OT Risk Assessment

Asegurar su entorno OT

Ahora que la frecuencia de los ciberataques contra la Operational Technology (OT) va en aumento, asegurar el entorno OT de su organización es más importante que nunca. Los adversarios utilizan diversos métodos para infiltrarse en las redes y causar todo tipo de daños financieros: ya sea directamente, deteniendo o ralentizando la producción, o indirectamente, robando y vendiendo los secretos comerciales de su organización.

Para reducir las posibilidades de que se produzca un ciberataque, deben identificarse y aplicarse las posibles contramedidas. No aplicar estas contramedidas, o hacerlo de forma incorrecta, supone un riesgo para su organización.

Descubra más sobre OT Risk Assessment

1. ¿Por qué realizar una Risk Assessment?
2. ¿Por qué es necesaria una OT Risk Assessment a medida?
3. ¿En qué consiste una OT Risk Assessment?
4. La metodología QAROT
5. Los resultados de una assessment

¿Por qué realizar una Risk Assessment?

Una evaluación de riesgos cibernéticos ayuda a determinar estructuralmente qué riesgos cibernéticos están presentes en su entorno. Sólo es posible comprender la eficacia de las contramedidas (existentes) tras identificar explícitamente estos riesgos. Esto, a su vez, permite razonar sobre nuevas contramedidas, si son necesarias, y su eficacia potencial.

Además, evaluar la gravedad de los riesgos identificados permite decidir y priorizar las contramedidas y tomar una decisión informada sobre si los costes de aplicarlas pesan más que las consecuencias potenciales. Además, la realización de una Risk Assessment creará una visión completa de los puntos fuertes y débiles de su organización. Esta visión de conjunto puede, a su vez, utilizarse para mejorar la preparación durante un ciberataque o prevenir uno abordando las debilidades identificadas.

¿Por qué es necesaria una OT-tailored risk assessment?

A diferencia de las TI, los riesgos en los entornos OT no sólo afectan a la confidencialidad, integridad y disponibilidad de los datos o procesos, sino que también pueden repercutir en la fiabilidad, el rendimiento y la seguridad de las instalaciones. Además, los diferentes tipos de Industrial Control Systems (ICS), como los PLC, los DCS y los sistemas SCADA, requieren una atención única, ya que son la columna vertebral de cualquier entorno OT. Para evaluar correctamente los riesgos y proponer contramedidas en estos entornos, deben tenerse en cuenta estas diferencias.

¿En qué consiste una OT Risk Assessment?

Bureau Veritas Cybersecurity utiliza su propia metodología de evaluación de riesgos basada en assets denominada "Quantitatively Assessing Risk in Operational Tecnología" (QAROT). Esta metodología cumple la norma IEC 62443-3-2 e incorpora los puntos fuertes de ATTandCK de MITRE para ICS e ISO 31010. La combinación de estas normas nos permite realizar evaluaciones de riesgos que van más allá del mero cumplimiento. Junto con nuestros clientes, definimos los niveles de seguridad objetivo requeridos por la norma IEC 62443-3-2, en los que basamos sistemáticamente los objetivos de assessment.

QAROT incorpora otras normas de la familia IEC 62443, como la -3-3 y la -4-2, para ofrecer un asesoramiento coherente y procesable basado en los requisitos de seguridad fundamentales que describen estas normas. Además, QAROT utiliza la base de datos de ciberataques de Tecnología Operativa (OTCAD) de Bureau Veritas Cybersecurity, de acceso público, a la hora de establecer la gravedad de los riesgos identificados.

La metodología QAROT

QAROT utiliza un enfoque descendente para identificar y evaluar los riesgos: deriva las contramedidas aplicables considerando todos los assets dentro de un entorno OT. Estas contramedidas se basan en ATTandCK para ICS y se combinan con IEC 62443-3-3 y -4-2 para evaluar objetivamente su aplicación y eficacia dentro del sistema considerado. Esta combinación permite a Bureau Veritas Cybersecurity identificar estructuralmente las posibles deficiencias y los riesgos que plantean.

La assessment comienza con la creación de un diagrama de zonas y conductos basado en los planos de la red y el inventario de assets de la organización. El contenido del diagrama se discute junto con el cliente durante un taller para garantizar que representa correctamente el entorno evaluado. En talleres consecutivos, determinamos junto con el cliente el impacto de los posibles objetivos de los adversarios y establecemos los niveles de seguridad alcanzados por las contramedidas basadas en activos y zonas/conductos existentes.