El 12 de noviembre tuvo lugar un encuentro organizado por el Centro de Ciberseguridad Industrial (CCI) y Red Seguridad y con el patrocinio de Akamai y Zscaler y el copatrocinio de Cyolo, GMV, Nozomi y TXOne en el que se trataron distintos temas relacionados con la ciberseguridad industrial.
Inició la jornada José Valiente, director del CCI, con una presentación en la que subrayó la complejidad de gestionar el riesgo de terceros en entornos industriales. Para ello, recurrió a una metáfora ilustrativa: «Gestionar el riesgo de la ciberseguridad en la cadena de suministro tiene huevos», dijo, comparando las organizaciones con un cartón donde cada huevo representa a un proveedor o cliente y cada elemento afecta al equilibrio del resto.
Recordó que la mayoría de los procesos empresariales son mixtos, con componentes internos y externos, y que «si no se identifican bien los proveedores críticos, aparecerán los llamados proveedores invisibles».
Además, reveló que, según datos del CCI, cerca del 60 por ciento de las empresas industriales no realiza análisis de riesgos de sus proveedores. «Eso significa que no sabemos exactamente el riesgo que estamos corriendo», afirmó. Por eso, propuso pasar «de la desconfianza contractual a la confianza digital», promoviendo una ciberresiliencia compartida entre unos y otros. «La vulnerabilidad de un proveedor es también la vulnerabilidad del cliente», y solo una cooperación activa permitirá anticipar y recuperarse colectivamente de los incidentes, opinó.
Desafíos actuales de la ciberseguridad industrial
A partir de aquí comenzó el debate que giró en torno a los retos de la ciberseguridad industrial, especialmente en lo relacionado con la gestión del riesgo en la cadena de suministro, la necesidad de reforzar los controles de acceso remoto, la madurez de los entornos OT y la convergencia con IT. Los participantes coincidieron en que la digitalización acelerada, las interconexiones crecientes y la dependencia de proveedores hacen que la protección de las infraestructuras industriales requiera nuevas capacidades, más colaboración y una visión transversal.
Precisamente, uno de los temas comentados más recurrentes fue la dificultad de aplicar medidas tecnológicas avanzadas, como la microsegmentación, en entornos OT. Aunque está ampliamente implantada en IT, su adopción industrial se encuentra más limitada. Por ejemplo, José Luis Gallego, ICSO de Moeve Chemical, explicó que su organización la ha implementado sobre todo en IT: «En OT hemos hecho avances, pero dependemos mucho de los fabricantes. Es más una negociación que una decisión técnica», aseguró.
Desde Saica, su CISO, José Enrique Martínez, también reconoció que su compañía ha avanzando en IT, pero no ha llegado al mismo nivel en OT: «Estamos empezando y tenemos la intención de llegar también en OT a la parte de segmentación», afirmó.
Álvaro Raimúndez, ICSO de Grupo GEA, apuntó que en los nuevos proyectos industriales están integrando esas tecnologías, aunque reconoció que en las plantas existentes «es difícil entrar y modificar». En su caso, la microsegmentación se incorpora «desde la fase de ingeniería», siempre que el cliente lo requiera.
En este punto, Gustavo Armas, Cybersecurity Large Enterprise Account Executive de Zscaler, defendió que «una buena integración es mucho mejor que intentar abordar algo en lo que no eres nativamente valioso», apostando por alianzas con proveedores especializados para reforzar la segmentación y la visibilidad.
Estos dos conceptos también fueron claves para Sergio Mendoza, Regional Sales Director de Nozomi para Iberia, Greece & Southeast Europe, los cuales están implementando en su empresa. «Sin una buena visibilidad no hay una buena microsegmentación y viceversa», explicó.
Ahora bien, en palabras de Javier del Nido, CISO de Exolum, «las instalaciones industriales son complejas y no siempre están actualizadas», por lo que insistió en la necesidad de combinar microsegmentación y detección proactiva de ataques.
Se trata de un aspecto en el que, a juicio de Antonio Martínez, CISO de Metro de Madrid, se puede avanzar, pero «sin la complicidad de los fabricantes, probablemente no se llegue al mejor escenario».
Proveedores, acceso remoto y ciberseguridad industrial
Seguidamente, la mesa redonda abordó el papel de los proveedores. Los expertos invitados coincidieron en que su comportamiento y cultura de seguridad sigue siendo un factor crítico, porque sin conciencia de riesgo, ni inversión suficiente, muchos de ellos se convierten en el eslabón más débil. En este sentido, Martínez, de Metro de Madrid, destacó que su organización ha implantado un modelo de evaluación de proveedores y que «todos los proyectos comienzan con reuniones exclusivas de ciberseguridad para asegurar la trazabilidad de los requisitos».
Por su parte, Miguel Hormigo, director de Sector Industria de GMV, subrayó la importancia de involucrar a los proveedores «desde la definición de los contratos y la gestión de crisis», y advirtió sobre la necesidad de establecer reglas claras de salida para los servicios gestionados.
Otro bloque fundamental del debate fue el del acceso remoto. Aquí se dejó patente que la mayoría de los incidentes en entornos industriales se producen a través de conexiones externas que no están suficientemente controladas. Y que existen aún muchas prácticas inseguras como el uso de herramientas no gestionadas o la ausencia de supervisión de lo que un proveedor realiza dentro de la red.
Nieves Gutiérrez, ICSO de Campofrío, explicó en este sentido que su compañía está evaluando un sistema para controlar el acceso de fabricantes e integradores, ya que «no es igual conectarse a un PLC que a un ordenador». Según advirtió, muchos proveedores aún utilizan herramientas poco seguras para tareas de mantenimiento.
