Industria: Deficiencias en la seguridad de OT e IoT

Anzeige

Según los resultados de un estudio reciente, casi la mitad de los responsables de TI de las empresas industriales alemanas consideran insuficientes las medidas destinadas a proteger contra los ciberataques. El control industrial y el ámbito del IoT están especialmente en riesgo.

En una encuesta reciente realizada a responsables de TI de la industria alemana, ni siquiera la mitad (46 por ciento) estaba convencida de que la economía estuviera suficientemente protegida contra los ciberataques. Menos de un tercio (29 por ciento) dice que está realmente familiarizado con las regulaciones y estándares de ciberseguridad relevantes para su industria; una cuarta parte ni siquiera sabe acerca de ellos. Estos son los resultados clave del “Informe de ciberseguridad OT+IoT 2024” de la empresa de ciberseguridad ONEKEY de Düsseldorf. En la primavera de 2024 se encuestó a más de 300 empresas industriales para el informe sobre la seguridad de los controles industriales (Operational Technology, OT) y los dispositivos para el Internet de las cosas (IoT). Además de los gerentes de TI, también dieron su opinión los directores ejecutivos (CEO), los directores de información (CIO), los directores de seguridad de la información (CISO) y los directores de tecnología (CTO). El informe aparecerá en el sitio web de ONEKEY en octubre.

Los fabricantes subestiman los riesgos cibernéticos

El aleccionador resultado del estudio se puede resumir de la siguiente manera: aunque la digitalización industrial se ha estado acelerando durante años y cada vez se utiliza más software en los sistemas de control, la conciencia de los riesgos cibernéticos asociados parece estar muy poco desarrollada entre muchos fabricantes y operadores. "Esto ya representa un peligro concreto para los fabricantes y, por tanto, para todos los operadores de dispositivos e infraestructuras industriales", afirma el director general de ONEKEY, Jan Wendenburg.

Explica los motivos de la siguiente manera: “A muchos fabricantes les resulta difícil identificar las normas de cumplimiento realmente relevantes. Están sucediendo muchas cosas a nivel internacional: la nueva Ley de Resiliencia Cibernética en la UE, el PSTI en Inglaterra, la Ley Biden en EE. UU. y muchas otras. Por lo tanto, hemos desarrollado un Asistente de Cumplimiento que utiliza una combinación de evaluación automatizada de seguridad cibernética y asistente virtual para guiar a las empresas a través de una evaluación simplificada del cumplimiento organizacional. La documentación resultante se puede utilizar inmediatamente para requisitos futuros en cuestiones de ciberseguridad y certificaciones adicionales”.

Se descuidan los controles industriales y los dispositivos IoT

En los análisis convencionales de ciberseguridad, la atención se centra principalmente en los sistemas y redes informáticos, mientras que los controles industriales en máquinas e instalaciones, así como los dispositivos IoT (Internet de las cosas), a menudo reciben menos atención, según los resultados del informe ONEKEY. Sin embargo, la mayoría de los encuestados (51 por ciento) están convencidos de que el panorama hacker ya se ha centrado en el uso indebido de controles de máquinas y sistemas, así como de dispositivos IoT. Sospechan que los ciberdelincuentes ya los utilizan activamente como puerta de entrada a las redes empresariales. Otra cuarta parte (23 por ciento) espera que cada vez más piratas informáticos concentren sus incursiones digitales en los controles industriales y el Internet de las cosas en el futuro.

“Casi tres cuartas partes de los ejecutivos de la industria contactados suponen que los piratas informáticos atacan cada vez más los controles industriales y los dispositivos de IoT. Por lo tanto, es extremadamente urgente que los fabricantes de estos controles y dispositivos protejan sus productos de los ataques cibernéticos”, Jan Wendenburg, director general de ONEKEY, insta a la gente a darse prisa.

