Una guía completa para construir un inventario de activos de ciberseguridad OT sólido

Un paso fundamental es crear un inventario completo de activos OT junto con las caracterizaciones de activos y el perfil de susceptibilidad. Una guía de inventario de activos, desarrollada por la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) y una coalición de socios internacionales, incluyendo la Agencia de Protección Ambiental (EPA), el Buró Federal de Investigaciones (FBI) y la Agencia de Seguridad Nacional (NSA), describe un enfoque sistemático para que los propietarios y operadores de OT construyan y mantengan un inventario de activos efectivo.

Este blog resume esta guía llamada "Fundamentos para la Ciberseguridad OT: Guía de Inventario de Activos para Dueños y Operadores" y ofrece un vistazo rápido a las recomendaciones.

Ah, y por cierto, la "Guía de Inventario de Activos para Dueños y Operadores: Fundamentos para la Ciberseguridad OT" se puede descargar desde aquí.

El poder de la Taxonomía OT

Una taxonomía OT es esencialmente un sistema de clasificación diseñado para organizar y priorizar los activos OT. Esto ayuda a agilizar el proceso de inventario y proporciona numerosos beneficios, incluyendo:

• Mejor Organización y Gestión: Dicha taxonomía es esencial para gestionar, procesar y recuperar información contextual sobre activos, procesos, interacciones y datos.

• Comunicación mejorada: La terminología estandarizada, referencias y clasificaciones ayudarán considerablemente a asegurar sinergias entre equipos, reduciendo así malentendidos y mejorando la colaboración.

• Mejor toma de decisiones: Una comprensión inequívoca de las interacciones, relaciones y dependencias de los activos permite a las organizaciones tomar decisiones más informadas sobre la asignación de recursos, mantenimiento y actualizaciones.

• Ahorro de costos: Optimizar la gestión de activos, mejorar el uso y reducir las ineficiencias puede llevar a un ahorro significativo de costos y a minimizar los tiempos de inactividad.

• Análisis de Datos e Información: Un inventario de activos estructurado que sea fácilmente accesible proporciona un marco claro para organizar y analizar datos, lo que impulsa la mejora continua e innovación.

Cinco pasos para desarrollar su Inventario y Taxonomía de Activos OT

La "Guía de Inventario de Activos para Dueños y Operadores: Fundamentos para la Ciberseguridad OT" recomienda un proceso de cinco pasos para crear su inventario:

1. Identificar alcance y objetivos: Los límites del programa deben ser bien entendidos y aceptados. Definir un alcance ayuda a mejorar la comprensión de cómo el esfuerzo impacta a todas las partes interesadas también.

2. Identificar activos y recopilar atributos: Realizar inspecciones físicas, interacciones con empleados y encuestas lógicas para crear una lista completa de activos OT, su estado actual y sus dependencias de red. Los atributos como la criticidad del activo, rol/tipo, estado de fin de vida, nombre de host, dirección IP y ubicación física son atributos clave que se pueden recopilar.

3. Crear una taxonomía para categorizar activos: Este es un proceso de múltiples etapas que involucra:

• Clasificación de Activos: Agrupar activos según su importancia (basada en criticidad) o su función (basada en función)15.

• Organización de Activos y Comunicaciones: Utilizar un marco como las normas ISA/IEC 62443 para organizar activos en "Zonas" y "Conductos"16. Una Zona es un grupo de activos con requisitos de seguridad compartidos, mientras que un Conducto es un grupo de activos cibernéticos dedicados a las comunicaciones entre zonas17171717.

• Organización de Estructura y Relaciones: Identificar dependencias de procesos, adoptar convenciones de nomenclatura consistentes y documentar roles y responsabilidades relacionadas con los activos18.

• Validación y Visualización: Verificar la precisión de su inventario y crear diagramas para representar sus categorías de activos19.

• Revisar y Actualizar Periódicamente: Revisar y actualizar continuamente la taxonomía para reflejar cambios en tecnología y operaciones20.

4. Gestionar y Recopilar Datos: Identificar fuentes adicionales de información, como manuales de proveedores y registros de mantenimiento21. Almacenar todos los datos de activos en una base de datos centralizada y segura o en un sistema de gestión22.

5. Implementar la Gestión del Ciclo de Vida: Definir las etapas del ciclo de vida de cada activo (por ejemplo, adquisición, implementación, desmantelamiento) y desarrollar políticas para gestionar los activos a lo largo de su ciclo de vida, incluyendo calendarios de mantenimiento y planes de reemplazo23.

Acciones después del Desarrollo del Inventario

El trabajo no se detiene una vez que el inventario está completo. La guía también esboza acciones clave a tomar:

• Ciberseguridad y Gestión de Riesgos OT: Utilice su inventario para identificar vulnerabilidades conocidas a través de la referencia cruzada con bases de datos como el Catálogo de Vulnerabilidades Conocidas Explotadas (KEV) de CISA y las Vulnerabilidades y Exposiciones Comunes (CVE) de MITRE [24].

• Mantenimiento y Fiabilidad: Revisar y programar mantenimiento basado en los hallazgos de vulnerabilidad y analizar su inventario de repuestos para asegurar que pueda cubrir activos críticos [25].

• Monitoreo y Reporte de Desempeño: Monitorear continuamente el rendimiento de los activos y desarrollar mecanismos de reporte para rastrear el mantenimiento y el cumplimiento de políticas [26].

• Capacitación y Conciencia: Capacitar al personal en prácticas de gestión de activos e implementar programas de concienciación para asegurar que todos comprendan la importancia de estos esfuerzos [27].

• Mejora Continua: Utilizar un ciclo de retroalimentación y procesos de gestión del cambio para rastrear modificaciones e identificar áreas de mejora [28].

En conclusión, crear y mantener un inventario de activos OT y una taxonomía es un proceso crítico de varios pasos que es fundamental para construir una arquitectura cibernética moderna y defendible [29]. Al seguir esta guía, las organizaciones pueden mejorar su postura general de seguridad y asegurar la confiabilidad y seguridad de sus entornos OT [30].