Papel de PKI en IEC 62443

Integrar controles de seguridad de última generación en entornos industriales que dependen de la tecnología operativa (OT) puede suponer todo un reto. Las redes OT suelen estar aisladas y carecer de conectividad por diseño. Muchos dispositivos industriales dependen del legado software para funcionar correctamente, y es habitual que los sistemas industriales dependan de redes planas con poca o ninguna segmentación.

Luckily, cybersecurity professionals and subject matter experts from around the world have collaborated to produce guidance for securing OT environments, published in the IEC 62443 series of standards.  

PKI desempeña un papel fundamental en la modernización de los entornos industriales. Menos tecnologías aportan funciones de seguridad más eficaces y adaptables, desde la autenticación hasta el control de acceso. Siga leyendo para saber cómo la PKI y la norma IEC 62443 pueden ampliar su seguridad.

¿Qué hace la norma IEC 62443?

La norma IEC 62443 orienta sobre la implantación y el mantenimiento de sistemas de automatización y control industrial (IACS) seguros. Dado que las necesidades y los requisitos pueden variar enormemente de un entorno OT a otro, la norma IEC 62443 prescribe cuatro niveles de seguridad diferentes para adaptarse a las necesidades de cualquier organización, independientemente de su sofisticación o madurez.

• Security Level 1: Protection against casual or accidental breach
• Security Level 2: Defense against intentional violations with simple means
• Security Level 3: Safeguarding against sophisticated threats
• Security Level 4: Defense against APTs and nation-state level threats

Muchas organizaciones y entornos dependerán de las directrices de nivel 2 y 3 para proteger sus sistemas, pero es importante recordar que cada nivel de seguridad puede aplicarse parcialmente cuando sea necesario. Los responsables de OT querrán realizar un análisis de riesgos exhaustivo antes de crear un plan para aplicar el 62443 en su entorno.

La norma IEC 62443 no recomienda productos específicos para proteger los SIGC, pero sí sugiere prácticas básicas de seguridad, que van desde conceptos como la autenticación de usuarios y el control de acceso físico hasta sistemas avanzados de supervisión y auditorías periódicas. En lugar de adherirse exclusivamente a un nivel de seguridad, se anima a las organizaciones a tomar prestada la orientación de cada nivel cuando mejor se adapte a sus necesidades de seguridad.

Papel de PKI en IEC 62443

La criptografía de clave pública -es decir, el uso de pares de claves asimétricas, certificados y firmas digitales- ofrece una solución universal para muchas de las sugerencias de la norma IEC 62443, especialmente en áreas como:

• Autenticación de usuarios
• Control de acceso
• Software validación
• Comunicaciones cifradas

For example, Part 4-2 of IEC 62443 (which focuses on fortifying each element of IACS against cyber threats) emphasizes robust authentication mechanisms for both devices and users. It also stresses the need for confidential communications and data integrity, two tenets of security that PKI is perfect for achieving.   

For example, code signing verifies the authenticity of software, firmware, and updates. Because many IACS devices may be running unsupported software, organizations are advised to minimize the software in the environment and only allow authorized packages.

PKI también puede utilizarse para asignar y verificar las identidades de los dispositivos e intermediar la autorización entre ellos, eliminando la necesidad de un control de acceso basado en credenciales. Además, la emisión, renovación y revocación de los certificados que habilitan estas funciones es muy sencilla con la solución PKI adecuada.

Ya se trate de autenticar dispositivos, controlar el acceso a recursos entre ellos, firmar actualizaciones autorizadas o cifrar datos con suites de cifrado de última generación, una solución PKI robut puede tener un impacto tremendo en su postura de seguridad OT.

Industria 4.0

Industry 4.0 represents the digital transformation of the industrial sector. It holds the lofty aim of creating an interconnected network of devices and systems with real-time data and advanced analytics. This transformation promises improved efficiency, productivity and decision-making speed.

La seguridad en la Industria 4.0 depende de la confianza y la identidad. La confianza garantiza que cada interacción dentro de la red implique a entidades autenticadas y autorizadas, mientras que la identidad proporciona los medios para establecer, verificar y mantener estas relaciones de confianza.

Implementing these controls comes with a number of challenges due to compatibility between legacy systems and highly variable environments. Each industrial setup has unique requirements and constraints, complicating the deployment of standardized security measures.

Complejidad técnica

Conseguir una cobertura organizativa completa requiere la experiencia de arquitectos de seguridad experimentados. Los profesionales deben considerar todos los ángulos potenciales y poseer un profundo conocimiento de la tecnología y los procesos operativos específicos en uso.

Cada instalación industrial es única, lo que hace poco realista la aplicación de medidas de seguridad estandarizadas. El reto consiste en diseñar un marco de seguridad que sea a la vez completo y adaptable a las diversas operaciones industriales.

Gestión de volúmenes de certificados

La introducción de PKI en organizaciones dirigidas por OT traerá consigo un nuevo conjunto de retos de gestión, como la gestión de certificados. 

Implementing certificate management uniformly is difficult due to diverse and often outdated devices. Untracked certificates can cause outages and add complexity. Whatever tool you choose should centralize certificate management into a universal hub delivering more reliable security and consistency.

Además, las soluciones PKIaaS pueden no ser compatibles con todos los dispositivos y sistemas de OT. Para garantizar la compatibilidad, las organizaciones necesitan enfoques personalizados y una amplia colaboración entre proveedores para lograr una integración y un funcionamiento perfectos.

Experiencia en PKI

Gestionar eficazmente la PKI requiere algo más que conocimientos operativos; exige una visión global, un diseño estratégico y una planificación a largo plazo.

Partnerships and services can help bridge the expertise gap as experts in PKI are expensive and hard to find. Strategic partners can help you create a roadmap and your internal team can follow the playbook. You can also hand off PKI altogether to a managed PKI service. 

Sentar las bases de la ciberseguridad de los ICS

Llevar la PKI al mundo industrial establece una capa fundacional de confianza y seguridad. A medida que las organizaciones tratan de aplicar el marco de la norma IEC 62443-4-2, la adopción de un enfoque gradual resulta práctica y necesaria para una implantación eficaz.

He aquí un resumen de cada fase:

1. Focus on High-Risk Systems and Users: Begin by identifying and securing the highest-risk systems and users within the Industrial Control Systems (ICS) environment. By protecting the most vulnerable parts of the network first, the overall risk of cyber threats is significantly reduced.
2. Implement a Phased Approach: Start by assessing current security measures and identifying gaps. Then, implement PKI solutions tailored to specific needs. This incremental improvement strategy makes it easier to manage and adapt to new challenges as they arise. As each phase is completed, the organization can build on its successes.
3. Integrate PKI and Align with IEC 62443-4-2: Aligning with the best practices in IEC 62443-4-2 helps organizations meet regulatory requirements and ensures that cybersecurity measures are up-to-date with industry standards.

Setting the foundation for ICS cybersecurity with PKI is a substantial undertaking. If you’re ready to learn how Keyfactor can help you navigate PKI automation and align your ICS operations with IEC 62443, get in touch — our team is ready to help.