Cuando un riesgo digital se convierte en un riesgo físico
La digitalización de la industria ha transformado completamente la manera en que diseñamos, operamos y mantenemos las máquinas.
PLC, HMI, variadores, robots, servomotores, switches industriales, sistemas de mantenimiento remoto, herramientas de ingeniería, redes Ethernet o protocolos OT forman hoy parte habitual de cualquier instalación industrial.
Esta conectividad aporta enormes ventajas operativas. Pero también introduce un nuevo tipo de riesgo.
¿Qué ocurre si una alteración digital modifica el comportamiento físico de una máquina?
En un entorno industrial, un problema de ciberseguridad ya no implica únicamente la pérdida de información o el acceso no autorizado a una red. Puede afectar directamente a las funciones de control, supervisión, diagnóstico, mantenimiento o incluso a las funciones relacionadas con la seguridad de la máquina.
Por eso, cuando hablamos de ciberseguridad en máquinas industriales, hay una idea que cada vez adquiere más importancia:
Riesgo digital = riesgo físico.
Tradicionalmente, la ciberseguridad se ha asociado sobre todo a los entornos IT.
En estos sistemas, el objetivo suele ser proteger la información, los datos y la disponibilidad de los servicios.
En un entorno OT —Operational Technology— las consecuencias pueden ser muy diferentes.
Una intrusión o una modificación no autorizada puede provocar:
- alteraciones de la lógica de un PLC;
- modificaciones de los parámetros de un proceso;
- interrupciones de las comunicaciones industriales;
- ejecución de órdenes no previstas;
- pérdida de disponibilidad de una función de control;
- inhabilitación de alarmas o enclavamientos;
- afectación de funciones relacionadas con la seguridad.
Es decir, una vulnerabilidad digital puede acabar provocando una situación peligrosa en el mundo físico.
Imaginemos, por ejemplo, que un acceso no autorizado permite modificar la velocidad de una cinta transportadora, tomar el control de un robot o alterar una configuración que afecta a una función de seguridad.
En ese momento, el problema deja de ser exclusivamente informático.
Pasa a ser también un problema de seguridad de la máquina.
¿Por qué la ciberseguridad entra en la seguridad de máquinas?
El Reglamento (UE) 2023/1230 de máquinas incorpora explícitamente los riesgos asociados a los sistemas digitales.
Esto obliga a fabricantes, integradores y otros agentes que intervienen sobre las máquinas a considerar también aquellas amenazas digitales que pueden comprometer el comportamiento seguro del equipo.
Para abordar esta problemática aparecen dos referencias especialmente relevantes: EN 50742 e IEC 62443.
EN 50742: ciberseguridad y seguridad de las máquinas
La EN 50742 está orientada específicamente a la relación entre ciberseguridad y seguridad de las máquinas.
Su planteamiento parte de una pregunta esencial:
¿Una conexión, una modificación de software o una intervención no autorizada puede afectar a una medida de reducción del riesgo de la máquina?
Si la respuesta es afirmativa, es necesario establecer un nivel de protección adecuado y aplicar requisitos técnicos proporcionados.
IEC 62443: ciberseguridad de los sistemas de control industrial
La IEC 62443 es una familia de normas enfocada a la ciberseguridad de los Industrial Automation and Control Systems (IACS).
Su aplicación es mucho más amplia y proporciona una metodología para estructurar el análisis de ciberseguridad industrial.
Entre otros aspectos, permite trabajar sobre:
- definición del sistema que se va a evaluar;
- inventario de activos;
- zonas y conductos;
- evaluación de riesgos;
- Security Levels;
- requisitos técnicos de los sistemas;
- requisitos aplicables a los componentes;
- desarrollo seguro;
- políticas de seguridad de las organizaciones y proveedores.
La familia IEC 62443 incluye diferentes partes en función del objeto de la evaluación, desde la metodología de análisis de riesgos hasta los requisitos técnicos de los sistemas y componentes.
El primer paso en ciberseguridad industrial: definir qué estamos protegiendo
Antes de analizar vulnerabilidades, puertos, usuarios o protocolos, debemos responder a una pregunta mucho más básica:
¿Dónde empieza y dónde termina el sistema que queremos proteger?
En IEC 62443 se trabaja con el concepto de SUC —System Under Consideration—.
El SUC engloba los activos de hardware, software, redes y comunicaciones que forman parte del sistema analizado o que pueden influir en su comportamiento seguro.
Este punto es especialmente importante.
Una máquina puede tener físicamente un perímetro muy claro, pero digitalmente estar conectada con:
- un servidor externo;
- una pasarela de mantenimiento;
- una red corporativa;
- una herramienta de ingeniería;
- un sistema de supervisión;
- servicios remotos del fabricante.
Por tanto, antes de realizar cualquier análisis se debe determinar correctamente el límite del SUC.
Identificar todos los activos de la máquina
Una vez delimitado el sistema, el siguiente paso consiste en identificar sus activos.
Un activo puede ser cualquier elemento digital capaz de influir sobre el comportamiento del equipo o constituir un punto de acceso.
Por ejemplo:
- PLC;
- Safety PLC;
- HMI;
- robots;
- variadores;
- IPC;
- switches;
- pasarelas;
- sistemas remotos;
- herramientas de ingeniería;
- firmware;
- software;
- configuraciones.
Disponer de un inventario completo de activos es fundamental.
Si no sabemos exactamente qué dispositivos forman parte del sistema, difícilmente podremos determinar qué vulnerabilidades, servicios o puntos de acceso existen.
Zonas y conductos: segmentar la red industrial para proteger
En instalaciones sencillas, el SUC puede considerarse una única zona.
En líneas de producción más complejas, sin embargo, puede resultar interesante dividir la arquitectura en varias zonas.
Una zona agrupa activos con funciones o requisitos de seguridad similares.
Imaginemos una línea formada por cuatro procesos:
llenado → taponado → etiquetado → paletizado
Los cuatro pueden formar parte de un mismo SUC, pero no necesariamente presentan la misma exposición digital ni las mismas consecuencias ante una manipulación.
Por ello, podría resultar conveniente establecer diferentes zonas y asignar requisitos específicos a cada una.
¿Y cómo se comunican las zonas?
Mediante conductos o conduits.
Un conducto no es simplemente un cable.
Puede incluir:
- firewall;
- VLAN;
- VPN;
- reglas ACL;
- protocolos autorizados;
- puertos;
- restricciones de tráfico.
Esta arquitectura permite controlar de manera mucho más precisa quién se comunica con quién y para qué.
Las superficies de ataque de una máquina no son solo digitales
Uno de los errores más frecuentes consiste en analizar únicamente las conexiones de red.
La superficie de ataque también puede ser física.
Algunos ejemplos:
- un puerto USB accesible;
- un conector RJ45 libre;
- un armario eléctrico sin control de acceso;
- una HMI sin protección adecuada;
- un puerto de programación expuesto.
Digitalmente también podemos encontrar servicios que amplían esta superficie:
- servidores web;
- OPC UA;
- FTP;
- SNMP;
- Modbus/TCP;
- protocolos de programación;
- APIs;
- accesos remotos.
Cuantos más servicios e interfaces existan, más importante será determinar si realmente son necesarios.
Firmware, software y vulnerabilidades
Otro punto fundamental es conocer las versiones de firmware y software instaladas.
A medida que pasa el tiempo pueden aparecer vulnerabilidades conocidas sobre determinados dispositivos o versiones.
Por ello, una parte de la evaluación consiste en identificar:
equipo → fabricante → modelo → firmware → software → servicios activos
y comprobar si el estado del sistema es adecuado.
El principio es sencillo:
un servicio que no se necesita no debería estar expuesto.
Y un sistema que necesita estar disponible debe disponer de una estrategia adecuada de mantenimiento y actualización.
Usuarios, permisos y contraseñas en entornos OT
Una contraseña débil puede anular muchas de las demás medidas de protección.
Por ello, es necesario definir:
- usuarios individuales;
- roles;
- permisos;
- credenciales robustas;
- separación entre operador, mantenimiento y administración.
No todo el mundo necesita poder modificar los mismos parámetros.
El principio que debemos aplicar es el de mínimo privilegio: cada usuario solo debe poder ejecutar las acciones estrictamente necesarias para desarrollar su función.
En determinados sistemas también puede ser conveniente implementar mecanismos como MFA, certificados u otros sistemas de autenticación reforzada.
Sin logs, un incidente de ciberseguridad puede pasar desapercibido
Proteger el sistema es importante.
Pero también lo es saber qué ha ocurrido si algo falla.
La monitorización y los registros permiten conocer:
- quién ha accedido;
- cuándo lo ha hecho;
- qué configuraciones han cambiado;
- qué intentos de acceso se han producido;
- si un evento podría haber afectado a la seguridad funcional.
Por ello, los principales componentes del sistema deberían generar y conservar evidencias suficientes de los eventos relevantes.
De la evaluación de ciberseguridad industrial a las medidas correctoras
El objetivo de una evaluación de ciberseguridad industrial no es simplemente elaborar una lista de vulnerabilidades.
El objetivo es determinar qué debemos hacer para reducir el riesgo.
Imaginemos una máquina conectada a una red externa sin un control efectivo del tráfico entrante.
Una posible estrategia de mejora podría incluir:
- Definir claramente la frontera del SUC.
- Implantar un firewall industrial, ACL o mecanismo equivalente.
- Aplicar una política deny by default.
- Crear una whitelist de comunicaciones necesarias.
- Separar la máquina mediante VLAN o subred.
- Bloquear servicios innecesarios.
- Registrar los intentos de conexión no autorizados.
- Documentar y verificar la configuración aplicada.
Y, tan importante como implementar estas medidas, es generar evidencias que permitan justificarlas.
Por ejemplo:
- diagramas de red;
- inventarios de activos;
- definición de zonas y conductos;
- listados de flujos autorizados;
- configuraciones de firewall;
- resultados de pruebas;
- registros de eventos.
La ciberseguridad ya forma parte de la seguridad de máquinas
La industria continuará avanzando hacia sistemas más conectados.
Mantenimiento remoto, IIoT, sistemas de supervisión, integración con redes corporativas y nuevos servicios digitales aportan enormes posibilidades, pero también hacen que la frontera entre seguridad funcional y ciberseguridad sea cada vez más estrecha.
Por ello, analizar una máquina únicamente desde el punto de vista mecánico o eléctrico ya no siempre es suficiente.
Debemos entender también:
qué está conectado, quién puede acceder, qué puede modificar y qué consecuencias podría tener esa modificación.
En definitiva, la cuestión no es solo evitar que alguien acceda a una máquina.
La cuestión es asegurar que ninguna alteración digital pueda comprometer su comportamiento seguro.
Y probablemente este será uno de los cambios de mentalidad más importantes que tendremos que asumir en seguridad de máquinas durante los próximos años.
