El próximo viernes día 25, la Asociación de Seguridad Informática EuskalHackorganiza el evento “Euskalhack & Beers” donde podrás conocer de primera mano el desarrollo del plan de actividades de nuestra asociación, además contaremos con tres reconocidos profesionales que expondrán sus investigaciones y avances en diversas materias. Como veréis lo digo en plural ya que desde el día 18 de este mes, formo parte de ella.
El programa será:
[17.10] Recepción de Asistentes
[17.30] Conoce nuestro plan de actividades 2016/2017 – EuskalHack
[18.00] Networking
[18:15] Ponencia: SCAPate de Nessus – Jose Luis Flores (Staff Member)
[19.00] Networking
[19.15] Ponencia: Sense Deception- Fernando Braquehais y Xabier Eizmendi (CounterCraft)
[20.00] Cierre
Es un evento gratuito, pero que requiere registro. Lo puedes hacer desde aquí.
Como repaso os dejo la crónica del primer Congreso que se celebró allá por el mes de junio y que comprobaréis hubo ponentes de primerísimo nivel.
El segundo día comenzó con la ponencia de José Valiente sobre “Resiliencia Tecnológica Industrial 4.0 ” . Lamentablemente no pudimos llegar a tiempo con lo que nada os puedo resumir al respecto.
09:45 – 10:15
A continuación el espacio estaba reservado para Jose Luis Laguna(SE Manager, Fortinet) exponiendo un caso de éxito en un entorno industrial. El mismo fue la implementación de las distintas medidas de seguridad en el entorno de producción de furgonetas de la fábrica que Mercedes-Benz tiene en la ciudad de Vitoria. El ponente fue Jon Bueno Mendieta, persona que lideró el proyecto junto con la colaboración de Edorta Echave, creador de este espacio Web y Consultor de Ciberseguridad Industrial en la empresa GrupoCMC (Congnicase Management Group). Pues sí, en esto hemos estado trabajando (y seguimos en ello) en este último año y medio.
Jon comenzó con presentación dando una visión global proyecto indicando los principales puntos sobre los cuales se basaría su charla, como son:
Disponibilidad de la red OT
Soluciones técnicas implementadas
Roles y Procesos
Conclusiones
Haciendo un repaso sobre lo anterior, se comentó las diferencias entre el mundo IT y OT, y las distintas prioridades desde la visión de proteger la confidencialidad, integridad y disponibilidad; frente a disponibilidad, integridad y confidencialidad.
A continuación, se centró en las soluciones implementadas a nivel de Infraestructura (Separación y Segmentación), Técnicas (Bastionado de Sistemas, Cifrado en las Comunicaciones, Monitorización, Antivirus, etc.) y Operaciones (Definición de nuevas figuras dentro del organigrama de la empresa como Gestores de Activos, Incidencias, Vulnerabilidades, etc.).
Para finalizar ,citó aquellos aspectos clave dentro del desarrollo del proyecto, como pueden ser:
Creación de un solo equipo de trabajo.
Elegir las herramientas más adecuadas para ser administradas.
Análisis GAP objetivo.
Supervisión de la actividad y soluciones implementadas.
10:15 – 10:45
La siguiente ponencia vino de la mano de Edgard Capdevielle (Executive Advisor, Nozomi Networks) con el título “Ciberseguridad y monitorización de redes industriales requieren un enfoque de proceso”.
Aquí Edgard Capdevielle nos presentaba la herramienta de Nozomi Networks, SCADA Guardian. Se trata de una solución de monitorización y protección no intrusiva que, gracias a las capacidades de descubrimiento, aprendizaje de los activos y comportamiento de la red, permite la detección de amenazas y ataques en entornos Industriales. Puesto que cada entorno es único, debido a la generación de reglas de seguridad basadas en el proceso a proteger, permite adaptarse a cada circunstancia por muy concreta que sea.
Comienza haciendo un repaso de una serie de incidentes y de cómo en algunos casos el despliegue de soluciones IT en entornos OT nos son eficaces y cómo se protegen las instalaciones industriales abogando por el entendimiento de ambos mundos. La herramienta facilita esta tarea permitiendo identificar tráficos, comportamientos en la red, comunicaciones generadas por dispositivos industriales, procesos, entre otros.
Puesto que no sólo basta la detección, también SCADA Guardian see integra con SIEMs o sistemas como SPLUNK, HP ARCSight, etc. o incluso tomar medidas sobre dispositivos Fortinet como bloquear un cierto tipo de tráfico determinado. El hecho de que sea una herramienta no intrusiva facilita enormemente el despliegue consiguiéndose con la simple configuración de uno, o varios, puertos espejo. Claro está teniendo en cuenta la particularidad de estas configuraciones.
10:45 – 11:15
Llega el turno de María Pilar Torres (Directora de Ciberseguridad, Everis Aeroespacial y Defensa) bajo el título “La ciberseguridad industrial de punto a punto: un ejemplo práctico”.
El caso estaba enfocado en el ámbito energético donde bajo su punto de vista detectaban dos dimensiones:
Dimensión tecnológica, Medidas Técnicas.
Dimensión organizativa, Roles y Procesos.
Para implementar un plan de securización se ha de entender muy bien la actividad de la empresa y los procesos en los que se basa. Cuando les llega un un nuevo proyecto se realizan dos preguntas en cada una de las fases del proceso, como son:
Problemas identificados, ¿qué haría para corregir los problemas?
Posibles soluciones, ¿qué van a hacer realmente?
Cómo podemos comprobar una vez más de la teoría a la práctica, hay un trecho.
Se pone ejemplo en la generación, transmisión, distribución y control energético eléctrico y de los riesgos existentes en cada uno de los procesos, como son acceso físico a las instalaciones, acceso a los PLC que regulan la carga en la red eléctrica en función de la oferta y la demanda, contadores vulnerables, protocolos inseguros, monitorización remota, etc. También como no, contadores de agua. Se defiende la idea que no sólo es necesario implementar las medidas, hay que darle una continuidad por lo que resulta necesario hacer auditorías para conocer el estado de la seguridad. A veces se habla de separar redes, pero no de las medidas a adoptar para que éstas dejen de ser menos vulnerables y de los escrupuloso que hay que ser en la gestión y control de activos. Si no controlamos lo que tenemos conectado a nuestra red, no podemos protegerla.
Finalmente, el aprendizaje es esencial para la mejora. Como existe un desconocimiento en primera instancia, a medida que se genera ese conocimiento/estudio de forma progresiva se va avanzando en la construcción de soluciones más convergentes.
12:00 – 12:30
El siguiente turno fue el de Patrick Miller (Managing Partner,Archer Energy Solutions) con “Unicornios, Compartir información, Inteligencia de amenazas y otros mitos”.
Aquí el discurso se centra en compartir información como medio para hacer frente a las amenazas. Para ello comienza haciendo un paralelismo indicando que los datos es dinero y por tanto tus datos te convierten en un banco. Dada esta situación, y el entorno que nos rodea, los adversarios tienen 3 “cosas” que tú no puedes tener, como tiempo, medios y mayor capacidad. Las medidas disponibles para protegerte también pueden llegar a ser hackeables y por tanto vulnerables, por tanto, con los problemas a los que se enfrenta el usuario y las empresas, los datos pueden ser comprometidos. Así que otra de las acciones a tomar es compartir información ya que puedes trasladar tus problemas y, de forma conjunta, tomar medidas. Tu eres tu propia “policía”, tienes que protegerte de tus “chicos malos”.
Esta información debe ser monitorizada y analizada para poder ser compartida entre las herramienta de análisis. Sin embargo compartir genera una preocupación ya que no sabes hasta qué punto ese el valor puede ser utilizado y para qué. Aquí rasaltar esta importante afirmación, “El valor de la información es inversamente proporcional a la distribución” y es que la buena información, la relevante para muchos casos , no se distribuye.
Get connectres, relationships + Trust = Sharing
En resumen, bajo su punto de vista se ha de compartir información con la gente correcta a través de canales correctos. Compartir genera un conocimiento sobre la inteligencia de las amenazas en la que se ha de contribuir de forma individual para un resultado conjunto.
12:30 – 13:00
Siguiendo con las ponencias llega el turno de Enrique Martín (Industrial Cyber Security & CIP Solutions Business Development,S21SEC) con “Árboles cayendo en redes de control industrial”.
