Tras la crisis sanitaria y el confinamiento, el sector industrial también ha sufrido sustancialmente. Sin embargo, no podemos olvidar el Plan de Recuperación, Transformación y Resiliencia, impulsado por el gobierno para “apoyar a corto plazo la recuperación, impulsar a medio plazo un proceso de transformación estructural, y llevar a largo plazo a un desarrollo más sostenible y resiliente”. Entre las medidas previstas se encuentran la modernización y digitalización del tejido industrial y de la pyme, con la conectividad digital, el impulso de la ciberseguridad y el despliegue del 5G. Es decir, el impulso de la industria 4.0.
Sin embargo, es precisamente en este último punto dónde existe un aspecto que quizá no se haya definido con el detalle que requiere: la indefinición en materia de ciberseguridad, que en el contexto de una transición 4.0 basada en el principio de integración entre lo físico y lo digital, representa un riesgo significativo. Un riesgo cuyo alcance es difícil de anticipar, evaluar y mitigar. A pesar de ello, existe una certeza: frente a las amenazas cibernéticas, las empresas manufactureras de todo el mundo y sus cadenas de suministro deben actuar con rapidez e invertir en nuevas tecnologías para proteger mejor sus negocios.
Índice de temas
Un nivel de amenaza creciente
Según un reciente informe de IBM Security, los ciberataques han aumentado en 2021, duplicándose en el caso de sectores relacionados con la lucha contra COVID-19. El sector manufacturero, en particular, se convirtió en el segundo más atacado, subiendo 6 posiciones desde el octavo lugar del año anterior, mientras que el tipo de ciberataque más extendido fue el del compromiso del email corporativo (conocido como Business Email Compromise o BEC) en el que los servidores, el correo electrónico y los sistemas telefónicos se utilizan para llevar a cabo fraudes económicos que también pueden involucrar a sus extensas cadenas de suministro.
Se estima que este tipo de estafa habría causado daños por valor de 1.600 millones de euros en todo el mundo sólo en el año 2020. A esto hay que sumar los tradicionales delitos cibernéticos que han seguido evolucionando durante los últimos 20 años y el robo de propiedad intelectual, también mencionado como una amenaza constante por parte de aquellos que trabajan en entornos fabriles.
Las amenazas apuntan a las debilidades de origen
A pesar de su heterogeneidad, estos ataques plantean problemas comunes a cualquier responsable de seguridad de red de una empresa de fabricación.
El primero, transversal a todos los sectores, es que no hay nadie que no se vea afectado. Sin embargo, el sector manufacturero sigue siendo particularmente vulnerable, ya que es muy sensible a retrasos, demoras y a la falta de recursos limitados y necesarios, como puso de relieve la paralización del transporte mundial de mercancías provocada por el bloqueo del Canal de Suez tras el encallamiento de un barco mercante el pasado 23 de marzo de 2021.
Comprometiendo sólo un elemento de una red, como los sistemas de facturación o de correo electrónico, los ciberdelincuentes pueden paralizar líneas de producción enteras. No es una coincidencia que las campañas de ransomware se basen principalmente en la detección de puntos débiles, ya que a menudo ingresan en las redes a través de interfaces de software menos sólidas, como redes privadas virtuales corporativas (VPN) o puertos de diagnóstico o soporte remoto y permanecen en silencio incluso meses antes de llevar a cabo la extorsión. Precisamente por eso, defenderse de este tipo de amenazas requiere una gran atención en el diseño de la red y un conocimiento preciso de sus puntos débiles; es decir, tener una visibilidad completa, un elemento difícil de conseguir.
La vulnerabilidad de los sistemas de control industrial (ICS)
Los sistemas de control industrial (ICS) y las redes de producción, típicos de las empresas de fabricación, no son lo suficientemente inmunes a las debilidades diarias de los sistemas de TI corporativos. Así lo demuestran ejemplos como los ataques WannaCry y NotPetya de 2017, que afectaron a empresas reconocidas, incluidas Nissan, Renault o el gigante farmacéutico Merck, por nombrar sólo algunos ejemplos.
Las redes informáticas y de fabricación están cada vez más interconectadas, con una tendencia operativa lógica que permite a un solo equipo de TI gestionar los sistemas de producción de forma integrada, pero también los expone a ataques difíciles de anticipar. Hace unos meses, por ejemplo, una planta de tratamiento de agua de Florida sufrió un ciberataque a su sistema ICS. Los atacantes lograron penetrarlo y alterar los niveles de químicos en un intento de envenenar el agua, pero afortunadamente la intrusión se detectó y se resolvió rápidamente sin que causase daño a la población.
¿Cuál es el futuro de la seguridad de la IoT industrial (IIoT)?
Las tecnologías IIoT han surgido en paralelo al IoT y se basan en plataformas y protocolos comunes y, lamentablemente, replican los agujeros de seguridad correspondientes. Por esta razón, lo que las hace más fáciles de administrar y más baratas de desarrollar es también lo que las hace vulnerables. Los ciberdelincuentes, conscientes de que los sistemas de control de producción se basan cada vez más en tecnologías comunes, ahora pueden operar de manera más simple y con menos esfuerzos específicos.
Al igual que con el IoT, en el IIoT, también se han subestimado las necesidades de seguridad de los dispositivos, y muchos de esos dispositivos de primera y segunda generación muestran vulnerabilidades tanto en su configuración como en su diseño de software. Una vez desplegados, no es fácil solventar el problema, especialmente cuando los tiempos de inactividad de los sensores y de los dispositivos generan problemas de producción. Estas vulnerabilidades inherentes a los equipos requieren un nivel de visibilidad que es extremadamente difícil de lograr para la mayoría de las empresas.
Además, las empresas 4.0 que invierten en IIoTy en automatización se exponen al riesgo de ataques de ransomware, con un impacto potencial en sus cadenas de suministro. A largo plazo, abordar el desafío de la seguridad de TI requiere soluciones de seguridad que puedan funcionar de manera unificada a través de un único sistema de gestión. En lugar de dar marcha atrás aislando las redes industriales, tiene más sentido integrarlas de forma segura. Las empresas necesitan acceder a un inventario preciso de sus sistemas, monitorizar su estado en tiempo real y tener un método de gestión de mantenimiento, que incluye parches de manera estructurada. Incluso antes de comprar el equipo es imperativo verificar su seguridad y la capacidad de remediar sus vulnerabilidades. La información sobre amenazas de tantas fuentes como sea posible debe integrarse para obtener una visión completa de los ataques, tanto preventivos como detectados en incidentes reales. Por último, se debe prestar especial atención a las conexiones a la red corporativa, para no crear puertas traseras que los atacantes puedan explotar, como las VPN sin parche que se utilizan para el mantenimiento remoto.
Si bien todos los sectores están expuestos a peligros muy elevados, el sector manufacturero solo se ha dado cuenta recientemente de sus riesgos inherentes e inevitables. Para asegurar su futuro a largo plazo, en un contexto de inseguridad latente, tendrá que hacer de la ciberseguridad un motor empresarial por derecho propio.
