Los operadores de CNI deberían hacer estas 12 preguntas a sus proveedores de OT

del Reino Unido Centro Nacional de Seguridad Cibernética (NCSC) ha unido fuerzas con sus socios de Five Eyes y otras organizaciones de la Unión Europea (UE) para publicar una nueva guía que se basa en la planificación de organizaciones de infraestructura nacional crítica (CNI) y otras. Tecnología operativa (OT) exige una mayor seguridad en los productos a la hora de tomar decisiones de compra.

Con los operadores de CNI bajo amenaza casi constante por parte de actores maliciosos (muchos de ellos trabajando a instancias de agencias de inteligencia hostiles), el NCSC dijo que su objetivo era brindar una guía clara sobre la elección de productos y fabricantes que se adhieran a principios de seguridad por diseño, incluidos los suyos propios. Proporcionar a los sistemas una base resistente y reducir el riesgo que plantean los ciberataques.

Históricamente, estos componentes no se desarrollaron teniendo como prioridad la seguridad o, en muchos casos, dando a los actores de amenazas una ventana abierta para acceder a su patrimonio tecnológico, lo que se está generalizando a medida que más componentes OT se conectan a sistemas de TI más amplios.

Además, estos elementos suelen ser un objetivo importante porque un compromiso exitoso puede replicarse fácilmente entre múltiples víctimas.

“A medida que los ciberatacantes apuntan cada vez más a la tecnología operativa en todo el mundo, nunca ha sido más importante para los operadores de infraestructura crítica garantizar la seguridad de los sistemas que utilizan”, dijo el Director de Resiliencia Nacional y Tecnología Futura del NCSC, Jonathan Ellison.

“Esta nueva guía brinda a las organizaciones consejos prácticos sobre cómo priorizar los productos OT que sean seguros por diseño al tomar decisiones de compra, ayudando a mitigar las amenazas cibernéticas reales que enfrentan.

“Recomiendo encarecidamente a los operadores de sistemas OT del Reino Unido que sigan esta guía para sentar una base sólida para su resiliencia cibernética y enviar una señal a los fabricantes de que los productos de seguridad son más que una característica adicional, sino un requisito”.

Directrices, que Disponible oficialmente para descargar Desde el sitio web de CISA, la contraparte americana del NCSC, se describen 12 consideraciones de seguridad que los usuarios de OT deberían integrar en su proceso de compra, tanto para protegerse como para obligar a los fabricantes a hacerlo mejor.

Los compradores deberían considerar (y la respuesta a esta pregunta siempre debería ser “sí”) lo siguiente:

• ¿El producto admite ajustes de configuración y control de lógica de ingeniería y seguimiento de cambios?
• ¿El producto básico admite el registro de todas las acciones, incluidos los cambios en la configuración, la seguridad y los eventos de seguridad, utilizando un formato estándar abierto?
• ¿El producto utiliza estándares abiertos para admitir funciones y servicios seguros y transferir ajustes de configuración y lógica de ingeniería?
• ¿El producto ofrece a los propietarios y operadores total autonomía con la capacidad de gestionar el mantenimiento y realizar otros cambios y reducir la dependencia de los proveedores?
• ¿El producto protege la integridad y confidencialidad de los datos, servicios y funciones, incluidos los ajustes de configuración y la lógica de ingeniería, tanto en reposo como en tránsito?
• ¿El producto llega de forma segura “listo para usar”, reduciendo las superficies de ataque y eliminando la carga para los propietarios al incluir todas las características de seguridad en todas las versiones, permitiendo contraseñas complejas, no listas para usar y deshabilitando protocolos antiguos? por defecto ¿Revelar la interfaz y brindar a los usuarios la posibilidad de restablecer su estado original?
• ¿El producto admite comunicaciones autenticadas seguras que fallan “duro” pero permiten que los procesos críticos continúen y no requieren experiencia cibernética significativa para lograrlo?
• ¿El producto viene con controles de seguridad que lo protegen contra amenazas que envían comandos maliciosos, protegen la disponibilidad de funciones esenciales y minimizan el impacto de un incidente en el sistema en general?
• ¿La versión básica del producto protege adecuadamente contra el acceso no autorizado mediante medidas como la autenticación multifactor o el control de acceso basado en roles?
• ¿Tiene el producto un modelo de amenaza completo y detallado que describa cómo podría verse comprometido y las medidas para mitigar dichas situaciones?
• ¿Tiene el fabricante del producto un programa de gestión y divulgación de vulnerabilidades, que incluya pruebas, soporte y mantenimiento, y parches gratuitos?
• ¿Tiene el producto un proceso de actualización y parcheo bien documentado y sencillo que permita a los usuarios pasar libremente a un sistema operativo compatible si el original ya no lo es?