Aquí Enrique compara el estado de la Industria 4.0 como si fuera un bosque y por tanto cuando cae una rama en el bosque, ¿hace ruido? Pues bien la idea a perseguir sería, si se da un incidente de seguridad en nuestras instalaciones de “Industria 4.0” y no lo “oímos”, ¿hace ruido? ¿nos enteramos? La industria ha evolucionado, la ciberseguridad no tanto.
Hasta ahora las fuentes de ruido (orígenes de problemas) han sido servidores, configuraciones, vulnerabilidades y usuarios e identidades. Sin embargo debemos de considerar también los dispositivos de seguridad, actividad de la red, actividad sobre datos y aplicaciones. Por tanto no existe una correlación de eventos, logs, flujos, reputación, etc. ni una detección de anomalías en la activiad de usuario, BBDD, aplicaciones, red, entre otros.
Es necesario como apuntaba Edgard Capdevielle de Nozomi Networks, realizar un análisis del comportamiento de la red. Enrique comenta algunas soluciones libres para llegar finalmente a la herramienta Silent Defense ICS de Security Matters.
14:30 – 15:00
Aquí Oscar Lage (Responsable de Ciberseguridad,Tecnalia) y Ander Juaristi (Researcher) sobre “La seguridad en IEDs: lecciones aprendidas”expusieron los sistemas de cifrado para dispositivos de industriales explicando los pros y contras de la criptografía simétrica, asimétrica, certificados digitales.
Hicieron un repaso de las alternativas actuales y la manera de funcionamiento, viendo cómo impactan en los sistemas sobre los que se implantan. Por mi formación, se me escaparon muchas cuestiones en cuanto al aspecto matemático del asunto pero, considero que era una ponencia muy interesante para aquél que sí comprendiese estos puntos. El cifrado es un elemento más en la cadena de seguridad, y cuanto más a bajo nivel se implemente más efectivo será, sin penalizar en el rendimiento computacional del dispositivo. En concreto se centraron en la aplicabilidad en la industria energética. Algunos términos citados:
HORS
TV-HORS
HORST
SPHINCS
15:00 – 15:30
Unos de los patrocinadores del evento era Karspersky y de la mano de Matvey Voytov (Head of product marketing, Kaspersky Lab) hicieron su presentación “Arquitectura de seguridad adaptativa para ICS”.
Dicha arquitectura la basa en el modelo que presenta Gartner sobre 4 principios, los cuales se subdividen en otros apartados, como son:
Predecir
Inteligencia sobre amenazas.
Intercambio de información sobre incidentes.
Conocer tu organización.
Formación y adquisición de conocimiento.
Prevenir
Diferenciar entre protección IT y OT.
Considerar las amenazas internas.
Los Ingenieros industriales no tienen conciencia de ciberseguridad.
Aumentar la cultura de ciberseguridad.
Detectar
Las amenazas no tienen que venir necesariamente por malware.
Monitorización de la red para la detección de anomalías.
Escaneos periódicos controlados.
Realización de auditorías.
Responder
Respuestas ante incidentes específicos de ICS.
Personal en SOC especializados en sistemas industriales.
Planes de respuesta definidos dentro de la organización.
Finalmente, como conclusión apunta tres medidas a partir de las cuales implementar los planes de seguridad de manera efectiva. Estas son:
Implementar herramientas de monitorización y detección de amenazas y anomalías.
Incorporar personal con formación específica de Ciberseguridad en entornos industriales para que se puedan desplegar soluciones técnicas concretas.
Las amenazas pueden venir de dentro, no necesariamente puede venir de fuera.
Según su punto de vista, el camino correcto es Personal – Tecnologías concretas – Procesos
16:00 – 16:30
Tras una pausa café, Milka Kaneva (Cyber Security Manager EMEA, Darktrace) presentó ”El sistema Inmunológica Industrial: Usando el aprendizaje automático en la seguridad de ICS como solución para la próxima generación”.
Milka, presentó la solución de DarkTrace específica para sistemas ICS. De origen inglés, ofrece una herramienta de análisis de tráfico basado en algoritmos matemáticos con el fin de detectar de forma temprana anomalías en la red. Como en otras ponencias similares, se instala en el “Core” de la red” a un puerto espejo y en un plazo de 7 a 10 días puede detectar las anomalías en la red. A partir de ahí, crea un modelo de comportamiento de usuarios y equipos en base a los criterios matemáticos. Entre sus características:
Autoaprendizaje.
