Manual de Normativas
Lista de verificación de ciberseguridad OT e IEC 61511
Donde la seguridad funcional se une con la ciberseguridad
La seguridad funcional y la ciberseguridad ya no son disciplinas separables en las industrias de procesos. La norma IEC 61511 lo establece explícitamente. La norma IEC 61511-1:2016 (Edición 2), el estándar internacional de seguridad funcional para Sistemas Instrumentados de Seguridad en el sector de la industria de procesos, introdujo un requisito vinculante, ampliamente citado como la Cláusula 8.2.4, que exige realizar una evaluación de riesgos de seguridad para identificar las vulnerabilidades de seguridad del SIS, junto con un requisito relacionado, la Cláusula 11.2.12, que establece que el diseño del SIS debe proporcionar resiliencia contra los riesgos que dicha evaluación identifique. Esto cerró una brecha que existía desde la primera edición en 2003, la cual abordaba la seguridad únicamente de manera implícita.
Lo que esto significa en la práctica es el argumento central en torno al cual se estructura esta lista de verificación: una debilidad de ciberseguridad en el Sistema Básico de Control de Procesos, la estación de trabajo de ingeniería, la ruta de comunicación del SIS o el canal de acceso remoto del proveedor no es simplemente un problema de TI o de red. Es un factor que potencialmente contribuye a un evento peligroso, ya que puede degradar, anular o activar falsamente una Función Instrumentada de Seguridad de formas que la evaluación original de peligros y riesgos no ignoró y, desde 2016, no tenía permitido ignorar.
Cinco cosas que esta lista de verificación sostiene que todo CISO de OT ya debería saber:
La evaluación de riesgos de ciberseguridad del SIS es una brecha de cumplimiento documentada en muchos sitios: muchas instalaciones aún ejecutan un PHA/HAZOP y LOPA sin una evaluación de riesgos cibernéticos documentada que cubra el SIS y sus interfaces, la brecha de la norma IEC 61511:2016 más común que se encuentra en la práctica.
El SIS no es una isla aislada por defecto: las estaciones de trabajo de ingeniería, los enlaces de historiadores, los sistemas de gestión de activos y las vías de acceso remoto de proveedores crean habitualmente conectividad entre el SIS y redes menos confiables, incluso cuando el diseño del proceso asume independencia.
Los controles de seguridad pueden generar por sí mismos riesgos para la seguridad si no se prueban con el SIS: un análisis de antivirus o un sistema de prevención de intrusiones agresivo ajustado para TI pueden degradar la disponibilidad del SIS o provocar disparos en falso si se implementan sin una revisión de seguridad funcional.
La gestión del cambio (MOC) es el punto de control práctico: dado que tanto la seguridad funcional como la ciberseguridad de OT dependen de un control de cambios formal, la MOC es el proceso más rápido de extender para registrar los cambios en los SIS que sean relevantes para la ciberseguridad.
IEC 62443 e ISA-TR84.00.09 realizan el trabajo detallado que IEC 61511 solicita: IEC 61511 requiere una evaluación de riesgos de seguridad; IEC 62443 e ISA-TR84.00.09 le indican cómo estructurarla y ejecutarla, como un solo flujo de trabajo y no como dos vías de cumplimiento normativo que compiten entre sí.
Shieldworkz creó esta lista de verificación como un puente práctico entre ambas disciplinas, y es explícita acerca de su propio límite: IEC 61511 es una norma de seguridad funcional, no una norma de ciberseguridad. No define la segmentación de red, las frecuencias de parchado ni los requisitos de monitoreo; ese nivel de detalle corresponde a IEC 62443. Esta lista de verificación considera dicho límite como no negociable en todo momento.
Por qué es importante esta lista de verificación
La mayor parte de las guías de ciberseguridad para OT están escritas desde la perspectiva de la seguridad de la red hacia adentro, mientras que la mayoría de las normas de seguridad funcional tratan la ciberseguridad como el problema de alguien más. Esta lista de verificación fue creada desde el punto de intersección hacia afuera, utilizando cuatro patrones de falla documentados y realistas para mostrar exactamente dónde impacta esa brecha.
Una estación de trabajo de ingeniería compartida anula silenciosamente la independencia de capas: el malware que llega a una laptop de ingeniería combinada de BPCS/SIS a través de una actualización de software rutinaria puede invalidar el supuesto de independencia del LOPA sin siquiera tocar la planta física o la lógica del SIF.
