Estados Unidos, Australia y varios socios internacionales han publicado una nueva guía con seis medidas dirigidas a ayudar a las infraestructuras críticas a aislar sus sistemas esenciales durante un ciberataque o una interrupción grave.
El documento, denominado CI Fortify – Advice for Isolating Vital Systems, ha sido elaborado por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, el Centro Australiano de Ciberseguridad, el FBI y otros organismos internacionales.
Su principal objetivo es que los operadores puedan desconectar los sistemas de tecnología operacional, conocidos como sistemas OT, de Internet, de las redes corporativas y de otros entornos menos fiables, sin dejar de prestar servicios esenciales durante un periodo prolongado.
La guía establece un recorrido de seis pasos para preparar este aislamiento de forma segura y evitar que tenga que improvisarse durante un incidente.
1. Identificar los sistemas y redes esenciales
La primera medida consiste en determinar qué sistemas, equipos y redes son imprescindibles para mantener activo el servicio crítico.
Las organizaciones deben localizar el conjunto mínimo de activos necesarios para seguir proporcionando electricidad, agua, transporte, telecomunicaciones, producción industrial u otros servicios esenciales.
Esta identificación debe incluir tanto los sistemas OT que controlan procesos físicos como los servicios tecnológicos que permiten su funcionamiento.
2. Determinar quiénes son los clientes críticos
La segunda recomendación es identificar qué organismos, servicios o infraestructuras dependen directamente de la organización.
Entre ellos pueden encontrarse hospitales, instalaciones militares, servicios de emergencia, redes de transporte u otras infraestructuras esenciales.
La guía aconseja establecer objetivos mínimos de prestación en función de sus necesidades, como una cantidad determinada de energía, agua o capacidad operativa que deba mantenerse durante el aislamiento.
3. Clasificar las redes según su criticidad y nivel de confianza
El tercer paso consiste en agrupar los sistemas en función de su importancia y exposición a las amenazas.
Los equipos con una criticidad y un nivel de riesgo similares deben situarse dentro de segmentos o zonas específicas. Esta separación permite aplicar controles diferentes en función del impacto que tendría la caída o el compromiso de cada sistema.
La segmentación también reduce las posibilidades de que un atacante que haya accedido a una red corporativa pueda desplazarse hasta los sistemas industriales más sensibles.
4. Localizar las conexiones y los posibles puntos de aislamiento
Las organizaciones deben elaborar un mapa completo de las conexiones existentes entre sus sistemas críticos y el resto de la infraestructura.
Esto incluye accesos desde las redes corporativas, conexiones a Internet, servicios en la nube, accesos remotos de proveedores, VPN, redes inalámbricas y comunicaciones con otras infraestructuras.
La guía recomienda documentar quién es responsable de cada conexión, qué información circula por ella y qué impacto tendría su desconexión.
A partir de este análisis deben definirse los puntos concretos desde los que podría aislarse cada sistema durante un incidente.
5. Construir mecanismos efectivos de separación
La quinta medida consiste en crear sistemas que permitan separar físicamente o técnicamente las redes esenciales del resto de la organización.
La separación física es considerada la opción más eficaz, ya que evita que los sistemas críticos compartan conexiones o infraestructura con redes menos seguras.
Cuando no sea posible aplicar un aislamiento completo, las organizaciones deben reforzar los límites entre las redes IT y OT mediante cifrado, equipos dedicados, controles de acceso, firewalls y soluciones diseñadas para limitar el intercambio de información.
La guía advierte de que las redes virtuales o VLAN pueden utilizarse como medida temporal, pero no deben considerarse una alternativa permanente a la separación física o criptográfica.
6. Crear y probar un plan de aislamiento
La última medida es desarrollar un plan que permita desconectar progresivamente los sistemas en función de la gravedad del incidente.
El documento propone comenzar eliminando los accesos remotos, continuar aislando las conexiones entre las redes corporativas y los entornos OT y terminar, cuando sea necesario, con la desconexión completa de los sistemas esenciales.
Las organizaciones deben definir previamente qué situaciones activarán cada fase y vincularlas a su plan de respuesta ante incidentes.
Además, la guía insiste en que estos procedimientos deben probarse periódicamente. Limitar los ensayos a un solo sistema puede impedir que se detecten dependencias ocultas entre los distintos activos.
También recomienda conservar una copia física y desconectada del plan de aislamiento para garantizar que siga disponible incluso si la red corporativa queda comprometida.