Al respecto también se pronunció Jairo Ortiz, representante de Cyolo, quien incidió en que los operadores industriales no solo deben pensar en el acceso, sino también en la supervisión de la sesión: «Se requieren soluciones específicas que nos permitan monitorizar qué nos están haciendo y cortar la sesión si vemos que algo no está bien», mencionó.
Asimismo, Eva Fernández, ICSO de Urbaser, insistió en que «hay que cambiar la mentalidad y exigir controles seguros en los accesos remotos».
Convergencia OT/IT
La convergencia IT/OT también ocupó una parte destacada de la conversación. Aunque la digitalización está acercando ambos mundos, la realidad organizativa sigue siendo muy dispar. Y mientras algunas compañías han integrado completamente sus equipos y políticas de ciber-seguridad, otras mantienen estructuras separadas debido a las particularidades de cada entorno.
Por ejemplo, Carlos Asún, CISO de Food Delivery Brands, señaló el desfase aún existente en muchas fábricas. En su caso, reconoció que «en OT existía poca seguridad» hasta hace pocos años; y que, aunque han avanzado en segmentación y controles, «queda todavía camino por recorrer» para alcanzar un grado de madurez comparable al que tienen en IT.
Hormigo, de GMV, resumió su percepción al respecto: «Llevamos mucho tiempo hablando de un concepto que es convergencia IT/OT, y para mí más que convergencia es migración. Yo creo que es una migración de OT a IT», opinó.
Esa idea de que las políticas, los marcos y los procesos de IT se están extendiendo al entorno industrial fue recurrente. Sin ir más lejos, Paula Ejarque, ICSO de Saica, compartió cómo su organización ha evolucionado hacia un modelo transversal tras la entrada en vigor de la Directiva NIS. Según explicó, esta transición «llevó a integrar equipos mixtos y a elevar la ciberseguridad al máximo nivel de decisión en el comité ejecutivo».
Desde Urbaser, Fernández confirmó un modelo organizativo completamente integrado: «Nuestro CISO responde tanto para IT como para OT. Estamos completamente integrados en las herramientas que utilizamos de monitorización y alarma». De hecho, a su juicio, la ciberseguridad industrial debe gestionarse como un único dominio: «Al final todos conocemos lo que se está haciendo, porque es nuestra forma de proteger toda la infraestructura», completó.
Lilí López, Enterprise Security Sales Specialist Iberia de Akamai, también se pronunció al respecto afirmando que desde su empresa «están intentando aportar valor a las empresas en este ámbito y proporcionarles una plataforma desde la que tengan visibilidad tanto del mundo IT como OT».
Por su parte, Jordi Garaca, Senior Account Manager de TXOne Networks, argumentó que «el mundo industrial todavía está muy por detrás que en IT, actualizando incluso equipos con USB. Y eso, sin duda, supone un gran vector de ataque».
Conclusión
En definitiva, el encuentro del CCI puso sobre la mesa que la ciberresiliencia industrial no depende solo de la tecnología, sino también de la cooperación entre fabricantes, integradores, operadores y las organizaciones industriales. En este punto, la microsegmentación, el control de accesos y la visibilidad son pasos necesarios, pero insuficientes sin una cultura de seguridad compartida que incorpore la confianza digital y la corresponsabilidad como principios de gestión del riesgo.
Una cultura de seguridad que encuentros como este tratan de fomentar, tal y como mencionó Yolanda Duro, directora de Red Seguridad, en este desayuno en el que también participó Susana Asensio, responsable de Proyectos del CCI.
Ciberresiliencia por diseño, visibilidad y microsegmentación
Marcos Jimena, Iberia SE Manager de Zscaler, destacó durante su intervención la necesidad de adoptar arquitecturas zero trust como pilar de la ciberresiliencia moderna. Y es que, frente a los enfoques clásicos basados en firewalls o VPN, esta arquitectura reduce drásticamente la exposición, evitando conexiones extremo a extremo y permitiendo controlar dinámicamente el riesgo en función de la identidad y el contexto.
El ponente subrayó, además, que la resiliencia debe entenderse como una estrategia integral y preventiva. En este sentido, presentó la tecnología Deception como un complemento proactivo del modelo zero trust, que permite engañar y estudiar al atacante mediante «señuelos realistas». La combinación de ambas soluciones, afirmó, constituye «la arquitectura más segura posible, especialmente en entornos OT, donde la visibilidad, la segmentación y la defensa activa son esenciales para garantizar la continuidad».
A continuación, Julen Cordón, Senior Sales Engineer de Akamai, habló sobre los riesgos que afrontan las redes industriales y la necesidad de controlar el acceso y el movimiento lateral en entornos OT. «Hay una falta de visibilidad muy grande en la red, especialmente en la parte OT», advirtió, subrayando que muchas empresas mantienen infraestructuras legacy y conexiones inseguras que incrementan el riesgo de sufrir brechas de seguridad.
El experto destacó que la prevención pasa por sustituir las VPN tradicionales por soluciones de acceso zero trust con autenticación multifactor y por implementar microsegmentación. «No hay un euro mejor gastado para reducir el riesgo que el destinado a mejorar la segmentación de la red», afirmó. Según explicó, este enfoque permite definir qué equipos y procesos pueden comunicarse entre sí, bloqueando cualquier conexión no autorizada. Así, «cuando se produzca una brecha, esta no podrá moverse lateralmente».
Archivado en:
