La gran oportunidad de los sistemas y máquinas conectados en red de forma inteligente reside en la personalización de los productos a las necesidades del mercado, la alta calidad y los bajos costes unitarios. Pero sobre todo un funcionamiento seguro y permanente, que es garantizado por una protección informática fiable. Para conseguirlo, los fabricantes, operadores y los proveedores de componentes deben colaborar. En este sentido, la instrumentación industrial busca la conformidad con la norma IEC 62443.
Más allá de los límites del ámbito particular, la Industria 4.0 requiere una cooperación intensiva entre los múltiples actores de las etapas productivas. Lo que ahora se ve como algo normal en nuestra vida privada, como por ejemplo: la banca on-line o pedir comida a domicilio, ahora también se utiliza de forma generalizada en la industria. Las máquinas, los sistemas y la logística digitales se comunican directamente entre sí y con las personas involucradas. La digitalización puede ayudar a que la producción sea más eficiente y rentable, pero cuanto más se extiende, más habituales y claros son los potenciales riesgos y peligros asociados a su uso. Está claro que ya no son solo las personas las que necesitan una buena protección frente a las máquinas, como describe ampliamente el estándar SIL. Sino que hoy en día, las máquinas también deben estar protegidas de las personas.
Dos tipos de seguridad
Es probable que muchos operadores de plantas, especialmente en el sector químico y petroquímico, ya conozcan el nivel de integridad de seguridad, conocido como SIL (Safety Integrity Level); Es más, puede que la norma correspondiente, IEC 61508, ya ha llegado a formar parte de su día a día. Dondequiera que un fallo pueda acarrear costes elevados o peligros para la integridad física o del entorno, el nivel de seguridad SIL evalúa las opciones para reducir el riesgo según la fuente de peligro. Sin embargo, a diferencia de la Directiva 2006/42/CE para equipos, que ya se aplica de manera generalizada, la seguridad informática en el entorno industrial es todavía un territorio inexplorado en muchos entornos. Antes, las áreas informatizadas, normalmente en las oficinas; estaban estrictamente separadas de las áreas de proceso. Pero debido a la creciente conexión en red de los dos sistemas, es casi imposible mantener dicho patrón hoy en día. Aunque sólo sea porque las máquinas utilizadas en el ámbito operativo o productivo tienen una vida útil mucho más larga que en la ofimática, vale la pena realizar evaluaciones de riesgos más exhaustivas y elaborar un concepto que puede conformar la base para unas medidas importantes en las próximas décadas.
Nuestra experiencia en la oficina nos enseña cómo conseguirlo
La vida cotidiana en la oficina nos enseña cuán importante es una protección cibernética efectiva: Se envían correos electrónicos, se intercambia información, datos, documentos, etc. Y las empresas se protegen cada vez más contra los ataques cibernéticos, sobre la base de la ya establecida ISO 27001 para las tecnologías de la información (IT). Sin embargo, la evaluación de las situaciones de riesgo no se puede extrapolar directamente al ámbito de las tecnologías de la operación (OT, por sus siglas en inglés). A diferencia de las oficinas, las plantas industriales funcionan de manera significativamente más compleja y en diferentes capas o niveles. La instrumentación de campo envía valores medidos a pasarelas y controladores, que a su vez envían información y valores a interfaces hombre-máquina. Todos los datos se agrupan en sistemas de producción y mantenimiento, desde donde finalmente se utilizan en el área ofimática. La tecnología operativa asociada, es en correspondencia altamente más compleja; ya que incluye todo el software y hardware que se utiliza para monitorizar y controlar los sistemas y las máquinas.
Mucho valor añadido y aún más riesgo
De forma similar a la situación en las oficinas, la llegada de las tecnologías digitales no solo conlleva un importante valor añadido, sino también riesgos. Con los complejos procesos en red y las cadenas de suministro, se generan constantemente enormes flujos de datos entrelazados con el flujo de materiales entre fabricantes, proveedores, proveedores de servicios y clientes. Esto significa que los ordenadores, las máquinas y la instrumentación de campo forman parte de la red y, por lo tanto, son más vulnerables a los ataques de ciberdelincuentes de todo tipo. Esto se aplica a todos los sectores y aplicaciones, porque los peligros no se detienen cuando se trata de empresas de tratamiento o suministro de agua, monitorización de tuberías, cargueros o silos de almacenamiento.
Dicha seguridad debe extenderse mucho más allá de la planta en sí. La instrumentación de campo incorporada, como los sensores de nivel o los instrumentos para medir la presión, también deben cumplir con los estándares de seguridad deseados. Es por eso que, el reto de un fabricante es: acompañar el desarrollo de la nueva instrumentación con la premisa de conseguir la seguridad en un entorno conectado y tomar medidas para conseguir la seguridad integral. No basta con adaptar un diseño existente para solucionar posibles brechas; para cumplir con las estrictas normas de ciberseguridad, los requisitos deben tenerse en cuenta desde el inicio del desarrollo, ya que implementarlos posteriormente es prácticamente imposible.
Para ello, primero se deben definir los requisitos de seguridad, tanto para el hardware, como para el software. Realizando un temprano y exhaustivo análisis de amenazas que sirva para identificar los posibles peligros y puntos débiles del diseño; de modo que se pudieran considerar e integrar las contramedidas más eficaces durante el desarrollo. Cada fase del desarrollo del producto no sólo se debe planificar cuidadosamente y evaluar su viabilidad, sino que también se debe documentar de forma comprensible. Para que por último, las pruebas y la posterior certificación del producto por un organismo independiente componen el paquete completo.
El resultado, la instrumentación de campo debe cumplir con la norma IEC 62443, que incluye funciones de seguridad de última generación y así poder ofrecer a los usuarios una base segura en cuanto redes protegidas contra ataques cibernéticos.
También es crucial, en un entorno tan cambiante, la rapidez con la que se implementan los aspectos de seguridad en la nueva instrumentación de campo. Se debe tener en cuenta que, por ejemplo, hoy en día la instrumentación de campo funciona en áreas abiertas que necesitan ser operadas con la máxima seguridad. Es aquí, donde toma importancia la seguridad en los puntos de transferencia; para que los valores de medida puedan ser controlados luego a nivel cibernético”.
La instrumentación de campo con seguridad 4.0 y conforme con la IEC 62443 debe estar equipada con los más diversos tipos de ataque. Protegiendo contra escenarios como la “infiltración no autorizada en la comunicación”. También deben cubrir la manipulación de la información o el ataque a la funcionabilidad de todo el sistema. En general, hay tres ámbitos que merecen ser protegidos en un sistema holístico:
• confidencialidad de los datos,
• integridad del sistema y de todos los participantes,
• y la alta disponibilidad del mismo.
En un mundo digital tan cambiante como en el que se trabaja actualmente, es de igual importancia el diseño para una instrumentación segura, como también lo es estar al día con las amenazas cambiantes del entorno. Para poder reaccionar de forma proactiva ante futuros cambios y desafíos, un equipo interno multidisciplinar del fabricante, el PSIRT (Product Security Incident Response); acompaña a los sensores y sus usuarios en aplicaciones reales. El equipo debe abordar las deficiencias de seguridad informática, encontrar y cerrar las brechas y revisar los problemas reportados. En la práctica, su evaluación de las nuevas amenazas se debe traducir no sólo en actualizaciones, sino también en avisos e información importante para todos los implicados. Los usuarios pueden estar seguros de que con cada instrumento que cumple con IEC 62443, están utilizando un sensor que está protegido según los últimos hallazgos.
