Aplicando NIST SP 800-53 para asegurar refinerías de petróleo: Una guía integral

Las refinerías de petróleo son fácilmente uno de los componentes más críticos de la infraestructura energética global. Trabajan para convertir el petróleo crudo en productos utilizables como gasolina, diésel y productos petroquímicos, haciéndolas esenciales para el funcionamiento de las economías modernas. Sin embargo, esta importancia también las convierte en un objetivo principal para ataques cibernéticos sofisticados llevados a cabo por actores de amenazas patrocinados por el estado y/o evolucionados.

Desde incidentes de ransomware hasta amenazas de estados nacionales, el panorama de ciberseguridad para las refinerías es a menudo complejo y asociado con alto riesgo. Para abordar estos desafíos, es vital adoptar un marco de seguridad integral y estandarizado. Uno de esos marcos es la Publicación Especial 800-53 del NIST (SP 800-53), que ofrece un catálogo de controles de seguridad y privacidad para sistemas de información federales y organizaciones. Aunque originalmente diseñado para sistemas federales, NIST SP 800-53 ahora se está adaptando a entornos industriales e infraestructura crítica, incluidas las refinerías de petróleo (y tuberías).

La entrada de blog de hoy explora cómo NIST SP 800-53 puede aplicarse prácticamente en un entorno de refinería de petróleo para mejorar la postura de ciberseguridad, asegurar el cumplimiento normativo y apoyar operaciones resilientes.

Comprendiendo la relevancia de NIST SP 800-53 para las refinerías de petróleo

NIST SP 800-53 detalla un conjunto integral de controles divididos en categorías como Control de Acceso, Respuesta a Incidentes, Protección de Sistemas y Comunicaciones, y más. Aunque la publicación fue dirigida inicialmente a sistemas TI, su naturaleza modular y flexible permite la adaptación a los entornos de Tecnología Operacional (OT) prevalentes en las refinerías de petróleo.

Las refinerías de petróleo ya operan bajo presiones regulatorias como NIST CSF, IEC 62443, API 1164 y las directrices de la TSA en los EE.UU., y en otras geografías donde las refinerías operan bajo la sombra de problemas geopolíticos, integrar SP 800-53 en este ecosistema ofrece el beneficio de alinear las operaciones de la refinería con un conjunto de mejores prácticas reconocidas a nivel mundial.

Desafíos de adaptar SP 800-53 a las refinerías de petróleo

Aunque NIST SP 800-53 ofrece una rica orientación, su implementación puede presentar desafíos del mundo real, tales como:

· Sistemas heredados: Muchos dispositivos OT carecen de la capacidad para implementar controles de seguridad modernos.

· Confusión sobre aplicabilidad y hoja de ruta

· Barreras culturales: Los equipos de ingeniería pueden resistirse a cambios que impacten el tiempo de actividad de la planta.

· Brechas de habilidades: La implementación de controles requiere experiencia multifuncional en ciberseguridad y ingeniería OT.

· Limitaciones de recursos: Las refinerías más pequeñas pueden carecer del presupuesto o personal para implementar todo el catálogo de controles.

Estos desafíos hacen crítico un enfoque basado en riesgos y por fases.

¿Cómo podemos superar tales desafíos? Comencemos por mapear las familias de control a entornos OT.  

Mapeo de las familias de control NIST SP 800-53 a los entornos OT de refinería

1. Control de Acceso (AC)

o Implementar acceso basado en roles a sistemas ICS y SCADA.

o Hacer cumplir el mínimo privilegio para ingenieros y operadores.

o Usar autenticación multifactorial para acceso remoto a redes de refinería.

o Asegurar el despliegue de barreras de contención física para prevenir la manipulación de dispositivos.

2. Auditoría y Responsabilidad (AU)

o Asegurar que los logs se almacenen de manera que permita su recuperación a prueba de manipulación.

o Mantener registros de acciones de operadores en sistemas DCS.

o Implementar mecanismos de registro resistente a manipulaciones.

o Auditar periódicamente la actividad de la sala de control y eventos de acceso remoto.

3. Protección de Sistemas y Comunicaciones (SC)

o Segregar redes corporativas y de control usando firewalls y DMZs.

o Emplear cifrado para telemetría de sensores remotos.

o Deshabilitar puertos de comunicación no utilizados en PLCs y RTUs.

o Controlar las longitudes de las sesiones.

o Usar sistemas para detectar soluciones NIDS como Shieldworkz para detectar comunicaciones anómalas.

