Como hemos podido comprobar en estos últimos años el número de ataques a Infraestructuras Críticas e Instalaciones Industriales ha ido en aumento. Aquellos buses de campo que hace tiempo atrás quedaban aislados de las redes empresariales poco a poco han ido incorporándose a ellas gracias a la implementación de protocolos de basados en TCP/IP. Si bien las funcionalidades y posibilidades han crecido esto ha generado a su vez que queden expuestas a actividades hostiles por parte de personas físicas o malware concreto para IACS. Así pues, esta visibilidad hace que debamos tomar más precauciones.

Inicialmente se hablaba del “air-gap” como medida de protección. Si bien puede resultar efectiva en algunos entornos, la implementación de ciertos servicios como monitorización y recolección de datos de los equipos de Automatización y Control obliga que éstos estén accesibles desde los sistemas SCADA y a su vez por los agentes y personal encargado de visualizar los datos en ellos representados. De esta manera, ha habido que adaptarse e implementar el concepto de “Defensa en Profundidad” como medida que más puede reducir los riesgos de que un ataque pueda ser satisfactorio.

En cualquier caso al margen de la estrategia de protección empleada cuanto más, expuestos estén nuestros sistemas de control, la amenza es mayor. Entendiendo por amenaza la posibilidad de que un evento o una acción determinada ocurra produciendo un daño material o inmaterial sobre los componentes de un sistema o un conjunto de ellos. Esto es, daños a nivel físico como lógico.

A modo general podríamos catalogar a estas amenazas en dos grandes grupos, intencionadas y no intencionadas. Si bien la mayor parte de ellas son de carácter no intencionado, aunque existe una claro aumento de las intencionadas.

Amenazas no intencionadas.

Las amenazas no intencionadas, podemos decir son todas aquellas que no son dirigidas deliberadamente contra el  sistema de control y automatización, pero que, por una u otra causa aún y así pueden ser un peligro para éstos. Normalmente, las amenazas no intencionadas están relacionadas con fenómenos que están fuera de nuestra capacidad de gestión.

Así pues es posible marcar una división entre aquellas que tienen un origen humano y las que no, estableciéndose entre todas, cuatro grandes grupos:

1. Safety
2. Fallos de equipamiento
3. Desastres Naturales
4. Humanos

FALLOS DE “SAFETY”

Por “safety” entendemos todas aquellas medidas que ayudan a evitar de un accidente, relacionándolo con términos como prevención, seguridad en el proceso, figuras de ingenieros industriales. Al tratarse de instrumentación mecánica y/o electrónica debido al uso, fatiga o deterioro de materiales, pueden provocarse daños en los sistema de control y automatización y por tanto, en el propio proceso industrial.

Estos fallos de los sistemas de “safety” no sólo incluyen los problemas que pueden tener los sistemas de protección tanto del equipamiento físico controlado (por ejemplo: interruptores,  dispositivos de emergencia, detectores de posición, etc.) sino también el personal que lo manipula (por ejemplo: técnicos de mantenimiento, retenes, etc.). Aquí os dejo un artículo publicado por INCIBE donde lo explica muy bien, picha aquí.

FALLOS DE EQUIPAMIENTO

Al igual que sucede con los sistemas de safety, los dispositivos de automatización y control son elementos hardware con muchos componentes electrónicos. Si bien se caracterizan por una gran robustez y durabilidad no están exentos de sufrir fallos como pueden ser avería de la fuente de alimentación, módulos de comunicaciones, agotamiento de recursos de memoria, etc. Sea cual sea la causa, la operatividad y disponibilidad de las instalaciones puede verse afectada hasta el punto de quedar inutilizable total o parcialmente.

DESASTRES NATURALES

Aquí quedan recogidos todos aquellos sucesos medioambientales con consecuencias graves o incluso fatales y cuyo origen difícilmente se puede predecir. Por citar alguno podríamos hablar de inundaciones, terremotos, incendios, o condiciones climatológicas fuera de lo habitual. Todos recordaremos el tsunami que azotó la costa oriental de Japón en el año 2011 en la que la central nuclear Fukushima se vio dañada con las consecuencias que aparejó. También en esa ocasión un gran número de servicios de Telecomunicaciones, presas hidroeléctricas, aeropuertos, y demás Infraestructuras Críticas se vieron gravemente afectadas o destruidas.

ERROR HUMANO

Suelen decir que la fortaleza de una cadena radica en el eslabón más débil.  Dentro de la estrategia de protección el ser humano juega un papel determinante y muchas veces con nuestras confianzas, descuidos o desidia, podemos comprometer toda la seguridad de nuestra protección. Ese USB que nos pasan y lo pinchamos sin haberlo pasado primero un antivirus o ese software descargado que viene con el “crack” y aparte de la licencia nos trae otro “regalito”. Así pues, dentro de este grupo hemos de considerar los fallos producidos por descuidos o negligencias. Hablamos de memorias, pero no nos olvidemos de la existencia de otro tipo de dispositivos como los teléfonos móviles… Ya el error no es esa nota autoadhesiva con el usuario y contraseña debajo del teclado. Pero todo no son imprudencias, también puede ocurrir que sin, quererlo, nos podamos equivocar en la parametrización de un elemento  o en la carga de un fichero que no corresponde con el dispositivo en cuestión, y como es de esperar no funcione como se espere.

Como hemos podido ver, no siempre las amenazas vienen de la mano de personas o sistemas con ánimo de provocar un daño sobre nuestra organización. Muchas veces sin desearlo podemos sufrir accidentes, que cuyas consecuencias pueden ser mayores que un ataque dirigido y estudiado durante meses.

Como era de esperar próximamente hablaré de esas otras amenazas, las intencionadas, donde hablaremos esas sí que sí están hechas con premeditación, alevosía y “nocturnidad”.

Un saludo nos vemos en la próxima!