El acceso remoto no gestionado de proveedores sobrevive a su propósito: una vía de soporte remoto permanente y con credenciales compartidas, otorgada para una parada de planta y que nunca se deshabilitó, se convierte meses después en la ruta de acceso de un actor externo a la red adyacente al SIS, cuando la propia infraestructura del proveedor se ve comprometida.
El resultado falsificado de una prueba periódica (proof test) enmascara una función de seguridad fallida: una brecha de integridad en las herramientas de mantenimiento, y no un ataque sofisticado, puede provocar que una SIF aparezca como conforme en todos los registros cuando en realidad ha fallado, permaneciendo dicha brecha invisible hasta que ocurre una demanda peligrosa real.
Un control de seguridad de TI agresivo provoca un disparo no deseado: el despliegue de un antivirus corporativo implementado en una estación de operador de BPCS sin una revisión de seguridad funcional puede retrasar una respuesta crítica en tiempo y desencadenar un paro totalmente prevenible, lo que demuestra que el riesgo corre en ambas direcciones.
Cada escenario de esta lista de verificación incluye un conjunto específico y designado de controles que lo habrían evitado, con referencias cruzadas a la sección correspondiente de las áreas de interés práctico que aborda esta guía: comunicaciones de SIS, acceso remoto, segmentación, aplicación de parches, copias de seguridad, malware, respuesta a incidentes, monitoreo, cadena de suministro y pruebas periódicas de funcionamiento (proof-testing).
Por qué descargar esta lista de verificación es fundamental para su organización
Si su planta opera un Sistema Instrumentado de Seguridad bajo la norma IEC 61511, ya sea en petróleo y gas, productos químicos, generación de energía o cualquier otra industria de procesos, usted ya está sujeto a la obligación de evaluación de riesgos de seguridad de la Cláusula 8.2.4, independientemente de si ya se ha definido formalmente su alcance o no. Los auditores y evaluadores de seguridad funcional la están solicitando directamente cada vez más, y un PHA/HAZOP y LOPA sin una evaluación de riesgos cibernéticos documentada y complementaria representa una brecha de cumplimiento, no una elección de estilo.
Esto es lo que esta lista de verificación pone en sus manos:
Una correlación completa de IEC 61511 con la ciberseguridad de OT: mapeo de cada fase del ciclo de vida de seguridad, desde la evaluación de riesgos y peligros hasta la modificación y la gestión del cambio (MOC), con la actividad de ciberseguridad específica y la guía IEC 62443 o ISA-TR84.00.09 que proporciona el método detallado.
Una lista de verificación práctica para CISO en 12 áreas: que abarca gobernanza, diseño de SIS, arquitectura de red, acceso remoto, gestión de cambios, aplicación de parches, respaldo, malware, respuesta a incidentes, monitoreo, cadena de suministro y pruebas de validación, clasificada por prioridad a partir de la experiencia real en proyectos.
Una lista de verificación de evidencia y documentación: para que su equipo sepa exactamente qué esperará ver un auditor o un evaluador de seguridad funcional, no solo qué control debería existir conceptualmente.
Preguntas clave específicas por rol: para ingeniería de procesos/instrumentación, operaciones, personal de mantenimiento/pruebas periódicas (proof-test), equipos de redes y seguridad de TI/OT, y liderazgo, de modo que cada parte interesada en la conversación sobre seguridad física y ciberseguridad tenga su propio punto de entrada.
Una hoja de ruta de tres fases: desde acciones de visibilidad y gobernanza de 0 a 90 días, pasando por el desarrollo de un programa integrado de 3 a 12 meses, hasta una fase continua de sostenimiento y maduración.
Puntos clave de la lista de verificación
Las cláusulas 8.2.4 y 11.2.12 son las dos cláusulas más importantes. Una evaluación documentada de riesgos de seguridad que identifique las vulnerabilidades del SIS, y un diseño del SIS que proporcione resiliencia contra los riesgos identificados en dicha evaluación, constituyen las obligaciones vinculantes y fundamentales de la lista de verificación.
El riesgo corre en ambas direcciones. Las debilidades de ciberseguridad pueden degradar o anular una función de seguridad, pero los controles de seguridad implementados sin una revisión de seguridad funcional pueden, con la misma facilidad, provocar un disparo espurio o degradar la disponibilidad del SIS por sí mismos.
