Paso 3. Construir capacidad de respuesta
En el paso anterior identificamos los procesos esenciales, los componentes que los soportan, sus dependencias y las comunicaciones necesarias para mantener la operación. Ahora que comprendemos qué debemos proteger, aparece una nueva pregunta
¿Qué capacidades necesita realmente la organización para reducir el riesgo y actuar cuando las medidas de protección no sean suficientes?
Muchas organizaciones responden a esta cuestión desplegando controles de manera independiente, como un firewall, una herramienta de monitorización, autenticación multifactor, protección de endpoints o un procedimiento de respuesta ante incidentes.
Todas estas medidas pueden ser necesarias, pero su eficacia depende de que formen parte de una capacidad coordinada.
Porque está demostrado cuando se sufre un ciberincidente de alto impacto que proteger sin detectar genera una falsa sensación de seguridad, también detectar sin responder produce alertas sin consecuencias y responder sin conocer previamente la arquitectura puede provocar decisiones que agraven el impacto sobre la operación.
Tres capacidades que deben funcionar como una sola
La protección tiene como objetivo reducir la probabilidad de que un incidente afecte a los procesos industriales. Incluye medidas como la segmentación, el control de accesos, el endurecimiento de sistemas, la gestión de vulnerabilidades o la protección de las comunicaciones.
Sin embargo, ningún conjunto de controles elimina completamente el riesgo. Por este motivo, la organización debe disponer también de capacidades para detectar comportamientos anómalos, accesos no autorizados, cambios inesperados o comunicaciones que no se corresponden con el funcionamiento habitual del proceso.
Cuando la detección confirma que algo está ocurriendo, en ese momento comienza la respuesta y ya no basta con disponer de procedimientos generales, será necesario saber qué sistemas pueden aislarse, qué funciones deben mantenerse, qué responsables deben intervenir y qué decisiones podrían afectar a la seguridad física o a la continuidad operativa.
Protección, detección y respuesta deben diseñarse conjuntamente alrededor del proceso industrial esencial.
SG2CI convierte las medidas en capacidades operativas
Dentro de SG2CI, este tercer paso se desarrolla principalmente mediante los dominios D5 (Cultura, formación y comunicación), D6 (Protección y control de sistemas industriales) y D7 (Monitorización, detección y respuesta).
- El dominio D5 persigue que las personas formen parte activa de la protección de la operación industrial. La ciberseguridad deja de ser una responsabilidad exclusiva del área especializada para convertirse en una capacidad compartida por operadores, mantenimiento, ingeniería, responsables OT, responsables IT, dirección y proveedores. La formación adaptada a cada rol, la comunicación interna y el entrenamiento periódico permiten que la organización responda de forma coordinada cuando aparece una situación de riesgo.
- El dominio D6 establece las capacidades necesarias para proteger los procesos industriales frente a accesos no autorizados, errores de configuración, cambios no controlados o ciberataques. Incluye la protección de las zonas industriales, el control de las comunicaciones entre conductos, la gestión de identidades y accesos, el endurecimiento de sistemas, la protección de las estaciones de ingeniería, la gestión de vulnerabilidades y la aplicación de medidas proporcionadas al nivel de criticidad identificado durante el análisis de riesgos.
- Por su parte, el dominio D7 desarrolla las capacidades para observar continuamente el comportamiento de la operación industrial, identificar desviaciones respecto al funcionamiento esperado y coordinar una respuesta eficaz. No se limita a implantar herramientas de monitorización, sino que establece cómo generar visibilidad sobre la operación, cómo gestionar las alertas, cómo investigar un incidente y cómo coordinar las actuaciones entre operación, mantenimiento, OT, IT, ciberseguridad y proveedores externos.
La combinación de estos tres dominios permite que la organización evolucione desde una colección de controles técnicos independientes hacia una capacidad operativa integrada, donde las personas conocen su papel, las medidas de protección responden al riesgo real y la organización está preparada para detectar y responder de forma coordinada cuando las barreras preventivas dejan de ser suficientes.
RECIN para convertir la arquitectura en controles efectivos
La arquitectura modelada en RECIN durante el paso anterior permite ahora decidir dónde deben aplicarse las medidas de seguridad.
Las zonas identificadas pueden asociarse con requisitos de protección concretos. Los conductos permiten analizar qué comunicaciones son necesarias, cuáles deberían restringirse y qué mecanismos de seguridad deben utilizarse. Los servicios y dependencias ayudan a valorar qué impacto tendría bloquear, aislar o detener un determinado componente.
RECIN permite pasar de una afirmación genérica como “debemos segmentar la red” a decisiones mucho más precisas como qué zonas deben separarse, qué flujos deben monitorizarse, qué accesos requieren mayores garantías o qué controles necesita cada componente según su función y criticidad.
De este modo, los controles dejan de implantarse de manera uniforme y comienzan a responder al riesgo real de cada proceso.
ESCIM para preparar la organización para actuar
Aunque RECIN permite diseñar la protección y comprender dónde debe observarse la actividad, la organización necesita comprobar si está preparada para responder, para ello, SG2CI se apoya también en ESCIM, la plataforma del CCI para diseñar y ejecutar escenarios de ciberincidentes industriales.
ESCIM permite representar cómo podría evolucionar un incidente, qué técnicas podría utilizar un atacante, qué evidencias podrían detectarse y qué decisiones deberían tomar los distintos responsables durante cada fase. El objetivo no es predecir exactamente el próximo incidente, sino entrenar la capacidad de coordinación antes de que ocurra.
Mediante estos escenarios, la organización puede comprobar si los controles diseñados en RECIN generan suficiente visibilidad, si las alertas llegan a las personas adecuadas y si las decisiones de respuesta tienen en cuenta la continuidad y la seguridad del proceso industrial.
¿Cómo saber si este tercer paso está conseguido?
Al finalizar esta fase, la organización debería conocer qué controles protegen cada proceso esencial, qué actividad necesita observar, qué eventos deben generar una alerta y cómo debe actuar cuando se detecta una situación anómala.
También debería ser capaz de demostrar que las decisiones de respuesta han sido ensayadas y que existe coordinación entre las áreas técnicas y operativas.
No se trata de disponer de todas las herramientas del mercado, sino de contar con una capacidad coherente, proporcionada al riesgo y preparada para funcionar bajo presión.
Una reflexión final
Una planta industrial no está protegida porque tenga muchos controles, del mismo modo que una ciudad no está segura únicamente porque tenga muros. También necesita vigilancia, capacidad para interpretar lo que está ocurriendo y personas preparadas para tomar decisiones cuando aparece una amenaza.
El tercer aprendizaje que propone SG2CI es que la protección reduce el riesgo, la detección evita que el incidente permanezca oculto y la respuesta limita su impacto sobre la operación.
RECIN permite convertir la arquitectura industrial en controles y puntos de observación. ESCIM permite comprobar si la organización sabrá actuar cuando esos controles no sean suficientes.
En el próximo post abordaremos el cuarto paso que consistirá en cómo gobernar el riesgo introducido por proveedores, mantenedores, integradores, fabricantes y servicios externos que participan en los procesos industriales esenciales.