4. Respuesta a Incidentes (IR)

o Desarrollar planes de respuesta a incidentes específicos de refinería.

o Probar guías y respuestas en escenarios casi reales.

o Asegurar la actualización regular de las guías de respuesta a incidentes.

o Mejorar las habilidades de los equipos de respuesta a incidentes.

o Realizar ejercicios específicos para OT que involucren equipos de ingeniería y seguridad.

o Coordinar la respuesta con el CERT local y agencias gubernamentales relevantes, si es necesario.

5. Gestión de Configuración (CM)

o Establecer versiones base de firmware de todos los dispositivos de campo.

o Documentar y controlar cambios en la lógica de control en sistemas instrumentados de seguridad (SIS).

o Prevenir cambios no autorizados en configuraciones.

o Realizar auditorías periódicas basadas en IEC 62443 para asegurar que cualquier vía de ataque abierta o explotable no exista y cerrar tales brechas.

o La información de configuración debe almacenarse y actualizarse según sea necesario.

6. Integridad del Sistema (SI)

o Establecer comportamientos y configuraciones base del sistema.

o Aplicar herramientas de verificación de integridad para detectar cambios no autorizados en HMIs y sistemas de historiador.

o Usar sistemas de detección en el punto final personalizados para protocolos OT.

7. Seguridad del Personal (PS)

o Realizar verificaciones de antecedentes para proveedores externos.

o Proporcionar capacitación en ciberseguridad adaptada al personal OT de la refinería.

8. Evaluación de Riesgos (RA)

o Realizar evaluaciones periódicas de ciber riesgos basadas en IEC 62443 y NIST, cubriendo el impacto en la seguridad y el medio ambiente.

o Incluir métricas de ciber riesgo en los registros de riesgos globales de la refinería.

9. Planificación de Contingencia (CP)

o Mantener copias de seguridad offline de la lógica de control de procesos.

o Desarrollar escenarios de conmutación por error para fallos de red y sistema de control.

10. Mantenimiento (MA)

o Rastrear el mantenimiento de terceros en dispositivos OT.

o Asegurar que las actividades de mantenimiento sigan protocolos seguros.

11. Usar herramientas de seguridad de manera efectiva

o Determinar su postura de seguridad en todo momento y mejorarla usando controles adicionales.

o Realizar caza de amenazas para detectar cualquier amenaza existente.

Aplicación de controles en la capa de dispositivo y red

Un desafío clave en la ciberseguridad de refinerías de petróleo es la diversidad y antigüedad de los sistemas OT. Muchos PLCs, RTUs y analizadores heredados nunca fueron diseñados pensando en la seguridad. NIST SP 800-53 puede ayudar a mitigar este desafío a través de controles por capas y dirigidos.

A nivel de dispositivo:

o Deshabilitar servicios y puertos no utilizados.

o Hacer cumplir verificaciones de integridad de firmware.

o Limitar el acceso físico a los armarios de control.

o Realizar verificaciones de integridad del sistema y registrar los hallazgos para remediación donde sea aplicable.

A nivel de red:

o Segmentar redes para prevenir movimientos laterales.

o Usar microsegmentación para asegurar las joyas de la corona y los sistemas que representan riesgos adicionales o son objetivos fáciles.

o Desplegar sensores de detección de intrusos adaptados a protocolos ICS como Modbus, OPC y PROFINET.

o Establecer VLANs y hacer cumplir gateways unidireccionales donde sea factible.

Integración con estándares y regulaciones existentes

Revisemos el punto sobre las refinerías de petróleo, que a menudo operan en entornos altamente regulados. Dado el nivel de escrutinio, ¿se puede hacer algo más para asegurar aún más la infraestructura contra amenazas futuras?

Aquí cómo SP 800-53 puede alinearse o complementar los mandatos y marcos de cumplimiento existentes:

· NIST CSF: SP 800-53 proporciona los controles técnicos que sustentan las funciones CSF (Identificar, Proteger, Detectar, Responder, Recuperar). Cuando se implementan juntos o en serie, NIST CSF y SP 800-53 pueden ayudar a gestionar y reducir los riesgos cibernéticos en general.