IEC 61511 no le dirá cómo; IEC 62443 e ISA-TR84.00.09 sí lo harán. La segmentación de zonas y conductos, los niveles de seguridad y los requisitos del sistema son tarea de IEC 62443; la función de IEC 61511 es únicamente exigir que se realice la evaluación y que el diseño responda a ella.
La gestión del cambio (MOC) es el punto de integración más rápido disponible. Agregar preguntas detonantes de ciberseguridad a un flujo de trabajo de MOC existente es una acción de bajo costo y de efecto inmediato que la mayoría de las organizaciones pueden implementar sin necesidad de desarrollar un proceso paralelo.
Las herramientas para pruebas de funcionamiento (proof-test) frecuentemente quedan fuera del alcance, y no debería ser así. Las herramientas de prueba y sus rutas de datos hacia los historiadores y los sistemas de mantenimiento a menudo se agregan después de la puesta en marcha como mejoras de productividad y quedan fuera del diseño de segmentación original, exactamente donde un resultado falsificado o dañado puede ocultar una función de seguridad fallida.
Los activos de ingeniería compartidos son el punto de falla invisible más común. Una sola estación de trabajo de ingeniería combinada de BPCS/SIS puede invalidar silenciosamente el supuesto de independencia de un LOPA, una brecha que solo una evaluación de riesgos consciente de la ciberseguridad, y no un HAZOP puramente enfocado en el proceso, sacará a la luz.
Cómo Shieldworkz apoya su camino hacia el cumplimiento de IEC 61511 y la seguridad de OT
Leer la tabla de correspondencias le indica qué va en cada lugar. Ejecutar el programa conjunto de safety y security, especialmente cerrar la brecha de evaluación de la Cláusula 8.2.4 que la mayoría de los sitios presentan, es donde Shieldworkz entra en acción.
OThello Assess: crea el inventario de activos de OT y SIS, hardware, firmware y ubicación de red, que sustenta la evaluación de riesgos de seguridad y casi todos los demás controles de esta lista de verificación.
Detección y respuesta de red de OT: ofrece el monitoreo pasivo en todas las zonas y conductos de SIS que exige la hoja de ruta de la Fase 2 de esta lista de verificación, con rutas de escalamiento que llegan tanto al SOC como a las funciones de guardia de seguridad de procesos.
Ejercicios teóricos conjuntos (tabletop): enfocados en ciberseguridad, seguridad funcional y operaciones, poniendo en práctica el anexo de respuesta a incidentes específico para OT/SIS recomendado en esta lista de verificación, en lugar de un manual genérico de TI.
Evaluación de riesgos de seguridad y ejecución de tablas de correspondencia (crosswalk): estructuración de su evaluación de la Cláusula 8.2.4 conforme a una metodología al estilo de la norma IEC 62443-3-2, con un registro documentado de zonas y conductos que sus evaluadores y auditores de seguridad funcional reconocerán.
Los sitios que nos involucran desde el principio no solo están cerrando una brecha en la documentación. Están construyendo el flujo de trabajo conjunto de seguridad física y ciberseguridad (safety and security) que, como sostiene esta lista de verificación, debió haber existido desde 2016, antes de que un auditor, o una demanda peligrosa real, descubra la brecha primero.
Descargar la lista de verificación
Una debilidad de ciberseguridad en su SIS no es un problema de red en espera de ser clasificado. Es un factor contribuyente a eventos peligrosos que la norma le ha exigido evaluar desde 2016.
Complete el formulario para recibir su copia gratuita de la lista de verificación de ciberseguridad OT e IEC 61511. También tendrá la opción de agendar una consulta sin compromiso con un experto en seguridad OT de Shieldworkz, quien puede ayudarle a definir el alcance de su evaluación de riesgos de seguridad según la Cláusula 8.2.4 e identificar sus brechas de mayor prioridad en todo el ciclo de vida de la seguridad funcional y la ciberseguridad.
Agende una demostración con expertos en seguridad OT de Shieldworkz
¡Descarga tu copia hoy mismo!
Fortalezca la preparación en ciberseguridad para SIS.
Descargue la lista de verificación de ciberseguridad para SIS según IEC 61511 para identificar vulnerabilidades y generar evidencia lista para auditorías.
