A comienzos de mes de Enero el Centro de Ciberseguridad Industrial publicó el documento “Ciberseguridad en el Ciclo de Vida de un Proyecto de Digitalización Industrial” donde he tenido la oportunidad de participar como autor en alguno de los capítulos y colaborador en otros.
Con una longitud de 150 páginas el documento reúne aquellos aspectos que cada organización debe tener en consideración cuando se enfrente a procesos de modernización, cambio, adecuación o puesta en marcha proyectos de digitalización para la mejora de producción, competitividad, ahorro en costes entre otros muchos aspectos.
Como bien sabemos la ciberseguridad es un aspecto vital cara reducir los riesgos tecnológicos que heredamos con el aumento de interoperabilidad, despliegue de nuevas soluciones, contratación de nuevos servicios, integración de soluciones de terceros, nuevos proveedores, etc.
Aunque todos los puntos son tratados en detalle, el documento se divide principalmente en dos partes. A continuación, os dejo un resumen del índice con los puntos principales los cuales se desglosan en otros más específicos:
PRIMERA PARTE:
Contexto de la Digitalización Industrial
Proyectos habituales
Tecnologías de la Digitalización Industrial
Comunicaciones
Actores principales
Cumplimiento
SEGUNDA PARTE:
Ciclo de vida de un proyecto de digitalización industrial
Primera etapa; Planificación y diseño
Segunda etapa; Aprovisionamiento.
Tercera etapa; Ejecución
Cuarta etapa; Operación y Mantenimiento
Anexo: Checklist de actividades de ciberseguridad
El mismo lo podéis adquirir en el siguiente enlace.
Los pasados 4 y 5 de octubre se celebró en Madrid el IX Congreso Internacional de Ciberseguridad Industrial organizado por el Centro de Ciberseguridad Industrial. En él, un año más, se dieron cita profesionales, expertos e instituciones con el fin de compartir dos jornadas cargadas de puntos de vista, investigaciones, nuevas líneas de productos, casos de éxito, mesas redondas y momentos para el networking empresarial donde intercambiar y hacer nuevos contactos.
A diferencia de las dos ediciones anteriores, este año acudía no sólo como espectador sino, además, como ponente. Allá por el mes de mayo tuve la oportunidad de participar en “La voz de la Industria”, pero esta vez tocaba hacerlo con proyección internacional.
El tema de nuestra presentación era “Demostración práctica de protección de un escenario de automatización industrial” donde simulamos el funcionamiento de una presa hidroeléctrica empleando para securizarla con equipos específicos como Fortinet Fortigate Rugged 90D y solución SCADAGuardian. Ahora bien, ¿cuál fue nuestro discurso para ver la necesidad de ambos? Comencemos.
Bajo mi punto de vista y basándome en lecciones aprendidas (prácticas, no teóricas) en proyectos planteamos que la actualización de equipamiento porque sea más seguros no es una prioridad. Las empresas no los cambian porque incorporen tal o cual medida de seguridad, lo hacen porque la función que realicen lo requiera. Además, puede no es fácil llevarlas a cabo ya que la implementación de unas u otras tecnologías puede necesitar ventanas de tiempo amplias. Por ejemplo, pensemos una migración de una arquitectura RS-485 a una Ethernet. En otro orden, por muy planificados que estén los trabajos, cualquier intervención no deja de introducir un riesgo que desemboque en un impacto en la actividad siendo éste inasumible.
Es por ello que la Seguridad Perimetral sigue siendo la primera medida. ¿Por qué? Porque permite reducir los riesgos en una primera instancia sin la necesidad de actuar sobre esos equipos finales desactualizados, sin soporte en algunos casos, sin compatibilidad con soluciones de seguridad, con largos ciclos de vida, que por su criticidad sea inviable actuar sobre ellos para aplicar parches, con desarrollo de aplicaciones propias, y un largo etcétera. Además, permite atajar la propagación de amenazas o incidentes a través de filtrado de tráfico junto con funciones avanzadas como Control de Aplicación, Antivirus, Filtrado Web o IDS/IPS. Sí filtrado web. Hay equipos que permiten ciertas funcionalidades a través de servidores web embebidos a los que les pueden afectar las mismas vulnerabilidades con la dificulta que, o no pueden ser corregidas, o supone la actualización completa de firmware o software.
