Una visión global de la ciberseguridad de los sistemas de control (I)

Es un hecho que la ciberseguridad de los sistemas de control industrial constituye una de los grandes asuntos del momento. Desde hace algunos años existe una preocupación generalizada acerca de las amenazas que se ciernen sobre estos elementos críticos para el funcionamiento de las sociedades modernas y su capacidad para enfrentarse a ellas. Sin embargo, el progreso es exasperadamente lento y, en términos prácticos, poco parece haberse avanzado. ¿Por qué? ¿Acaso la magnitud del riesgo no justificaría que se adoptasen medidas con la máxima urgencia?

Para descubrir la causa de esta aparente contradicción hay que comenzar por cuestionarse incluso lo que parece evidente. Y para empezar, nada mejor que repasar la primera afirmación de este texto:

¿Es un hecho que la ciberseguridad de los sistemas de control industrial constituye uno de los grandes asuntos del momento? ¿Constituye este asunto una preocupación generalizada?

Pues, lamentablemente, NO, al menos para el conjunto de profesionales que, desde uno u otro lado, trabajan en el ámbito del control industrial o, para acotar más el problema, en el ámbito del control industrial asociado a infraestructuras críticas.

La afirmación sería cierta si acotásemos su ámbito de aplicación al mundo de los expertos en seguridad o, por ser más específicos, en seguridad tecnológica. En el contexto actual de superespecialización es fácil ser víctima del efecto túnel, confundir la parte por el todo. Por ello es necesario levantar la cabeza y mirar alrededor, más allá de los límites de nuestra actividad diaria, de nuestros clientes, compañeros de trabajo, revistas y blogs profesionales.

Los sistemas de control industrial no son diseñados, construidos y explotados por expertos en seguridad TIC. Es más, la participación de ingenieros informáticos es muy limitada y, en muchos casos, por desgracia inexistente. Las decisiones acerca de las especificaciones de diseño de los nuevos sistemas y las modificaciones de los existentes serán adoptadas por profesionales que desarrollan su actividad en el ámbito de la ingeniería industrial, la obra civil y la explotación de infraestructuras. Pongamos un ejemplo: el jefe de una planta de tratamiento de aguas es, en ocasiones, un licenciado en farmacia que ni sabe, ni quiere saber, mucho de seguridad y según él su trabajo será, estemos o no de acuerdo, que la planta funcione.

La pregunta, por tanto, es: “Para los responsables del diseño, construcción y explotación de infraestructuras, ¿constituye la ciberseguridad de los sistemas de control industrial una de sus principales preocupaciones?”

Nuevamente, la respuesta es, lamentablemente, NO.

Tenemos la impresión de que existe una gran separación entre las expectativas de los expertos en seguridad o, concretando, en seguridad TIC y el grado de avance real, práctico y material en la cuestión. El hecho de que se escriban ríos de tinta, de que se promulgue nueva legislación, se organicen charlas, congresos y similares sirve de poco si todo este esfuerzo se produce únicamente en el ámbito tecnológico, por expertos TIC, apadrinado por entes, agencias y organismos de vocación y formación TIC y dirigido a (o, al menos, asimilado) casi exclusivamente por personal TIC.

En nuestra opinión, la mutua invisibilidad entre los dos ámbitos profesionales que confluyen en esta cuestión supone un riesgo al menos igual al de las propias amenazas tecnológicas. Como en tantas cosas, el mensaje es tan importante como los medios empleados para transmitirlo e ignorar este hecho, independientemente de la razón que se pueda tener, es una receta segura para el desastre. Así pues, ¿a qué se debe esta situación?

Comencemos por el principio. Como es sabido, los sistemas de control industrial eran, en su origen, desarrollos propietarios, cerrados, no estándares, aislados. El cambio de todas estas condiciones es el responsable de la situación actual de inseguridad, y se ha producido, principalmente, por la adopción por el sector industrial de sistemas de propósito general, como Windows o Linux, y de comunicaciones basadas en TCP/IP, principalmente (uno de los aspectos de la famosa convergencia). Ello supone, nadie lo niega, una ganancia en productividad, prestaciones, funcionalidad e interoperabilidad muy importante; ojo, y también un ahorro, también muy importante. Y también constituye la puerta de entrada para los expertos en seguridad tecnológica en un mundo hasta ese momento desconocido para ellos, al igual que para muchos expertos en el ámbito industrial es desconocido el concepto de seguridad. Pero atención: que podamos circular con nuestro coche estándar por carreteras estándar siguiendo un código de circulación común no quiere decir que conozcamos el territorio que atravesamos. Hay algunos hechos que debemos tener en cuenta si no queremos perdernos.

