Seguritecnia 396

SEGURITECNIA Abril 2013 23 Ciberseguridad e Infraestructuras Críticas P ara asegurar los servicios esen- ciales a la población es impres- cindible contar con un sólido modelo de gestión de incidentes en in- fraestructuras críticas, un patrón que se abordó en la segunda parte de la Jor- nada sobre Ciberseguridad e IC. Alberto López, gerente de Operacio- nes del Instituto Nacional de Tecnolo- gías de la Comunicación (Inteco), hizo un breve resumen sobre la historia de los Sistema de Control Industrial (SCI), también conocidos por el acrónimo SCADA ( Supervisory Control And Data Acquisition ), destacando las etapas más significativas: desde las mediciones lo- cales que hacían los operadores de los dispositivos mecánicos sin transmisión de datos, mano a mano con el proceso; pasando por la década de los 50, en la que los sistemas evolucionan hacia ma- yor capacidad de producción, aumento de tamaño y gran complejidad y fiabili- dad; hasta los años 60 y 70, en los que comenzó el uso de microcontroladores y microprocesadores que permitían sis- temas en tiempo real. Actualmente, la generalización de Sis- temas de Control Industrial, la conexión con los procesos de negocio y el vín- culo directo con Internet, junto a la me- nos frecuente y no tan ágil renovación del hardware y software de los SCI y la priorización tradicional por la disponi- bilidad del servicio en detrimento de la integridad y la confidencialidad del mismo, hacen que nos encontremos con un panorama y un grado de ma- durez que no son los deseables, según contó este experto. ¿Somos conscientes del peligro? Así pues, se observan cuestiones tan graves como que “no todas las organi- zaciones son conscientes de que tienen un sistema SCADA”; o que “éstos son vulnerables y están expuestos al exte- rior ya no son sistemas aislados y les afectan las vulnerabilidades TIC; y ahora tienen que tener en cuenta tanto los as- pectos de Security como los de Safety ”, comentó Alberto López. En marzo de 2012, Inteco llevó a cabo el “Estudio sobre la seguridad de los sis- temas de monitorización y control de procesos e infraestructuras (SCADA)”, a través del cual se evidenciaron las cau- sas principales de los incidentes de se- guridad en los SCI, tales como: exceso de confianza en la seguridad por oscuri- dad, minimización de la percepción de riesgos y amenazas, ampliación de visi- bilidad, ausencia de concienciación del personal, interconexión de los SCADA con redes externas, uso de tecnologías de propósito general, generalización y expansión del uso de sistemas de mo- nitorización y control, escasa evolución, configuraciones por defecto o arquitec- turas de red poco seguras. El gerente de Operaciones de Inteco hizo también alusión al “ ICS-CERT In- cident Response Summary Report 2009- 2011 ”, que realiza el Equipo de Respuesta a Emergencias Cibernéticas del Sistema de Control Industrial (ICS-CERT) del De- partamento de Seguridad Nacional de Estados Unidos (EEUU) y que muestra la evolución de este tipo de incidentes re- portados, según sectores empresaria- les. El estudio indica que en 2009 solo hubo nueve incidentes, siendo los sec- tores del agua y de la energía los ob- jetivos prioritarios (con tres -un 34 por ciento- y tres -un 33 por ciento, res- pectivamente). En 2010, la cantidad au- menta a 41 percances, ocupando un MODELO DE GESTIÓN DE INCIDENTES EN IC Y CASO PRÁCTICO Cooperación y colaboración internacional, claves en la gestión de un incidente