridad es un buen primer paso. Si la ciberseguridad ya no es responsabilidad de otros, las personas harán naturalmente muchas más preguntas y trabajarán con los expertos para evitar consecuencias involuntarias.
La ciberseguridad requiere más que solo tecnología. La ciberseguridad requiere un cambio de comportamiento y de cultura. Una comprensión profunda en toda la organización del “porqué” y el “cómo” de la ciberseguridad es fundamental para impulsar un cambio de comportamiento significativo. Por lo tanto, es importante construir una cultura de ciberseguridad que abarque a las personas, los procesos y la tecnología.
Explore las ideas transformadoras, la inspiración y los conocimientos de los líderes de Emerson en la automatización industrial, la comodidad para el hogar y mucho más.