Detecta amenazas internas y externas.
Tiempo real.
100% visibilidad.
Reproducir el tráfico capturado.
Más tarde presenta casos de usos y éxito de sus clientes. Como podemos comprobar es una herramienta similar a la presentada por Nozomi y SecurityMatters.
16:30 – 17:00
Así llegamos a la penúltima ponencia esta vez de la mano de Karsten Schneider (Chairman,PROFIBUS & PROFINET International) con “Ciberseguridad en redes PROFINET -habilitador de Industria 4.0”.
En este caso el ponente comenzó con una presentación de lo que significa la Industria 4.0, dando pinceladas generales de lo que implica:
Personas, máquinas, dispositivos y sistemas cooperan y se comunican entre sí.
Se combinan métodos de producción con tecnologías de información.
Procesos de producción y logísticas son integrados de forma inteligente.
Extracción de datos para posterior analítica.
Nuevos modelos de negocio y tecnologías de producción.
Existen multitud de fabricantes y protocolos propietarios pero que hay que promover el uso de standars de comunicaciones tipo Profinet, Profibus e IO-LINK.
En cualquiera de los casos es necesario un medio a través del cual poder comunicar los dispositivos, soporte remoto, y a partir de ahí desarrollar lo que la Industria 4.0 demanda. Aquí se defiende la posición del protocolo PROFINET. Llegará un momento en los que no se hable de mili, sino de microsegundos. Una solución de seguridad en un entorno industrial tiene que alcanzar todos los niveles, seguridad física, de red e integridad de sistemas.
Se abordan las características actuales:
Equipamiento de más de 30 años.
Buses de campo.
Pérdida de conocimiento de sistemas antiguos, pero operativos.
Sin medidas de seguridad implementadas.
Así pues en lo que refiere a la seguridad se aborda el concepto de Defensa en Profundidad dirigido a aspectos clave como know how de protección, Control de Acceso e integridad en las comunicaciones, todos dirigidas a nivel de red.
Para finalizar se citan en los aspectos básicos como es el uso de DMZs industriales, Acceso Remoto, Redundancia y protección a nivel de celda remitiéndonos a una guía donde podremos obtener más información y que puede ser descargada desde aquí.
17:00 – 17:30
Y ya para concluir Miguel García-Menéndez (Vicepresidente, Centro de Ciberseguridad Industrial) nos habló de “ERNCIP: Marco de Certificación y Conformidad de los IACS”. Aquí tuve que ausentarme con lo que no pude atender en su totalidad.
Aquí se nos habla de la iniciativa desde ERNCIP (European Reference Network for Critical Infraestructure Protection) para establecer un framework donde se puedan certificar los distintos componentes en materia de ciberseguridad. Para ello se cuenta con la colaboración de distintos participantes como ENISA, ANSSI, BSI, INCIBE, fabricantes, integradores, consultoras, etc.
Para ello se definen una serie de tareas a desarrollar como los requerimientos mínimos, perfiles en materia de ciberseguridad y procesos de aceptación y cumplimiento. No podemos decir que porque un componente cumpla con unos requisitos en seguridad, toda la instalación lo es.
La idea a posteriori es definir un esquema repartido sobre varias áreas específicas que permita certificarse y avalar que se cumplen con una serie de exigencias.
La ponencia fue una presentación genérica de una iniciativa sobre la cual se está trabajando, y que se desarrollará a lo largo del próximo año y sucesivos. Miguel fue cauto en adelantar más información, ya que como cualquier proyecto es susceptible de haber modificaciones y por tanto lo que hoy se expone, mañana puede reconducirse o cambiarse. Esperaremos al futuro.
De esta manera llegamos al final de este Congreso. Un Congreso con ponentes de gran calidad y diversidad de temas que ponen de manifiesto el estado de la ciberseguridad tanto a nivel nacional como internacional y que al igual que el año pasado promete seguir en la misma línea, mejorando certamen tras certamen.
