seguridad informÁtica para sistemas de … · arquitectura configuraciÓn operaciÓn ... seguridad...
Post on 02-Nov-2018
233 Views
Preview:
TRANSCRIPT
SEGURIDAD INFORMÁTICA PARA SISTEMAS DE OPERACIÓN
Normativa internacional y trabajos del CIGRE
¿A qué afecta la Seguridad?
• DISPONIBILIDAD– Los ataques pueden bloquear funciones del SAS– Pueden tener más impacto que las averías– El impacto puede no limitarse a una sola
subestación
• FIABILIDAD– El funcionamiento del SASpuede degradarse
• ECONOMÍA– Pérdidas económicas de laNO seguridad
Entorno de SeguridadAMENAZAS
RIESGOS
SAS
PROTECCIÓN
REDUCIR
INTERNASEXTERNAS
ARQUITECTURACONFIGURACIÓNOPERACIÓNMANTENIMIENTO
DISPONIBILIDADCONFIABILIDAD
VULNERABILIDADES
LAS NORMAS CONTRIBUYEN A:- Análisis correcto de riesgos- Medidas adecuadas al entorno
Orientación Normativa
Jerarquía Normativa
IEC 27000
• Implementación de la seguridad para sistemas de OperaciónIEC 62443
• Protección de sistemas de Operación
• SAS, Centros de Control, etc.IEC 62351
• Detalles de implementación de protocolos y algoritmosIETF
• Sistema de gestión de la seguridad
Normativa Internacional
• IEC 62443. Security for Automation and Control Systems– Define los conceptos genéricos de seguridad que
aplican a los sistemas de automatización y de aplicaciones críticas
– Se utiliza para definir dominios de seguridad
Normativa Internacional
• IEC 62351. Power System Management and associated Information Exchange – Data and Communication Security– Identifica amenazas, define requerimientos de
seguridad y especifica medidas de protección para sistemas P&C
IEC 62443
Contenido IEC 62443
Conceptos Incluidos
Responde al objetivo de diseñar sistemas de automatización robustos y resistentes a ataques informáticos• Identifica aspectos clave que influyen en la
disponibilidad– Procesos, Tecnología y Personas
• Analiza la seguridad entodo el ciclo de vida delproducto/sistema
• Se utiliza para definirdominios de seguridad
Parte General
• IEC 62443-1-1. Models and Concepts– Introducción a los conceptos generales de seguridad en los
sistemas de automatización• Zonas, niveles de seguridad, etc.
• IEC 62443-1-2. Glossary of Term• IEC 62443-1-3. Conformance Metrics
– Definición de métricas, requerimientos para acceso remoto, gestión de versiones, configuración, etc.
• IEC 62443-1-4. ProductDevelopment Requirements– Ciclo de vida de la seguridad
Políticas y procedimientos
• IEC 62443-2-1. Security Management System– Introducción a los componentes de un sistema de
gestión de la seguridad
• IEC 62443-2-2. Implementation Guide of a Management Security System– Política de seguridad, organización, RRHH,
activos, control de acceso, etc.
• IEC 62443-2-3. Patch Management– Problemas asociados a la gestión de versiones
• IEC 62443-2-4. Security Requirements forService Providers
Aspectos del Sistema• IEC 62443-3-1. Security Technologies
– Autentificación, gestión y distribución de claves, encriptación, detección de intrusión, etc.
• IEC 62443-3-2. Security Risk Assessment– Metodologías de análisis de riesgos
• IEC 62443-3-3. System Security Requirements– Identificación y control de uso, confidencialidad,
disponibilidad de recursos, etc.
Componentes
• IEC 62443-4-1. Secure productdevelopment lifecycle requirements– Implementación segura, verificación y
validación.
• IEC 62443-4-2. Security requirements forcomponents– Control de uso, integridad,
confidencialidad, etc.
Factores que determinan la Seguridad
SEGURIDAD
PROCESO
PERSONAS
TECNOLOGÍA
Evaluación de riesgos
• Identificar amenazas• Identificar vulnerabilidades• Determinar consecuencias e impacto
– Realizar la matriz de “Impacto – Probabilidad”
• Determinar objetivos de seguridad• Identificar y evaluar protecciones existentes• Calcular error residual
– Si no es aceptable incrementarlas medidas de seguridad
• Documentar los resultados
Matriz Riesgo – Impacto
IEC 62351
IEC 62351Ed2
Un enfoque práctico con medidas concretas
• Analiza el entorno de Sistemas de operación– Elementos a proteger
– Amenazas y remedios
• Define como asegurar los protocolos de Operación– Aplicación directa en
subestaciones
• Se utiliza para proteger el
SAS y configurar equipos– IEDs, Switches, Firewalls
Contenido IEC 62351
• IEC 62351-1.Introduction
• IEC 62351-2.Glossary of terms
• IEC 62351-3. Profiles including TCP
• IEC 62351-4.Security for profiles that incide MMS
• IEC 62351-5. Security for IEC 60870-5
• IEC 62351-6. Security for IEC 61850 profiles
• IEC 62351-7. Security through network and system management
Contenido IEC 62351
• IEC 62351-8. Role-Based Access Control for powerSystem Management
• IEC 62351-9. Key Management for Power Systemequipment
• IEC 62351-10. Security Architecture Guidelines
• IEC 62351-11. Security ofr XML files
• IEC 62351-12. Resilience and securityrecomendations for Power Systems with DERs
• IEC 62351-13. Guidelines on what security topicsshould be covered in standards and specifications
Estructura Norma IEC 62351
Requerimientos básicos
• Confidencialidad– Prevenir el acceso no autorizado a la información
• Integridad– Prevenir la modificación no autorizada o el robo de información
• Disponibilidad– Prevenirla denegación de servicio (DoS) y asegurar el acceso a
información o servicios de las aplicaciones o personas autorizadas
• No repudiación– Prevenir que un usuario pueda
negar que ha realizado una acción
Principales amenazas
• Indiscreciones del personal– Claves de acceso prestadas a compañeros, etc.