Casi la mitad (46 por ciento) de los afectados no puede responder a la pregunta de qué estándares técnicos son importantes para la ciberseguridad en dispositivos, máquinas y sistemas, según el “Informe de ciberseguridad OT+IoT 2024” de ONEKEY. Menos de una cuarta parte (23 por ciento) considera relevante la nueva Ley de Resiliencia Cibernética (CRA) de la Unión Europea, aunque según el cronograma actual, a partir de 2027, los dispositivos y controles industriales que no cumplan con la CRA ya no lo serán. se permitirá su venta en la Unión Europea.

"A la vista de los plazos de desarrollo habituales de más de dos años, sorprende la poca conciencia que existe sobre la importancia de las nuevas normas dos o tres años antes de su entrada en vigor", afirma Jan Wendenburg. Explica: “Si los sistemas de control no cumplen los requisitos de la CRA a partir de 2027, esto no sólo planteará problemas importantes para los fabricantes de dispositivos, máquinas y sistemas, sino también para los usuarios industriales. Por lo tanto, a todos los involucrados en la Industria 4.0 les interesa actualizar rápidamente la ciberseguridad en las áreas OT e IoT al mínimo legalmente requerido”.

Las empresas subestiman el potencial de amenaza de OT e IoT

Según el informe, el desconocimiento generalizado sobre la ciberseguridad en el sector OT e IoT se debe a que la mayoría de las empresas consideran que otras áreas de la empresa son objetivos más vulnerables para los piratas informáticos y, por tanto, descuidan los componentes industriales. El 42 por ciento de los ejecutivos encuestados para el “Informe de seguridad cibernética OT+IoT 2024” consideran que vale la pena proteger especialmente los sistemas financieros y de pago contra los ciberataques. El 39 por ciento (fue posible dar varias respuestas) ve el mayor peligro en los ataques a las redes corporativas y a los centros de datos. El 36 por ciento cree que los piratas informáticos tienen como objetivo los datos de los clientes. Una buena cuarta parte (26 por ciento) teme que las comunicaciones por correo electrónico sean interceptadas por personas no autorizadas. Exactamente una cuarta parte teme la pérdida de secretos comerciales y documentos de patente. Un buen quinto (22 por ciento) clasifica los servicios en la nube como una puerta de entrada para los piratas informáticos. Según la encuesta, otras áreas particularmente dignas de protección incluyen: sistemas personalizados en el lugar de trabajo (16 por ciento), sistemas de vigilancia y seguridad (16 por ciento), infraestructura crítica y datos de salud (15 por ciento), sistemas de telecomunicaciones (12 por ciento), aplicaciones web y sitios web (9 por ciento), así como big data y sistemas con inteligencia artificial (8 por ciento).

La encuesta encontró que el potencial de amenaza en las áreas de OT e IoT es comparativamente bajo. Sólo el 11 por ciento de los encuestados considera que los sistemas de gestión de la cadena de producción y suministro son el objetivo principal de los ciberdelincuentes. Sólo el 12 por ciento asume ataques de piratas informáticos a dispositivos y sistemas desde el Internet de las cosas. Los sistemas de producción y los sistemas de control industrial (sistemas OT) no están expuestos ni a una décima parte (9 por ciento) de peligros graves por parte de atacantes de Internet. Sólo para aplicaciones y dispositivos móviles el riesgo se considera aún menor (5 por ciento).

El jefe de ONEKEY hace un llamamiento a la industria para que inste a sus proveedores a garantizar la ciberseguridad necesaria de dispositivos, máquinas y sistemas. Explica: “Por supuesto, los fabricantes deben asegurarse de que sus productos cumplan con la CRA. Pero una empresa que no utiliza productos que cumplen con la CRA tampoco está en una posición óptima. Por lo tanto, a todos los involucrados en la Industria 4.0 les interesa darle al tema de la ciberseguridad la atención que merece más allá de las computadoras y las redes, incluidos los sistemas de control industrial y el Internet industrial de las cosas”.

Artículos relacionados con el tema