Los pasados 5 y 6 de octubre se celebró en Madrid el VII Congreso Internacional de Ciberseguridad Industrial [4.0] organizado por el Centro de Ciberseguridad Industrial y que tuvo lugar en el Hotel Meliá Avenida América. Se trata de uno de los más relevantes dentro del panorama nacional e internacional, convirtiéndose en punto de encuentro de intercambio de experiencias y relaciones de todos los actores involucrados en la materia.
El primer día comenzó con la introducción de José Valiente dando la bienvenida a los asistentes y agradecimiento a patrocinadores y empresas colaboradoras. A continuación, se hizo un repaso por la trayectoria del CCI y los distintas personas que han participado en los congresos realizados hasta la fecha, ya que como él dijo “Presente y futuro están ligados”. Otras de las colaboradoras, Susana Asensio (Responsable de Proyectos del CCI) comentó las próximas iniciativas del CCI, como son:
Membresía profesional del CCI.
Programa de reconocimiento del Ecosistema CCI.
Finalmente Miguel García-Menéndez, explicó el programa de ambos días, con algún ligero cambio en alguna de las ponencias.
Así comenzó la primera, de la mano de Rossella Mattioli (Security and Resilience of Communication Networks Officer at ENISA) bajo el título “Protegiendo los servicios y la tecnología IoT en Europa”. Hizo una presentación de ENISA y las labores que realizan en referencia no sólo a proteger la información y a los ciudadanos europeos sobre Tecnologías de Información (IT) sino también los entornos industriales e Infraestructuras críticas. Entre ellas, realización de cursos, estudios y recomendaciones, que publican y pueden realizarse para fomentar el conocimiento y compartir la información recaba estos estos ámbitos. Todo ello puede ser consultado en su página web. Más tarde se centra sobre la necesidad de securizar infraestructuras y servicios, como pueden ser transporte, salud, financias, Smart Grids, etc. Se puede encontrar más información en el siguiente enlace. Se aborda el tema de IoT, de lo que implica, nuevos paradigmas y lo que se deriva en materia de ciberseguridad, nuevos desafíos, las redes no son todo lo seguras que deberían, vulnerabilidades en protocolos, perímetro indefinido, etc. También nos hizo referencia a otros escenarios no por ello menos importantes como coches, hogares y ciudades. Más información.
Seguimos con una mesa redonda “La difícil tarea de la Integración IT y OT en Industria 4.0” estando como ponentes David Pozo (Siemens) Joseba Laka (Tecnalia) Jorge Rivera (Telefónica) y Andrés de Castro (IoT Partnet Business Manager, CISCO).- Aquí más que una exposición fue dar los distintos puntos de vista sobre preguntas que detallo a continuación y también algunas ideas rescatadas.
Pregunta: Están colaborando las organizaciones que desarrollan tecnologías IT con las que desarrollan tecnología sOT para crear plataformas Smart Factory?
Sí, hay colaboraciones ya que una empresa no puede abarcar todo y es preciso ayudar entre los distintos actores.
Es una colaboración forzada.
Preguntas: Cuáles consideras que deben tener las directivas que marquen la estandarización de Smart Factory?
Los estándares son necesarios, y algo retrasados con las necesidades del mercado.
Las necesidades es que los sistemas sean abiertos e interoperables.
No es equiparable el Smart Grid, con diversidad que presenta el mundo industrial.
Pregunta: Cuáles son las principales implicaciones para integrar IT y OT en la Smart Factory desde el punto de vista de los riesgos tecnológicos y su protección?
Supone rediseñar productos OT y mitigar el riesgo de sufrir un ataque o incidente. Uno de los pilares sigue siendo la separación y segmentación.
Se cita a GSMA como referencia a elemento de comunicación.
Uno de los medios es dotar de banda ancha en los polígonos industriales ya que todo está interconectado.
Pregunta: Cómo debería de ser la cualificación de los profesionales de ciberseguridad para proteger los riesgos tecnológicos en Smart Factory?
Muchas amenazas, pocos profesionales.
Falta de vocación y profesionales en el sector y poco especializados en ciberseguridad. Los profesionales de la ciberseguridad están en permanente formación.
Las universidades deben promover los conocimientos.
Las empresas y proveedores deben impulsar certificaciones y especializaciones.
No sólo centrarse en cuestiones tecnológicas, también es necesario otros profesionales en otras entornos como psicología, pedagogía, filosofía, periodismo, comunicación, para aportar un punto de vista distinto al ingeniero o técnico.
Seguimos con la ponencia “La Empresa Digital, en el camino hacia la Industria 4.0” de la mano de David Pozo (Technical Director Industry Automation, SIEMENS). Se habló de los dos grandes bloques EEUU y Europa (Alemania) y de la diferencia conceptual sobre la materia, EEUU habla de IIoT y en Europa, Industria 4.0.
Para el ponente, el concepto de Industria Inteligente bien por la interconexión o inteligencia, no es algo nuevo pero sí se viene materializando progresivamente en los últimos años. No se trata sólo de que todo esté conectado. Tanto en la fabricación de un producto como en el proceso es necesario intercambiar información, por tanto Ingeniería de producción y diseño de producto deben estar ligados. Esto influye en:
Mantenimiento predictivo.
Planificación, Ejecución y Servicio de las instalaciones.
Da lugar al resto de pilares de la industria 4.0.
Simulación. Imitar el funcionamiento de las instalación para saber antes de montar la infraestructura. Esto es un ejemplo a nivel de planta, pero se puede hacer a nivel de celda y nivel de máquina.
Big Data: Explotación de datos generados para llevar a cabo una trazabilidad del producto que lo genera y tomar medidas en tiempo real.
Cloud: Servicio en la nube. Empresas son reticentes pero se implementará cada vez más. Dejar en manos de profesionales ciertos servicios.
Machine Learning: Las máquinas aprenden de su comportamiento y toman deciciones.
Robótica: Específica la colaborativa que interactúa con personas. No son rápidas por seguridad de las personas. Tareas repetitivas sustituirán a las personas, pero hasta cierto punto.
Dispositivos móviles: BYOND, wereables (gafas, picking by voice) todo interconectado.
Ya sobre las 11:30 hasta las 13:00 “Situación de la Ciberseguridad Industrial 4.0 en Europa (Alemania, Francia y España)” con Jens Wiesner (BSI, Alemania) Jérôme Sobecki (ANSSI, Francia) Juan Delfín Peláez (INCIBE, España). En esta ocasión el objetivo era cómo distintos organismos de países europeos abordan la ciberseguridad industrial y protección a Infraestructuras Críticas.
Alemania:
El enfoque de la seguridad en IT es distinta a la OT, exponiendo dos ejemplos sobre incidentes en Hospitales y Plantas Nucleares. Para proteger las insfraestructuras críticas existe The Federal Office for Information Security (BSI) la cual se apoya en la una ley específica que regula lo relacionado con la seguridad para Tecnologías de Información, denominada (ITSecAct).
Ya en concreto sobre la protección a Infraestructuras Críticas se habla de la identificación, categorización, criterios y métodos de protección. Más Información:
La exposición del ponente francés plantea muchas similitudes con el ponente Alemán.
En este caso la responsabilidad recae sobre ANSSI, (Agence Nationale de la Securite Systemes de Information) cuyo dos misiones principales son prevenir y reaccionar ante ciberataques, constituyendo como deberes: prevenir, defender e informar.
A continuación se realiza la aproximación sobre la protección de Infraestructuras Críticas aplicando el concepto de CIIP (Critical Information Infrastructure Protection). Aquí destacar el concepto sobre el que trabajan que lo denominan Operador de Vital Importancia (OIV) definiendo doce sectores como agua, energía, defensa, etc. Para protegerlas manejan 4 medidas principales como son:
Security Rules
Notification
Inspection
Major Crisis
ANSSI establece grupos de trabajo con Fabricantes, compañías privadas, integradores y otros actores. Dentro de su método de protección se definen 3 niveles, Riesgo o impacto, bajo, medio y alto realizando una clasificación, en función del activo, el riesgo y la probabilidad de que tenga éxito, definiendo vectores de ataque, atacantes, vulnerabilidades e impacto del incidente.
Finalmente se hace un caso de estudio de un túnel para vehículos.
Finalmente llega el turno de España, de la mano de INCIBE. El exponente hace referencia a la Directiva Europea de protección e las Infraestructuras Críticas, la cual obliga a
Cada país debe disponer de una estrategia de ciberseguridad.
Definir autoridad competente.
Implementar medidas para garantizar nivel de ciberseguridad.
Obligaciones de los proveedores de servicios
En referencia a las Infraestructuras Críticas, España tiene la ley LPIC y documentación específica sector que regula las medidas a tomar según actividad.
Desde hace poco tiempo ha surgido el CERTSI, que resulta de la colaboración de CNPIC e INCIBE. CERTSI ofrece una amplia variedad de servicios como:
Servicios de Information gathering, geolocalización para las empresas u operadores críticos que se adieran a sus servicios.
Bitácora de incidentes.
Avisos de Sistemas de Control Industrial.
Guías y recomendaciones.
Habla herramienta
Finalmente se está editando un esquema Nacional de seguridad Industrial (ENSI), un instrumento para la mejora de la ciberseguridad de las empresas del sector industrial, especialmente particularizado a Operadores Críticos, para minimizar los riesgos relacionados con la ciberseguridad. Allí se incluye un indicador de Ciberresiliencia para conocer cómo de fuerte son las infraestructuras críticas para soportar un incidente de seguridad.
La conclusión es ver cómo 3 países a través de las distintas agencias lleva cabo actividades, servicios e iniciativas para proteger sus infraestructuras críticas y sistemas de control industrial instaurados en el sector tanto público como privado.
La siguiente se tituló “Protegiendo la integración de SAP con la planta industrial” con Juan Bautista López (Desarrollo de Negocio Seguridad,Tecnocom) Alfonso Moreno (Gerente de Soluciones de Gestión Empresarial, Tecnocom) Andrés De Castro (IoT Partner Business Manager, Cisco).
Se explica la aplicación de SAP para la industria 4.0 y llevar a cabo los nuevos retos que se presentan. Se habla de una nueva suite de productos denominada S/4HANA, simplificada y basada en las mejores prácticas para la industria. Se compone de:
SAP Manufacturing ERP
SAP MII
SAP EWM
Un mensaje destacado fue la importancia de proteger este tipo de software como SAP, que almacenan información relevante de la información, más aún cuando éstas interactúan con entornos OT y los dispositivos que subyacen en él. Los sistemas SAP son objetivo de espionaje, sabotaje, fraude o terrorismo. Luego CISCO hace una presentación desde su punto de vista. La integración aporta valor añadido pero aumenta su complejidad que es necesario securizar. Para CISCO es un todo:
Seguridad en la comunicaciones y dispositivos.
Visibilidad y control de los dispositivos.
Análisis e inspección de paquetes. Estudiar patrones y tendencias.
La empresa StormShield bajo el titulo “Implemente su política de seguridad industrial 4.0 con protección de la red y de los equipos terminales” con Robert Wakim (Industrial Engineering Director StormShield) Presentó la gama de productos para entornos industriales como “Stormshield NetworkSecurity” y “Endpoint Protection”, basado de seguridad de red (SNi40) y software endpoint.
Se realiza una demostración práctica en el que simula un ataque. El objetivo es un depósito de aguas que es supervisado por un HMI y controlado por un PLC de Shneider y que se comunican por ModBus. Además, en medio hay un FW SIN40 para proteger las comunicaciones. Lo que se demuestra es que al abrir un fichero no autorizado el Endpoint no permite la ejecución una aplicación que lo realiza.
15:00 – 15:30
Siguiendo con más llegó el turno de Marc Blackmer (Director de Servicios de Ciberseguridad Industrial, CISCO) y de la ponencia “Educando por Diversión y sin Ánimo de Lucro”. Nos presenta la idea de demanda de profesionales en el sector de la ciberseguridad y la manera de iniciar a jóvenes en este ámbito por medio de la diversión y el aprendizaje progresivo.
Como dijo, “Puedes decepcionar a un adulto pero no a un niño”. Para ello hace un repaso de distintos eventos donde se propone a los asistentes tratar de hacer con un equipo algo distinto a lo que estaba destinado originalmente. En el camino se descubren nuevas deficiencias, mejoras, funcionalidades, vulnerabilidades y se establece un proceso de enseñanza práctico.
Para alcanzar este propósito se habla de la iniciativa en la que participa y promueve junto con otras personas como es 1NTERRUPT.