· NIS2: Obliga a las refinerías a tomar medidas técnicas y organizativas apropiadas para prevenir, detectar y responder a incidentes cibernéticos que podrían interrumpir sus operaciones o impactar la cadena de suministro de energía. La seguridad de la cadena de suministro, la responsabilidad de la gestión y la capacitación y sensibilización son pilares clave para el cumplimiento de NIS2.

· IEC 62443: Similaridades en requisitos de sistema, control de acceso y segmentación de red. IEC 62443 2-1, 3-2 y 3-3 son aspectos clave que se pueden considerar junto con SP 800-53. Además, la gestión del ciclo de vida, los modelos de segmento y de conductas, los niveles de seguridad y el enfoque basado en riesgos exigido por IEC 62443 pueden ayudar a fortalecer la implementación de NIST SP 800-53 mientras que las superposiciones pueden ayudar a validar controles existentes.

· API 1164: Ofrece orientación para gestionar riesgos cibernéticos vinculados a la automatización industrial y sistemas de control en operaciones de tuberías. API 1164 es relevante en casos donde las refinerías dependen de tuberías para transportar productos refinados. 

· Directivas de Seguridad de la TSA: Ayuda a asegurar que los programas de ciberseguridad de refinería cumplan con las regulaciones de energía y tuberías de los EE.UU. Esto es nuevamente relevante en casos donde las refinerías también poseen tuberías o trabajan con propietarios de tuberías para el transporte de productos refinados. Los planes de evaluación de ciberseguridad, la respuesta a incidentes, el monitoreo continuo y las medidas de mejora de ciberseguridad implementadas a nivel de tubería se pueden extender a la refinería también, en caso de que lo mismo no se haya hecho.

Operacionalizando NIST SP 800-53 en la Refinería

Implementar SP 800-53 no es un proyecto de una vez; requiere una mentalidad de mejora continua. Los siguientes pasos pueden ayudar a operacionalizar el marco:

1. Evaluación de riesgos y análisis de brechas

o Realizar una evaluación del estado actual alineada con las familias de control de SP 800-53.

o Identificar brechas críticas en acceso, monitoreo y gestión de configuración.

2. Priorización basada en riesgos

o Clasificar controles por impacto potencial en seguridad y operación.

o Enfocarse en activos de alto valor como sistemas de seguridad y redes de control primarias.

o Revisar riesgos constantemente para considerar cambios en el entorno OT.

3. Hoja de ruta de implementación

o Desarrollar una hoja de ruta en fases integrando controles SP 800-53 durante 12–24 meses.

o Incluir logros rápidos (por ejemplo, centralización de registros) y proyectos a largo plazo (por ejemplo, segmentación completa de redes).

4. Monitoreo e informes

o Configurar tableros para rastrear la madurez del control y las tendencias de incidentes.

o Utilizar KPIs alineados con los objetivos de control SP 800-53.

5. Ciclos de auditoría y revisión

o Realizar revisiones periódicas con equipos de operaciones, TI y cumplimiento.

o Actualizar implementaciones de control basadas en inteligencia de amenazas y cambios en la planta.

6. Capacitación y sensibilización

Todos los empleados deben someterse a capacitación periódica y sensibilización sobre los controles SP 800-53 y su relevancia operativa y de seguridad

NIST SP 800-53, aunque originalmente diseñado para sistemas de información federales, tiene una aplicación significativa en asegurar entornos complejos y de alto riesgo, como refinerías de petróleo y tuberías. Al adaptar sus familias de control para ajustarse a casos de uso y escenarios OT, las refinerías pueden construir una base de ciberseguridad robusta que apoye la resiliencia operacional, el cumplimiento normativo y el rendimiento seguro de la planta.

Las refinerías que busquen mejorar su postura de ciberseguridad deberían considerar una implementación estratégica de SP 800-53 junto con marcos existentes como NIST CSF, IEC 62443 y API 1164. En un mundo donde la delgada línea entre las amenazas físicas y cibernéticas continúa desvaneciéndose y desapareciendo, adoptar un enfoque basado en controles y alineado a estándares no es solo una mejor práctica: es un imperativo empresarial.

Conozca más sobre nuestro enfoque único hacia la adopción de NIST SP 800-53 por parte de refinerías de petróleo y gas.

Hable con nuestro especialista en seguridad OT de petróleo y gas.

Póngase en contacto para una discusión de preevaluación sobre sus controles existentes.