Política de ciberseguridad OT (Tecnología Operativa) basada en la norma ISA/IEC 62443

1. Introducción y Propósito

Establece el marco general de la política, alineando las mejores prácticas de ISA 62443 para sistemas industriales y las recomendaciones de ISO/IEC 27001 para la gestión de la seguridad de la información.

Objetivo: Proteger la integridad, disponibilidad y confidencialidad de los sistemas de control industrial (ICS) y otros activos críticos.
Ejemplo: “Esta política define los controles de ciberseguridad necesarios para proteger la infraestructura OT contra amenazas cibernéticas, cumpliendo con los requisitos de la norma ISA 62443 y las buenas prácticas de la ISO/IEC 27001.”

2. Alcance y Ámbito de Aplicación

Define los sistemas, procesos, roles, responsabilidades y redes OT cubiertos por la política, especificando entornos ICS como SCADA, DCS y PLC.

Ámbito: Aplica a todos los activos físicos y lógicos de OT, incluyendo empleados, contratistas y socios externos que interactúan con estos sistemas.
Ejemplo: “La política se aplica a todos los sistemas de control, redes de comunicación, servidores de monitoreo y dispositivos de campo ubicados en las plantas industriales de la organización.”

3. Gestión de Riesgos OT (ISO/IEC 27005)

Alineado con la ISO/IEC 27005, detalla el proceso de identificación, análisis y tratamiento de riesgos específicos de OT.

Ejemplo: “Se realizarán análisis de riesgos cada seis meses para identificar vulnerabilidades en redes de comunicación industrial, utilizando métodos como HAZOP para procesos críticos.”

4. Control de Acceso y Gestión de Identidades (ISA 62443-3-3 & ISO/IEC 27002)

Establece procedimientos de autenticación, autorización y gestión de identidades para dispositivos y usuarios en sistemas OT.

Requerimientos: Control de acceso basado en roles (RBAC) y autenticación multifactor (MFA).
Ejemplo: “Solo los operadores autorizados y el personal de mantenimiento tendrán acceso a los dispositivos de control mediante MFA y tarjetas inteligentes.”

5. Segmentación de Redes y Protección Perimetral (ISA 62443-3-2)

Define la segmentación de redes OT y el uso de dispositivos de protección como firewalls, sistemas IDS/IPS y DMZ (zona desmilitarizada) entre TI y OT.

Ejemplo: “Se deben implementar firewalls industriales entre cada nivel del modelo Purdue para controlar el tráfico entre las zonas TI y OT, minimizando el riesgo de movimientos laterales.”

6. Gestión de Vulnerabilidades y Parcheo (ISA 62443-2-1 & ISO/IEC 27002:2022)

Establece procedimientos para la identificación y mitigación de vulnerabilidades, incluyendo el ciclo de gestión de parches y actualizaciones.

Ejemplo: “Las evaluaciones de vulnerabilidades se realizarán trimestralmente, utilizando herramientas como Nessus y actualizando software y firmware de acuerdo con los procedimientos de cambio.”

7. Respuesta a Incidentes y Recuperación (ISA 62443-2-1 & ISO/IEC 27035)

Detalla los pasos para la detección, análisis, contención, erradicación y recuperación ante incidentes cibernéticos que afecten la infraestructura OT.

Ejemplo: “Se mantendrá un equipo de respuesta a incidentes (IRT) que será activado en caso de ciberataques que afecten la disponibilidad de los sistemas SCADA.”

8. Concienciación y Capacitación en Ciberseguridad OT (ISA 62443-2-1 & ISO/IEC 27002:2022)

Programas de formación continua para el personal, con enfoque en buenas prácticas de ciberseguridad y procedimientos de respuesta ante incidentes.

Ejemplo: “El personal de mantenimiento y operadores recibirán capacitaciones semestrales sobre la detección de ciberataques y el uso seguro de dispositivos móviles en la planta.”

9. Gestión de Proveedores y Terceros (ISA 62443-2-4 & ISO/IEC 27036)

Alineado con la ISA 62443-2-4, define los requisitos de ciberseguridad que deben cumplir los proveedores de servicios y equipos industriales.

Ejemplo: “Todos los proveedores de sistemas de control deben cumplir con los requisitos de ciberseguridad de ISA 62443 y proporcionar un plan de gestión de parches y actualizaciones.”

10. Evaluación y Auditoría de la Política (ISO/IEC 27001: A.18)

Establece la frecuencia y los métodos para evaluar la efectividad de la política, así como auditorías internas y externas.

Ejemplo: “Se realizarán auditorías internas anuales para verificar el cumplimiento de esta política y detectar posibles desviaciones.”

11. Revisión y Actualización de la Política (ISA 62443-2-1 & ISO/IEC 27001: A.5)

Detalla el proceso para revisar y actualizar la política para garantizar su alineación con las nuevas amenazas y requisitos normativos.

Ejemplo: “La política de ciberseguridad OT será revisada cada año o cuando se presenten cambios significativos en la infraestructura o en el entorno regulatorio.”

12. Controles Técnicos y Procedimientos de Seguridad OT (ISA 62443-3-3 & ISO/IEC 27002:2022)

Listado de controles técnicos y procedimientos para proteger la infraestructura OT, como cifrado, control de acceso a dispositivos y monitoreo continuo.

Ejemplo: “Se utilizará cifrado AES para las comunicaciones entre dispositivos de nivel 2 y 3 del modelo Purdue, y se habilitará el monitoreo de logs de eventos críticos.”

13. Plan de Continuidad y Recuperación ante Desastres (ISO/IEC 22301 & ISA 62443)

Establece un plan de continuidad para asegurar la operación de los sistemas críticos y la rápida recuperación de servicios tras un incidente cibernético.

Ejemplo: “El plan de continuidad debe incluir procedimientos para restaurar sistemas DCS críticos en un plazo máximo de 4 horas tras una interrupción por ciberataque.”

14. Gestión de la Configuración (ISA 62443-2-1 & ISO/IEC 27001: A.12)

Define cómo gestionar y controlar los cambios en la configuración de dispositivos y sistemas OT.

Ejemplo: “Todo cambio en la configuración de un PLC deberá ser aprobado por el jefe de operaciones y documentado en el sistema de gestión de cambios.”

15. Anexo de Definiciones y Abreviaciones

Sección final que proporciona una lista de definiciones clave y abreviaturas utilizadas en la política, asegurando la comprensión de todos los términos.

Ejemplo: “PLC (Controlador Lógico Programable): Dispositivo utilizado para el control de procesos industriales.”

Bibliografía

International Society of Automation (ISA). (2018). ISA/IEC 62443-1-1: Security for Industrial Automation and Control Systems - Terminology, Concepts, and Models.
International Electrotechnical Commission (IEC). (2018). IEC 62443-2-1: Security for industrial automation and control systems.
International Electrotechnical Commission (IEC). (2018). IEC 62443-3-2: Security for industrial automation and control systems.
International Electrotechnical Commission (IEC). (2013). IEC 62443-3-3: System security requirements and security levels.
International Electrotechnical Commission (IEC). (2018). IEC 62443-2-4: Security program requirements for IACS service providers.
International Organization for Standardization. (2022). ISO/IEC 27001:2022.
International Organization for Standardization. (2022). ISO/IEC 27002:2022.
International Organization for Standardization. (2018). ISO/IEC 27005:2018.
International Organization for Standardization. (2019). ISO/IEC 27035-1:2019.
International Organization for Standardization. (2019). ISO/IEC 22301:2019.