Cuando una alerta de vulnerabilidad crítica llega en un entorno de TI tradicional, rara vez es motivo de pánico para la continuidad operativa del negocio. Los laptops, servidores y aplicaciones afectados pueden identificarse con rapidez y, si es urgente, un equipo competente puede catalogarlos y aplicar parches en cuestión de horas. Las prioridades son claras y apenas hay conjeturas involucradas.

Ahora imagine la misma alerta llegando a equipos de imagenología de un hospital, a sistemas de control en una planta de fabricación o a la red de HVAC de un edificio. Estos sistemas ciberfísicos (CPS), dispositivos conectados que gestionan operaciones físicas en lugar de solo procesar datos, se sitúan en la primera línea de la convergencia entre TI y OT (tecnología operativa).

Pero a diferencia de los activos de TI tradicionales, confirmar si la alerta corresponde a un dispositivo específico puede tomar días y, en ocasiones, termina en una conjetura en lugar de una respuesta.

Mientras que este tipo de incertidumbre sería considerado una falla de higiene básica, para los CPS es, desafortunadamente, la norma con demasiada frecuencia.

¿Por qué ocurre este problema generalizado en los CPS y cómo pueden los equipos de seguridad volver a alinear estos activos vitales con la red de TI?

Visibilidad deficiente en sistemas ciberfísicos: una problemática amplificada

La incapacidad para gestionar vulnerabilidades entrantes en CPS no es una anomalía ni un escenario extremo, lo cual es especialmente preocupante cuando estos activos están en el corazón de infraestructuras críticas como energía y salud. El problema se debe a los códigos de producto que ayudan a las redes a identificar qué CPS hay en el entorno, lo cual es clave para identificar y aplicar parches de seguridad.

A partir de un conjunto de datos de 17 millones de activos ciberfísicos, nuestra investigación encontró que el 88% no transmitía un código de producto exacto y el 76% enviaba un código que no coincidía con el registro del fabricante. Es un efecto secundario de la forma en que estos sistemas fueron diseñados e integrados posteriormente en entornos modernos de TI. Los controladores lógicos programables (PLCs), escáneres médicos e sensores industriales fueron concebidos para décadas de fiabilidad física, no para etiquetado digital ordenado. La identificación de red rara vez formó parte del diseño; por lo tanto, el mismo dispositivo puede reportarse de forma diferente según el protocolo o la integración que pregunte.

También encontramos una situación similar respecto a los sistemas operativos que sustentan el hardware físico. En nuestra investigación, el 41% de los dispositivos no tenía una versión de OS disponible y el 24% no tenía nombre de OS alguno.

Sin estos detalles, emparejar un dispositivo con una vulnerabilidad conocida deja de ser una simple consulta de base de datos o un proceso automatizado y se convierte en un juego de conjeturas o una búsqueda manual meticulosa.

Además, las advisory CVE, el mecanismo estándar de la industria para rastrear vulnerabilidades, se elaboran a partir de estos datos defectuosos de los fabricantes. Un aviso oficial puede ser tan incompleto como la red que pretende proteger.

Traducir el caos de códigos de producto en riesgo para la Junta Directiva

Este tipo de punto ciego añade otra capa de preocupación a una dirección que ya está ansiosa por la visibilidad de amenazas. Entre 1.100 líderes de seguridad encuestados a nivel global, el 44% señaló entender la exposición al riesgo de su organización como una de sus mayores preocupaciones operativas, por encima de la presión de cumplimiento o las limitaciones presupuestarias.

Un 45% afirmó además que le resultaba difícil reducir el riesgo cibernético a sus activos y procesos más importantes, pero la conexión entre esa lucha y un inventario de activos poco fiable a menudo pasa desapercibida. El liderazgo ve el síntoma, un aumento en la sensación de que el riesgo es ingobernable, sin ver la causa subyacente.

Aquí es donde seguridad y negocio pueden terminar hablando en paralelo sin conectarse. Los equipos de seguridad que describen el problema en términos de códigos de producto ausentes y convenciones de nomenclatura inconsistentes no avanzarán mucho.

Los líderes del negocio oyen solo que el riesgo no puede cuantificarse con confianza. Hasta que esas dos conversaciones se conecten, cada registro de riesgo que presente un CISO llevará un asterisco que nadie en la sala puede ver.

La contextualización es clave para cerrar la brecha

La resolución de este problema empieza por un cambio en lo que significa visibilidad. Saber que un dispositivo existe en la red es solo la mitad del trabajo. Saber qué hace, qué proceso depende de él y qué sucede si se ve comprometido es lo que realmente hace que un registro de riesgos sea útil.

Para lograr este cambio a escala se requieren herramientas especializadas que gestionen la naturaleza a menudo eclecta y propietaria de los activos CPS, así como un enfoque automatizado para hacer frente a la escala.

En un ejemplo, aplicar técnicas de mapeo impulsadas por IA al catálogo de dispositivos de un fabricante elevó la identificación de códigos de producto del 4% al 83%, convirtiendo un punto ciego cercano en una imagen casi completa. El seguimiento fue igual de importante, con el 56% de los dispositivos recibiendo una recomendación de firmware nueva o actualizada como resultado, y la precisión de la identificación de vulnerabilidades mejorando en un 25%.

Números como estos importan porque cambian la pregunta que las equipos de seguridad pueden responder. En lugar de preguntar qué está conectado a la red, los equipos pueden preguntar qué sistemas causarían la mayor interrupción si se ven comprometidos y actuar con confianza en lugar de conjeturas. Esa es la diferencia entre un inventario de activos que existe en papel y uno resiliente que aguanta la presión.

Arreglar la base, no solo la alarma

Nada de esto se soluciona con añadir otra herramienta a la pila. En su lugar, significa tratar la calidad de los datos de activos como un tema de riesgo a nivel de junta, con el mismo rigor aplicado a presupuestos, cumplimiento y acceso de terceros.

Lograrlo significa que una nueva alerta de CVE ya no provoque una carrera para determinar qué dispositivos críticos podrían verse afectados, sino la respuesta confirmada y priorizada que esperaría cualquier programa sólido de gestión de vulnerabilidades.

La llegada de la alerta a un equipo de imagenología hospitalaria o a sistemas de control de una planta no debería ser más difícil de actuar que la que llega a un portátil. Empezar por hacer visible lo invisible es el primer paso para una acción eficaz.

Para más, hemos destacado las mejores herramientas de firewall y perspectivas de tecnología.

Esta visión se presenta como parte de TechRadar Pro Perspectives, nuestra vía para presentar ideas y expertos sobresalientes de la industria tecnológica actual.

Las opiniones expresadas son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, puede descubrir más aquí: https://ift.tt/g9sG58r

from Latest from TechRadar https://ift.tt/8yHGnco
via IFTTT IA