Ciberseguridad de infraestructuras críticas para una defensa conectada y control operativo

La ciberseguridad de infraestructuras críticas protege los sistemas que sostienen los servicios esenciales. Cypher Sentinel añade una capa de convergencia soberana al entorno de seguridad existente, conectando el contexto de seguridad de TI y OT aprobado con capacidades nativas y coordinación asistida por IA. Los operadores definen el límite de implementación y la autoridad para las acciones que afectan a sus sistemas.

Proteja el servicio, el proceso y los datos

La tecnología operativa incluye sistemas de control industrial (ICS) y sistemas de supervisión, control y adquisición de datos (SCADA) utilizados para supervisar y controlar procesos físicos.

Una decisión de ciberseguridad en un entorno operativo puede afectar a un proceso físico. Por tanto, la protección de infraestructuras críticas debe tener en cuenta la continuidad del servicio, las restricciones de ingeniería y las personas responsables de un funcionamiento seguro.

NIST SP 800-82 Rev. 3 aborda los requisitos específicos de rendimiento, fiabilidad y seguridad física de la tecnología operativa. Estos requisitos deben formar parte del flujo de seguridad desde el principio: cómo se recopilan los datos, cómo se evalúa una alerta y quién puede autorizar un cambio en un sistema operativo.

Conecte el contexto de seguridad de TI y OT

El enfoque de Cypher Sentinel centrado en la integración comienza con los sistemas de SIEM, endpoints, identidad, redes y supervisión OT que ya existen. Los puentes de integración y las API conectan fuentes y flujos de trabajo seleccionados a la plataforma de convergencia. El piloto verifica las interfaces, la dirección de los datos, los permisos y las versiones de los productos necesarios para el caso de uso elegido.

• Contexto de identidad y acceso: comprenda la cuenta, la vía de acceso remoto y el rol permitido implicados en la investigación.
• Contexto de activos y servicios: relacione la actividad observada con los sistemas afectados, la zona operativa y las dependencias del servicio.
• Contexto de seguridad: conecte las alertas, los eventos y la inteligencia seleccionados necesarios para investigar el escenario.
• Autoridad operativa: identifique el equipo que puede aprobar la respuesta, su alcance permitido y la vía de recuperación.

La arquitectura de la plataforma explica cómo encajan las entradas, el contexto compartido, la coordinación de capacidades y los límites de actuación.

Un flujo de trabajo para evaluar: acceso remoto de ingeniería

Considere un escenario de piloto ilustrativo que implique el uso sospechoso de una cuenta de ingeniería remota. Incorpore a la investigación las señales aprobadas de identidad, endpoints y supervisión. Revise la criticidad del activo, el trabajo que se está realizando y la ventana de mantenimiento. El operador responsable elige después la acción permitida y registra la decisión. Este flujo de trabajo debe validarse frente a sus sistemas y procedimientos durante el piloto.

Defina el alcance en torno al servicio esencial

La misma arquitectura de convergencia puede evaluarse frente a distintos requisitos operativos. Defina los activos importantes y las dependencias de los servicios antes de seleccionar el alcance tecnológico.

• Energía y servicios públicos: priorice la continuidad, el acceso de ingeniería y el límite entre los sistemas empresariales y los entornos de control.
• Agua y operaciones industriales: identifique los procesos, las restricciones de los equipos y la actividad de mantenimiento autorizada que dan significado operativo a una alerta.
• Comunicaciones y transporte: trace las dependencias de los servicios, la administración distribuida y el efecto de una respuesta sobre las operaciones conectadas.
• Infraestructura financiera: establezca los requisitos de identidad, servicios de transacciones y pruebas para los sistemas incluidos en el piloto.

Cada piloto debe documentar los dispositivos, protocolos, versiones y herramientas de supervisión existentes de los que depende. Confirme la cobertura y el método de recopilación necesarios para ese entorno antes de ampliar el alcance.

Mantenga la implementación y la respuesta bajo su control

El operador define dónde se ejecuta la plataforma, dónde residen los datos y las claves, qué identidades pueden administrarla y qué conexiones externas se permiten. El plan de implementación también cubre el alojamiento del modelo, las fuentes de inteligencia, los procedimientos de actualización y las capacidades necesarias durante una pérdida de conectividad. Consulte la plataforma de ciberseguridad soberana para las decisiones de implementación.

La automatización debe ajustarse a la autoridad operativa. Distinga la observación y las recomendaciones de las acciones sujetas a aprobación y de los flujos automatizados delimitados. Para las acciones que puedan afectar a la producción o la seguridad física, defina al responsable de la decisión, las comprobaciones operativas y el procedimiento de recuperación antes de habilitar el flujo de trabajo.

Diseñe un piloto en torno a la seguridad operativa

Un piloto útil es lo bastante acotado para evaluarlo y lo bastante significativo para orientar la siguiente decisión de implementación. Comience con un servicio o emplazamiento y un escenario de amenaza que los equipos de seguridad y operaciones consideren relevante.

• Establecer el límite: identifique los activos, las restricciones operativas, las fuentes de datos permitidas y las personas responsables del piloto.
• Verificar la recopilación: acuerde el método de recopilación, incluida la telemetría pasiva o existente cuando proceda, y evalúe su impacto operativo.
• Ejercitar el flujo de trabajo: investigue el escenario elegido con las integraciones seleccionadas, las aprobaciones acordadas y el procedimiento de recuperación.
• Revisar las pruebas: compare la integridad de los datos, el esfuerzo de investigación, el tiempo hasta una decisión aprobada y el impacto operativo con la referencia documentada.

Pase del piloto a una implementación más amplia mediante una decisión de aceptación de los sistemas y capacidades evaluados. Utilice los resultados para precisar la cobertura de integración, la responsabilidad operativa y el siguiente caso de uso.

Integre las pruebas de garantía en la arquitectura

Utilice los requisitos sectoriales aplicables y las normas operativas internas para definir los controles y las pruebas necesarios. Los Objetivos de Rendimiento de Ciberseguridad Intersectoriales de CISA proporcionan una base voluntaria y priorizada de prácticas de seguridad. Las directrices de seguridad OT de NIST ofrecen una referencia para las restricciones de los sistemas industriales y otros sistemas físicos.

Para cada requisito, identifique la función de la plataforma o herramienta existente pertinente, la configuración, el responsable y las pruebas que se revisarán. Una implementación y una evaluación documentadas establecen el argumento de garantía para el entorno real.

Prepare las infraestructuras de larga vida para el cambio criptográfico

Incluya la criptografía en la revisión de activos y dependencias: dónde se utilizan claves y certificados, qué comunicaciones necesitan protección, cómo se autentican las actualizaciones de software y qué equipos pueden modificarse. Cypher Sentinel incorpora capacidades criptográficas avanzadas a la plataforma de seguridad para que las funciones seleccionadas puedan evaluarse junto con la arquitectura operativa más amplia.

NIST insta a las organizaciones a iniciar la migración poscuántica identificando la criptografía vulnerable y planificando actualizaciones. ML-KEM, estandarizado en FIPS 203, aborda el establecimiento de claves; ML-DSA y SLH-DSA, estandarizados en FIPS 204 y 205, abordan las firmas digitales. La transición debe tener en cuenta la interoperabilidad de protocolos, el ciclo de vida de las claves, las restricciones de los equipos y las ventanas de cambio aprobadas. Lea la visión general de ciberseguridad poscuántica.