El Centro Común de Investigación (JRC) de la Comisión Europea ha publicado recientemente el manual de implementación del Plan de Seguridad del Agua para Sistemas de Agua Potable. En palabras del propio organismo europeo, “el agua es un sector de infraestructuras fundamental que sirve a las comunidades y a las empresas a diario. La aplicación de medidas de seguridad para contrarrestar las acciones hostiles contra la integridad física y cibernética de los sistemas de suministro de agua y la contaminación deliberada del agua requiere un proceso de planificación adecuado que incorpore estudios de evaluación de riesgos, el establecimiento de estrategias de comunicación, protocolos y métodos de detección”.
Una vez analizado el manual, Chris Grove, analista de Seguridad de Nozomi Networks, la compañía líder en seguridad OT e IoT, comenta:
“El manual de implementación del Plan de Seguridad del agua para sistemas de agua potable adopta en general un enfoque bastante novedoso y coordinado para mejorar la seguridad del suministro de agua de la Unión Europea, combinando los riesgos técnicos con los físicos y abordando el problema teniendo en cuenta ambas perspectivas. Algunas de las recomendaciones podrían abordarse de manera más efectiva aprovechando los enfoques basados en normas existentes, como ISO, IEC, ISA u otras best practices de ciberseguridadLas soluciones de ciberseguridad son esenciales en la era di... específicas, junto con sus correspondientes normas del mundo físico.
Una de las áreas de interés donde el plan entra en detalles es la Sección 2.2.3 y las expectativas de los sensores de tráfico de red. Esta recomendación es ligeramente errónea, ya que el tráfico de red en sí mismo, en términos de volumen y flujo, no es tan importante como los comandos reales, el flujo de valores (no paquetes), los valores reales y el contexto de los parámetros de control industrial que se establecen. Los operadores que sigan el consejo de los planes pueden acabar persiguiendo fantasmas, ya que el volumen de tráfico de la red puede verse afectado por múltiples factores, como un mayor número de personas in situ, entre otros.
El objetivo de dicha Sección es conocer una anomalía o fallo que afecte a los sistemas de control industrial y que pueda afectar a la producción de agua, no la forma y características del tráfico de red general. Muchos ataques no generan suficiente volumen para ser detectados de esa manera. En cambio, analizando los protocolos hasta los niveles de payload, inspeccionando la transacción y auditando la infraestructura que controla los procesos industriales es donde se podrían emplear mejor estas energías.
En general, creo que el plan da un gran paso en la dirección correcta y podría beneficiar a los operadores de las instalaciones de agua que desconocen las medidas necesarias para garantizar la seguridad de los sistemas públicos de agua. En particular, me ha gustado la mención de repartir la responsabilidad de mitigar el riesgo entre sus componentes recomendando que tengan un suministro de agua potable para dos semanas, lo que minimizaría el impacto de un ataque, dando a los operadores tiempo para recuperarse”.