Por supuesto, esto último respaldado con un buen diseño y arquitectura de red ya que de nada nos sirve incorporar un equipo último modelo, si luego tenemos una red plana o enrutada…
Aparte de lo anterior, otra de las necesidades que veíamos era la inclusión de medidas en materia de visualización y monitorización. No me refiero a solucione SCADA, sino a nivel de red. De tráfico.
La Industria 4.0 trae consigo una buena cantidad de beneficios no sólo por los avances tecnológicos como fabricación aditiva, robótica colaborativa, simulación, etc. sino la inclusión de las Tecnologías de Información para mejorar los procesos convirtiendo las fábricas en más productivas, competitivas, eficientes energéticamente, etc. Esto requiere tener una visión de lo que ocurre en nuestras instalaciones, consiguiéndose mediante la recolección de información tanto en tiempo real como en cortos espacios de tiempo y a partir de ahí corregir desviaciones o tomar otro tipo de medidas. Ahora bien, para alcanzar ese propósito los equipos deben de estar interconectados y en el momento que esto se produce, todos comienzan a estar expuestos. Y como bien sabemos, una medida para reducir los riesgos es reducir justamente el grado de exposición.
Junto con ello los flujos de tráficos deben ser un reflejo del proceso. Nada que no forme parte de la actividad propia, debe existir. Sólo lo estrictamente necesario.
La contextualización de la información también debe estar presente. Tenemos que tener una visión amplia de lo que sucede. Si hablamos de una fábrica de producción en serie, el fallo en un equipo instalado en una línea a priori no debería afectar a otra. Pero si ese problema no se resuelve dentro de los tiempos máximos podría dejar de suministrar piezas o material a esta última provocando unas consecuencias mayores.
Finalmente, conviene diferenciar entre información e inteligencia sobre amenazas. Debemos pararnos a pensar que no toda la información que obtenemos con esta monitorización puede ser del todo útil. Por ello cara a recolectar datos debemos analizar la calidad de la información; su origen; cantidad; relevancia para la organización, sistemas y entorno; capacidad para recolectar, correlar o analizar; y finalmente, cómo la aplico. Es decir, si no hago nada con ella, ¿para qué conseguirla?
Si sumamos ambos aspectos, por un lado, la seguridad perimetral y por otro la necesidad de monitorización, es que encontramos el beneficio de contar ambos productos destacando entre otros aspectos:
Fortinet Fortigate:
Gama productos específicos para entornos industriales.
Diseño rugerizado capaz de soportar entornos hostiles con polvo, humedad y temperatura muy superiores a entorno IT tradicional.
Electrónica de alto rendimiento.
Integración con soluciones de gestión centralizada.
Deep Packet Inspection sobre protocolos industriales.
Montaje sobre carril DIN y alimentación por fuentes de alimentación externas.
Nozomi SCADAguardian:
Solución diseñada para entornos industriales.
Identificación de activos y protocolos
Detección de anomalías en flujos y tipos de tráficos.
Instalación pasiva no introduciendo latencias adicionales.
Evaluación de vulnerabilidades a partir de información recolectada.
Detección de amenazas, riesgos e incidentes.
Variedad de paneles de control y generación de informes para análisis y labores forenses.
Sin embargo, el mayor de los beneficios está por anunciar. Y es que a pesar de los beneficios de ambos por separado, tanto Fortinet como Nozomi Networks han alcanzado un grado de integración tal que, en caso de SCADAguardian detecte una anomalía a partir del análisis de tráfico, puede interactuar de forma automática con los equipos Fortigate configurando una regla en los firewalls que deniegue el tráfico anómalo identificado.