16:00 – 16:30
Más tarde Arkaitz Gamino (CTO, ITS Security) Iñaki Eguía (CINO, ITS Security) nos presentaron “Defensa activa de la zona OT”. Nos hablaron de Unit71 y de cómo desde el respaldo de otras empresas del grupo industrial al que pertenecen ofrecen una gama de servicios basados en el principio “seguridad industrial, desde la industria”. Se habla de cómo afecta la ciberseguridad considerando las características de la actual y de la importancia que cobra la protección y reducción de riesgos, mostrando la fórmula:
Overall Equipment Efficency = Disponibilidad x Rendimeinto x Calidad.
Se citan vectores de ataques, como USB, redes Wifi inseguras, Redes no separadas y segmentadas, etc. y sobre todo resaltar la seguridad como un proceso que requiere una vigilancia activa, basado en Defensa Pasiva (Antivirus, IP/IDS, Firewall. Etc) y Defensa Activa (Caracterización de las amenazas, Monitorización, Respuesta ante incidentes, Análisis Forense y Aprendizaje). En base a esto, presentan los servicios de iSOC (Industrial Security Operation Center) de Unit71 desde donde se ofrecen servicios que cubren estos aspectos.
16:30 a 17:00
Continuando con las ponencias llegó “Cómo lidiar con la amenaza interna en entornos de operación e infraestructuras críticas. El Insider Threat Program (ITP)” con Fernando Sevillano (Director de Ciberseguridad Industrial, LOGITEK). Ésta se centraba en la amenaza humana basado en la figura “Insider Threat” y de cómo ha aumentado suponiendo un riesgo cada vez más elevado. Sus características son,
Conocimiento de redes, sistemas
Hay una mala intención
Ha afectado a la seguridad con intención o desconocimiento.
Y dentro de las acciones que llevan a cabo se pueden centrar en:
Acceso no autorizado,
Exponer datos sensibles,
Denegación de servicio.
De esta manera se plantean una serie de medidas para mitigarlo, centrándose especialmente en prevenir, detectar y responder. Se repite la canción. Logitek propone desde su punto de vista, los controles que podemos llevar a cabo para detectarlos. Un checklist con 13 puntos donde nos dice, qué debemos comprobar, cómo analizar candidatos en los procesos de selección, considerar a los trabajadores como amenazas, corroborar políticas, monitorizar accesos y sistemas que detecten comportamientos anómalos, etc.
17:00 – 17:30
Aquí Miguel García-Menéndez (Vicepresidente, Centro de Ciberseguridad industrial) nos habló del “El directivo 4.0”. La ponencia trata sobre todo de los retos y oportunidades que presenta la era digital. Comenzó por habladnos de la actividad de KPCB.
A lo largo de la ponencia analiza las estadísticas mostradas en los reportes anuales que hace esta empresa donde se ve que lo digital sigue siendo un campo de oportunidades. Se citan estimaciones del dinero que se espera mover en este ámbito. Sin embargo no todo son alegrías, solo el 25 % aporta valor. Para esos retos en el proceso de digitalización se abordan distintas cuestiones a la hora de emprender como:
Arrancar
Metas cambiantes.
Preguntas inquietantes.
No compensa
Miedos
Incentidumbres
…..
17:30 – 18:00
Para terminar llegamos a “Implantación y Certificación SGCI en Sistema de Supervisión de Plantas Industriales” de la mano de Juan Luis Carús (Director de Proyectos, Grupo TSK). Tras una presentación de TSK se nos habla de un caso de uso de la implementación de la Guía editada por el CCI sobre Sistema de Gestión de la Ciberseguridad Industrial donde José Valiente explica el objetivos y características destacando Premisas (Aplicación inmediata y Facilidad en el uso) y otras guías sobre las cuales se han basado para editarla (ISO/IEC 27001, ISO/IEC 27002, IEC-62443).
Así llegó el momento de presentar un caso de uso. Se centraba precisamente en la implantación la guía del CCI en el puesto de telecontrol para la herramienta propia de TSK SisRem para plantas solares de sus clientes.
Tras ésta, se dio por finalizada la primera de las jornadas. Variada, con distintas temáticas pero en cualquier caso interesante y muy productivas, aunque como siempre uno tiene sus preferencias y hay algunas que gustan más que otras.
En breve, publicaré la crónica del segundo día, pero por ahora aquí os dejo esta.