• Saltarse los controles– Se desactivan los sistemas de control de acceso– No se cambian los passwords por defecto, etc.
• Empleados descontentos– Disponen de información
privilegiada para realizarataques complejos
Principales amenazas
• “Man-in-the-middle”
– Alguien se pone en medio del canal y altera la información
• Violación de autorización
– Acciones no autorizadas
• Agotar recursos
Tipos genéricos de ataques
• Escuchas
• Modificación
• Implantación en el sistema
• Interacciones
• Denegación de servicio
• Negar el evento
Requerimientos, Amenazas y Ataques
Attacks and Countermeasures
IEC 62351-8 RBAC
• Especifica un sistema de control de acceso seguro basado en el rol del usuario y/o aplicaciones– Basado en el principio de mínimos privilegios– Contrapuesto al acceso por niveles
• RBAC es un componente fundamental del sistema de Autentificación, autorización y Registro de acceso
• Incluye todo tipo de accesos– Local– A través de HMI– Remoto
• Incluye mecanismos para asegurarla interoperabilidad
• No incluye reglas para definir• Passwords
Roles Genéricos
El Role de Cigre
DOMINIO
INTERNET
EXPERIENCIA Y
APLICACIONES EEs
NORMATIVA
INTERNATIONAL
IETF W3C
IEEE
IEC
CIGRE
R&D Y
NORMATIVA
Trabajos del Cigre
TB-317 Security of Information Systems
TB-419 Treatment of Information Security
TB-603 Cyber protection of Protection & Control
TB-615 Security architecture principles
WGD2.38 Manage the response to cyber attacks
WGD2.40 “Cyber Risks and Cyber security” Cloud services, cyber security regulations, etc.
What should we do if we suffer an attack?
Graded security methodology
Protection of SAS. Remote access
Security protection of Operational systems
Framework for managing cyber security
TB-427 Cyber protection using IEC 61850 Protection of IEC 61850 SAS
Temas incluidos en los TBs
• Concepto de Dominio y su aplicación para sistemas de Operación (OT)
• Metodologías de análisis de Riesgos para OT– Enfocado en Automatización de Subestaciones (SAS)
• Como utilizar las normas– Guías y mejores prácticas
• Definición de un entorno de seguridad para OT• Guía sobre las tecnologías de seguridad informática• Consideraciones específicas para Protección & Control
– Recomendaciones y soluciones practicas– Vulnerabilidades específicas de P&C– Acceso Remoto
• Implementación de la Seguridad Gradual para el SAS– Técnicas de modelado de ataques
Temas en desarrollo
• Guía sobre como gestionar amenazas informáticas– ¿Cómo responder a los ataques?
• Impacto de leyes y regulaciones gubernamentales
• Gestión de Patch
• Ataques internos
• Desafíos de la seguridad
de las Nubes– Recomendaciones sobre el uso
de los servicios de Nube
por las empresas eléctricas
Aspectos importantes
En las encuestas internacionales realizadas por el Cigre se han identificado los siguientes aspectos importantes• Las empresas eléctricas no disponen de las
herramientas necesarias para responder de una forma contundente a las amenazas de seguridad informática– Centro Gestor de seguridad– Personal capacitado– Herramientas informáticas
Aspectos importantes
• Es necesario definir un entorno específico de seguridad informática para subestaciones– Hay que definir como deben utilizarse las normas existentes y su
aplicabilidad al SAS– Se debe definir un perfil de seguridad del SAS
• El entorno de seguridad debe ser flexible– Capacidad para adaptarse a las amenazas cambiantes– Capaz de adaptarse a las nuevas normativas o regulaciones
gubernamentales
• Criterios de gestión de patch– Como superar una vulnerabilidad
cuando no hay posibilidad de actualización– Procedimiento para autorizar la
instalación de un nuevo Patch
Conclusiones G7• Crear una cultura de la Seguridad informática en la empresa
– Compromiso de la alta dirección
• Evaluar y monitorizar los Riesgos• Mitigar los Riesgos para alcanzar un nivel aceptable• Gestionar los incidentes de seguridad
– Capacidad de respuesta adecuada al incidente
• Implementar un proceso de mejora continua de la seguridad• Crear los recursos necesarios
– Equipamiento, capacitación, organización, etc.
• Protegerse en el mercado de la energía frente a los efectos de los ataques– Contratar un seguro para proteger los efectos económicos
• Cooperar con el gobierno para definirregulaciones coherentes
• Compartir información sobre los ataquescon otras empresas de confianza
• No se puede proteger lo que no se conoce
Conclusiones• La falta de seguridad informática afecta a la
Disponibilidad y la Fiabilidad• Se debe incorporar la seguridad a todos los
procesos de ingeniería• Aplicar la normativa internacional optimiza los
resultados a largo plazo– Medidas de protección adecuadas y optimizadas
• Los trabajos como de CIGREcontribuyen a optimizar laimplantación de la seguridad
¡GRACIAS POR SU ATENCIÓN!
top related