Esto introduce un grado adicional de protección ya que permite atajar cualquier incidente en el mismo instante que se produce reduciendo así el tiempo transcurrido desde que una amenaza es detectada, interpretada, valorado el alcance, puesta en marcha su mitigación, resolución y extraídas las conclusiones. Sin embargo, esto no es fácil ya que lleva aparejado una importante labor desde el punto de vista que debemos conocer qué activos y protocolos tenemos en nuestra organización para saber cuáles son legítimos o cuales no; definir tendencias y patrones; sopesar de qué forma SCADAguardian va interactuar con los Firewalls, esto es, bloquear IPs, cerrar sesiones, y un largo etcétera.
Como decía anteriormente para demostrar este valor añadido, ideamos una réplica de lo que podría ser una presa hidroeléctrica. En la imagen siguiente se ve el esquema de la simulación en la que aparece un taque donde se acumula el agua. Luego, se abre una electroválvula que, al abrirse, deja pasar el agua haciendo mover una turbina que es la que genera electricidad para ser almacenada en el tanque inferior. Finalmente, se acciona una bomba que impulsa de nuevo el agua al tanque superior, para volver a repetir el proceso.
La lógica está gestionada por un equipo TRIDIUM JACE el cual cuenta con una interfaz web para labores de administración. Tanto la electroválvula como la bomba están conectadas al equipo TRIDIUM SEDONA el cual recibe las órdenes de abrir/cerrar y paro/arranque del JACE por medio del protocolo ModbusTCP.
Y todo ello en la realidad quedó en….
Así pues, lo que se hizo en vivo y en directo fue llevar a cabo un ataque sobre el TRIDIUM Sedona enviando paquetes específicos ModbusTCP desde un PC que provocada el paro de la bomba o el cierre de la electroválvula. Esto es posible debido a la falta de medidas de seguridad nativas de dicho protocolo.
Más tarde, para ver la efectividad de ambas soluciones trabajando conjuntamente se incorporó el equipo SCADAguardian el cual recibía el tráfico desde un puerto espejo de un FortiSwitch. Luego tras la integración de Fortigate Rugged 90D en aquél, se repitió nuevamente el ataque no teniendo éxito ya que al considerarse que provenía de un equipo no legítimo, SCADAguardian lo consideraba como “malicioso” enviando la orden al Firewall de la generación de una regla que lo cortase. Impedía así que llegase el paquete al TRIDIUM Sedona y por tanto evitando el cierre o paro de los dispositivos.
Obviamente este fue una prueba de concepto, sin embargo en un entorno real esta tarea llevaría más tiempo. Sería necesario dejar aprender durante unos días o semanas el comportamiento de la red para poder establecer qué tráficos son buenos y cuáles no. También la manera en la que queremos que se comporte el Cortafuegos, esto es, cortar sesiones, bloquear IP, etc. etc.
A continuación os dejo un video elaborado por Fortinet donde se explica todo ello. ¡Excelente!
Quedamos muy satisfechos con la exposición ya que aparte de lo original, práctico y puesta en escena todo salió muy bien. No quería pasar por alto agradecer a mis compañeros de GrupoCMC que diseñaron la interfaz gráfica y metieron horas para que todo saliese en esta línea. Sin ellos, su conocimiento, experiencia y sobre todo su actitud; esto no hubiera sido posible. Como no, a Jose Luis, Antonio y Edgar por los esfuerzos, trabajo e iniciativa; a Jose Valiente, Miguel García-Menéndez y Susana Asensio por la organización de este congreso de referencia; y finalmente a los asistentes que esperamos fuese de su agrado esta exposición en la que se invirtió tanto tiempo como ganas de haber proporcionado una forma automática, rápida y eficiente de proteger nuestros entornos de control y automatización industrial sea cual sea su naturaleza o criticidad.