Se ha hablado mucho y no vamos a insistir en la falta de formación en ciberseguridad de los profesionales del ámbito industrial. De concienciación. Sin duda, son aspectos en los que se debe trabajar. Pero hay dos cuestiones en los que no se suele reparar y que son de la mayor importancia: la inercia/conservadurismo y el corporativismo.

En el sector de la gestión del proyecto, construcción y explotación de infraestructuras y sistemas industriales hay una gran renuencia a adoptar cambios. Y es perfectamente comprensible en un área en la que las inversiones se miden en cientos de miles y millones de euros. Los fallos cuestan caros (o, incluso, vidas) y no se pueden resolver con parches. Sólo se adoptan soluciones probadas y las innovaciones se prueban en instalaciones piloto durante un tiempo que puede llegar a medirse en años. ¿Hay algo comparable en el mundo TIC a un transformador de transporte de energía eléctrica, con una vida útil de 30 años? Aunque seguro que existe algún ejemplo, no será la tónica habitual… Esta aversión al riesgo está grabada a fuego en la mentalidad de un ingeniero industrial y una visión realista del problema debe tener en cuenta este hecho.

Por otra parte, no debe desdeñarse la cuestión del corporativismo, clasismo o como le queramos llamar. Tradicionalmente la gestión de infraestructuras ha sido terreno propio de la Administración. En un principio directamente, posteriormente a través de empresas públicas, y sólo recientemente por las empresas resultantes de la privatización de estos servicios. Estas empresas tienden a tener estructuras muy rígidas y jerarquizadas, con ámbitos de responsabilidad (o autoridad, o, directamente, cotos) muy definidos sobre los que existe casi un sentimiento ‘patrimonial’. Por tanto, existe una gradación casi feudal en función del nivel (ingeniero superior, ingeniero técnico, técnico) e incluso de la titulación (ingenieros de caminos, ingenieros industriales, ingenieros informáticos…). En muchas ocasiones, los hechos no son tan importantes como la persona o departamento que se hace cargo de ellos, y la ciberseguridad es uno de estos casos.

Todas estas rigideces se trasladan al propio proceso proyecto-construcción-explotación, el cual se lleva a cabo siguiendo unos usos y relaciones entre las personas y empresas intervinientes tan antiguo y procedimentado que casi lo podríamos denominar ‘ritual’. Lamentablemente, en muchos casos el control del proceso está en manos de personas con gran experiencia en obra civil y muy poca en sistemas de control, cuánto menos en seguridad. Estas últimas, quizá las más próximas a entender los riesgos de la falta de ciberseguridad, son precisamente los más alejados de los foros en los que se adoptan las decisiones en la obra.

Tampoco hemos de perder de vista la forma en que se ejecutan las obras públicas y se produce su paso a explotación. Por lo general, las personas que intervienen en la construcción pierden el contacto con la obra tan pronto ésta termina. Serán sustituidas por otras que se dedicarán a gestionar la explotación y que, normalmente, se enfrentan a su trabajo con un conocimiento limitado de las decisiones que se tomaron durante la construcción y la realidad de las instalaciones ejecutadas (un sistema conectado a Internet durante la obra probablemente quedará configurado por defecto y sin conocimiento de los responsables, durante mucho tiempo). Y no hay que perder de vista, además, que cada participante posee sus propios intereses (la empresa explotadora se centrará en aquellas tareas que tengan repercusión inmediata en la determinación de su remuneración, por ejemplo) razón por la cual decisiones erróneas en fases previas a la explotación quedan ‘fosilizadas’, ya que no es evidente la relación entre el esfuerzo dedicado a labores como éstas y la remuneración percibida (podríamos hablar largo y tendido del coste de la no seguridad). Es la maldición del responsable de mantenimiento, víctima en muchas ocasiones del síndrome de Casandra.

En este punto podemos formular una nueva pregunta: ¿tiene en cuenta el enfoque actual de la ciberseguridad industrial este contexto?