El segundo día comenzó con la ponencia de José Valiente sobre “Resiliencia Tecnológica Industrial 4.0 ” . Lamentablemente no pudimos llegar a tiempo con lo que nada os puedo resumir al respecto.
09:45 – 10:15
A continuación el espacio estaba reservado para Jose Luis Laguna(SE Manager, Fortinet) exponiendo un caso de éxito en un entorno industrial. El mismo fue la implementación de las distintas medidas de seguridad en el entorno de producción de furgonetas de la fábrica que Mercedes-Benz tiene en la ciudad de Vitoria. El ponente fue Jon Bueno Mendieta, persona que lideró el proyecto junto con la colaboración de Edorta Echave, creador de este espacio Web y Consultor de Ciberseguridad Industrial en la empresa GrupoCMC (Congnicase Management Group). Pues sí, en esto hemos estado trabajando (y seguimos en ello) en este último año y medio.
Jon comenzó con presentación dando una visión global proyecto indicando los principales puntos sobre los cuales se basaría su charla, como son:
Disponibilidad de la red OT
Soluciones técnicas implementadas
Roles y Procesos
Conclusiones
Haciendo un repaso sobre lo anterior, se comentó las diferencias entre el mundo IT y OT, y las distintas prioridades desde la visión de proteger la confidencialidad, integridad y disponibilidad; frente a disponibilidad, integridad y confidencialidad.
A continuación, se centró en las soluciones implementadas a nivel de Infraestructura (Separación y Segmentación), Técnicas (Bastionado de Sistemas, Cifrado en las Comunicaciones, Monitorización, Antivirus, etc.) y Operaciones (Definición de nuevas figuras dentro del organigrama de la empresa como Gestores de Activos, Incidencias, Vulnerabilidades, etc.).
Para finalizar ,citó aquellos aspectos clave dentro del desarrollo del proyecto, como pueden ser:
Creación de un solo equipo de trabajo.
Elegir las herramientas más adecuadas para ser administradas.
Análisis GAP objetivo.
Supervisión de la actividad y soluciones implementadas.
10:15 – 10:45
La siguiente ponencia vino de la mano de Edgard Capdevielle (Executive Advisor, Nozomi Networks) con el título “Ciberseguridad y monitorización de redes industriales requieren un enfoque de proceso”.
Aquí Edgard Capdevielle nos presentaba la herramienta de Nozomi Networks, SCADA Guardian. Se trata de una solución de monitorización y protección no intrusiva que, gracias a las capacidades de descubrimiento, aprendizaje de los activos y comportamiento de la red, permite la detección de amenazas y ataques en entornos Industriales. Puesto que cada entorno es único, debido a la generación de reglas de seguridad basadas en el proceso a proteger, permite adaptarse a cada circunstancia por muy concreta que sea.
Comienza haciendo un repaso de una serie de incidentes y de cómo en algunos casos el despliegue de soluciones IT en entornos OT nos son eficaces y cómo se protegen las instalaciones industriales abogando por el entendimiento de ambos mundos. La herramienta facilita esta tarea permitiendo identificar tráficos, comportamientos en la red, comunicaciones generadas por dispositivos industriales, procesos, entre otros.
Puesto que no sólo basta la detección, también SCADA Guardian see integra con SIEMs o sistemas como SPLUNK, HP ARCSight, etc. o incluso tomar medidas sobre dispositivos Fortinet como bloquear un cierto tipo de tráfico determinado. El hecho de que sea una herramienta no intrusiva facilita enormemente el despliegue consiguiéndose con la simple configuración de uno, o varios, puertos espejo. Claro está teniendo en cuenta la particularidad de estas configuraciones.
10:45 – 11:15
Llega el turno de María Pilar Torres (Directora de Ciberseguridad, Everis Aeroespacial y Defensa) bajo el título “La ciberseguridad industrial de punto a punto: un ejemplo práctico”.
El caso estaba enfocado en el ámbito energético donde bajo su punto de vista detectaban dos dimensiones:
Dimensión tecnológica, Medidas Técnicas.
Dimensión organizativa, Roles y Procesos.
Para implementar un plan de securización se ha de entender muy bien la actividad de la empresa y los procesos en los que se basa. Cuando les llega un un nuevo proyecto se realizan dos preguntas en cada una de las fases del proceso, como son:
Problemas identificados, ¿qué haría para corregir los problemas?
Posibles soluciones, ¿qué van a hacer realmente?
Cómo podemos comprobar una vez más de la teoría a la práctica, hay un trecho.
Se pone ejemplo en la generación, transmisión, distribución y control energético eléctrico y de los riesgos existentes en cada uno de los procesos, como son acceso físico a las instalaciones, acceso a los PLC que regulan la carga en la red eléctrica en función de la oferta y la demanda, contadores vulnerables, protocolos inseguros, monitorización remota, etc. También como no, contadores de agua. Se defiende la idea que no sólo es necesario implementar las medidas, hay que darle una continuidad por lo que resulta necesario hacer auditorías para conocer el estado de la seguridad. A veces se habla de separar redes, pero no de las medidas a adoptar para que éstas dejen de ser menos vulnerables y de los escrupuloso que hay que ser en la gestión y control de activos. Si no controlamos lo que tenemos conectado a nuestra red, no podemos protegerla.
Finalmente, el aprendizaje es esencial para la mejora. Como existe un desconocimiento en primera instancia, a medida que se genera ese conocimiento/estudio de forma progresiva se va avanzando en la construcción de soluciones más convergentes.
12:00 – 12:30
El siguiente turno fue el de Patrick Miller (Managing Partner,Archer Energy Solutions) con “Unicornios, Compartir información, Inteligencia de amenazas y otros mitos”.
Aquí el discurso se centra en compartir información como medio para hacer frente a las amenazas. Para ello comienza haciendo un paralelismo indicando que los datos es dinero y por tanto tus datos te convierten en un banco. Dada esta situación, y el entorno que nos rodea, los adversarios tienen 3 “cosas” que tú no puedes tener, como tiempo, medios y mayor capacidad. Las medidas disponibles para protegerte también pueden llegar a ser hackeables y por tanto vulnerables, por tanto, con los problemas a los que se enfrenta el usuario y las empresas, los datos pueden ser comprometidos. Así que otra de las acciones a tomar es compartir información ya que puedes trasladar tus problemas y, de forma conjunta, tomar medidas. Tu eres tu propia “policía”, tienes que protegerte de tus “chicos malos”.
Esta información debe ser monitorizada y analizada para poder ser compartida entre las herramienta de análisis. Sin embargo compartir genera una preocupación ya que no sabes hasta qué punto ese el valor puede ser utilizado y para qué. Aquí rasaltar esta importante afirmación, “El valor de la información es inversamente proporcional a la distribución” y es que la buena información, la relevante para muchos casos , no se distribuye.
Get connectres, relationships + Trust = Sharing
En resumen, bajo su punto de vista se ha de compartir información con la gente correcta a través de canales correctos. Compartir genera un conocimiento sobre la inteligencia de las amenazas en la que se ha de contribuir de forma individual para un resultado conjunto.
12:30 – 13:00
Siguiendo con las ponencias llega el turno de Enrique Martín (Industrial Cyber Security & CIP Solutions Business Development,S21SEC) con “Árboles cayendo en redes de control industrial”.
Aquí Enrique compara el estado de la Industria 4.0 como si fuera un bosque y por tanto cuando cae una rama en el bosque, ¿hace ruido? Pues bien la idea a perseguir sería, si se da un incidente de seguridad en nuestras instalaciones de “Industria 4.0” y no lo “oímos”, ¿hace ruido? ¿nos enteramos? La industria ha evolucionado, la ciberseguridad no tanto.
Hasta ahora las fuentes de ruido (orígenes de problemas) han sido servidores, configuraciones, vulnerabilidades y usuarios e identidades. Sin embargo debemos de considerar también los dispositivos de seguridad, actividad de la red, actividad sobre datos y aplicaciones. Por tanto no existe una correlación de eventos, logs, flujos, reputación, etc. ni una detección de anomalías en la activiad de usuario, BBDD, aplicaciones, red, entre otros.
Es necesario como apuntaba Edgard Capdevielle de Nozomi Networks, realizar un análisis del comportamiento de la red. Enrique comenta algunas soluciones libres para llegar finalmente a la herramienta Silent Defense ICS de Security Matters.
14:30 – 15:00
Aquí Oscar Lage (Responsable de Ciberseguridad,Tecnalia) y Ander Juaristi (Researcher) sobre “La seguridad en IEDs: lecciones aprendidas”expusieron los sistemas de cifrado para dispositivos de industriales explicando los pros y contras de la criptografía simétrica, asimétrica, certificados digitales.
Hicieron un repaso de las alternativas actuales y la manera de funcionamiento, viendo cómo impactan en los sistemas sobre los que se implantan. Por mi formación, se me escaparon muchas cuestiones en cuanto al aspecto matemático del asunto pero, considero que era una ponencia muy interesante para aquél que sí comprendiese estos puntos. El cifrado es un elemento más en la cadena de seguridad, y cuanto más a bajo nivel se implemente más efectivo será, sin penalizar en el rendimiento computacional del dispositivo. En concreto se centraron en la aplicabilidad en la industria energética. Algunos términos citados:
HORS
TV-HORS
HORST
SPHINCS
15:00 – 15:30
Unos de los patrocinadores del evento era Karspersky y de la mano de Matvey Voytov (Head of product marketing, Kaspersky Lab) hicieron su presentación “Arquitectura de seguridad adaptativa para ICS”.
Dicha arquitectura la basa en el modelo que presenta Gartner sobre 4 principios, los cuales se subdividen en otros apartados, como son:
Predecir
Inteligencia sobre amenazas.
Intercambio de información sobre incidentes.
Conocer tu organización.
Formación y adquisición de conocimiento.
Prevenir
Diferenciar entre protección IT y OT.
Considerar las amenazas internas.
Los Ingenieros industriales no tienen conciencia de ciberseguridad.
Aumentar la cultura de ciberseguridad.
Detectar
Las amenazas no tienen que venir necesariamente por malware.
Monitorización de la red para la detección de anomalías.
Escaneos periódicos controlados.
Realización de auditorías.
Responder
Respuestas ante incidentes específicos de ICS.
Personal en SOC especializados en sistemas industriales.
Planes de respuesta definidos dentro de la organización.
Finalmente, como conclusión apunta tres medidas a partir de las cuales implementar los planes de seguridad de manera efectiva. Estas son:
Implementar herramientas de monitorización y detección de amenazas y anomalías.
Incorporar personal con formación específica de Ciberseguridad en entornos industriales para que se puedan desplegar soluciones técnicas concretas.
Las amenazas pueden venir de dentro, no necesariamente puede venir de fuera.
Según su punto de vista, el camino correcto es Personal – Tecnologías concretas – Procesos
16:00 – 16:30
Tras una pausa café, Milka Kaneva (Cyber Security Manager EMEA, Darktrace) presentó ”El sistema Inmunológica Industrial: Usando el aprendizaje automático en la seguridad de ICS como solución para la próxima generación”.
Milka, presentó la solución de DarkTrace específica para sistemas ICS. De origen inglés, ofrece una herramienta de análisis de tráfico basado en algoritmos matemáticos con el fin de detectar de forma temprana anomalías en la red. Como en otras ponencias similares, se instala en el “Core” de la red” a un puerto espejo y en un plazo de 7 a 10 días puede detectar las anomalías en la red. A partir de ahí, crea un modelo de comportamiento de usuarios y equipos en base a los criterios matemáticos. Entre sus características:
Autoaprendizaje.
Detecta amenazas internas y externas.
Tiempo real.
100% visibilidad.
Reproducir el tráfico capturado.
Más tarde presenta casos de usos y éxito de sus clientes. Como podemos comprobar es una herramienta similar a la presentada por Nozomi y SecurityMatters.
16:30 – 17:00
Así llegamos a la penúltima ponencia esta vez de la mano de Karsten Schneider (Chairman,PROFIBUS & PROFINET International) con “Ciberseguridad en redes PROFINET -habilitador de Industria 4.0”.
En este caso el ponente comenzó con una presentación de lo que significa la Industria 4.0, dando pinceladas generales de lo que implica:
Personas, máquinas, dispositivos y sistemas cooperan y se comunican entre sí.
Se combinan métodos de producción con tecnologías de información.
Procesos de producción y logísticas son integrados de forma inteligente.
Extracción de datos para posterior analítica.
Nuevos modelos de negocio y tecnologías de producción.
Existen multitud de fabricantes y protocolos propietarios pero que hay que promover el uso de standars de comunicaciones tipo Profinet, Profibus e IO-LINK.
En cualquiera de los casos es necesario un medio a través del cual poder comunicar los dispositivos, soporte remoto, y a partir de ahí desarrollar lo que la Industria 4.0 demanda. Aquí se defiende la posición del protocolo PROFINET. Llegará un momento en los que no se hable de mili, sino de microsegundos. Una solución de seguridad en un entorno industrial tiene que alcanzar todos los niveles, seguridad física, de red e integridad de sistemas.
Se abordan las características actuales:
Equipamiento de más de 30 años.
Buses de campo.
Pérdida de conocimiento de sistemas antiguos, pero operativos.
Sin medidas de seguridad implementadas.
Así pues en lo que refiere a la seguridad se aborda el concepto de Defensa en Profundidad dirigido a aspectos clave como know how de protección, Control de Acceso e integridad en las comunicaciones, todos dirigidas a nivel de red.
Para finalizar se citan en los aspectos básicos como es el uso de DMZs industriales, Acceso Remoto, Redundancia y protección a nivel de celda remitiéndonos a una guía donde podremos obtener más información y que puede ser descargada desde aquí.
17:00 – 17:30
Y ya para concluir Miguel García-Menéndez (Vicepresidente, Centro de Ciberseguridad Industrial) nos habló de “ERNCIP: Marco de Certificación y Conformidad de los IACS”. Aquí tuve que ausentarme con lo que no pude atender en su totalidad.
Aquí se nos habla de la iniciativa desde ERNCIP (European Reference Network for Critical Infraestructure Protection) para establecer un framework donde se puedan certificar los distintos componentes en materia de ciberseguridad. Para ello se cuenta con la colaboración de distintos participantes como ENISA, ANSSI, BSI, INCIBE, fabricantes, integradores, consultoras, etc.
Para ello se definen una serie de tareas a desarrollar como los requerimientos mínimos, perfiles en materia de ciberseguridad y procesos de aceptación y cumplimiento. No podemos decir que porque un componente cumpla con unos requisitos en seguridad, toda la instalación lo es.
La idea a posteriori es definir un esquema repartido sobre varias áreas específicas que permita certificarse y avalar que se cumplen con una serie de exigencias.
La ponencia fue una presentación genérica de una iniciativa sobre la cual se está trabajando, y que se desarrollará a lo largo del próximo año y sucesivos. Miguel fue cauto en adelantar más información, ya que como cualquier proyecto es susceptible de haber modificaciones y por tanto lo que hoy se expone, mañana puede reconducirse o cambiarse. Esperaremos al futuro.
De esta manera llegamos al final de este Congreso. Un Congreso con ponentes de gran calidad y diversidad de temas que ponen de manifiesto el estado de la ciberseguridad tanto a nivel nacional como internacional y que al igual que el año pasado promete seguir en la misma línea, mejorando certamen tras certamen.
