Por qué PKI es fundamental para los sistemas de control industrial

Protegidas durante mucho tiempo mediante el aislamiento de la red, las organizaciones del sector industrial se enfrentan ahora a un riesgo cibernético cada vez mayor. La convergencia de las TI y la tecnología operativa (TO) crea nuevas oportunidades de eficiencia e innovación, e introduce la posibilidad de explotación.

Los sistemas de control y automatización industrial (IACS) están cada vez más en el punto de mira de las amenazas. A diferencia de los entornos informáticos, los sistemas de OT suelen depender de terceros proveedores y contratistas, lo que, por desgracia, suele dejar puertas abiertas a los delincuentes.

The risks of compromise for essential infrastructure are catastrophic. To mitigate risk, organizations must adopt a defense-in-depth approach, guided by the horizontal standards in IEC 62443. Encryption is a critical component of this strategy, providing a safeguard against data interception, manipulation, and unauthorized access. 

Profundicemos en los retos específicos de la ciberseguridad industrial, la importancia del cifrado y cómo implantar la PKI para proteger las infraestructuras críticas.

¿Qué es la norma IEC 62443?

The IEC 62443 series provides a comprehensive framework for securing industrial control systems (ICS). Unlike IT systems, ICS have unique characteristics and stringent performance, availability, and longevity requirements. Moreover, the consequences of a successful attack on industrial systems can be far more severe, potentially leading to environmental disasters or loss of life. 

IEC 62443 addresses these challenges by adopting a holistic approach encompassing not only technology but also human factors, work processes and countermeasures. The standard, developed in collaboration between government and industry, emphasizes risk-based methodology, focusing on protecting critical assets while maintaining operational efficiency. 

El marco consta de cuatro partes principales: 

• General: Establishing foundational concepts, terminology, and models for IACS security. 
• Policy & Procedures: Outlining methods and process to implement and manage IACS security programs, including patch management and security service provider requirements. 
• System: Focusing on the system-level security of tools, risk assessments, and overall security requirements.
• Components & Requirements: Providing detailed security specifications for individual embedded devices, network components, and software applications.

La norma IEC 62443 desempeña un papel vital en la protección de las infraestructuras críticas y la mitigación de los riesgos asociados a los ciberataques, y la criptografía desempeña su propio papel necesario para proteger con éxito las redes industriales. 

¿Qué lugar ocupa la PKI en la norma IEC 62443?

La infraestructura de clave pública (PKI) -un sistema criptográfico para crear, gestionar, distribuir, almacenar y revocar certificados digitales para verificar la identidad de las entidades en las comunicaciones electrónicas- es especialmente relevante para las capas de transporte y aplicación de los sistemas de automatización y control industrial. Estas capas son responsables de la transmisión y estructuración de datos entre la arquitectura digital de su IACS global, incluyendo dispositivos como: 

• Programmable Logic Controllers (PLCs): Industrial computers controlling machines and processes
• Remote Terminal Units (RTUs): Devices that collect data from sensors and control equipment in remote locations

• Supervisory Control and Data Acquisition (SCADAs): Systems that monitor and control industrial processes, including PLCs and RTUs, to enable high-level supervision over wide surface area
• Human-Machine Interfaces (HMIs): Interfaces allowing humans to interact with machines and processes

The transport layer ensures reliable data delivery through protocols like HTTPS and TLS, which encrypt data in transit. Meanwhile, the application layer defines how data is structured and exchanged, using protocols like Modbus, OPC and DNP3. While these protocols have their own security mechanisms, they often rely on PKI for authentication and encryption. 

Al aprovechar los certificados y las autoridades de certificación (CA) de confianza, PKI establece un sólido marco de confianza dentro del sistema de control industrial. Esto garantiza que sólo los dispositivos y sistemas autorizados puedan comunicarse, mitigando el riesgo de acceso no autorizado y manipulación de datos. El "pasaporte digital" PKI verifica la identidad de cada entidad dentro de la red, reforzando la seguridad general contra intrusiones no deseadas. 

Sin criptografía ni certificados, los usuarios no autorizados pueden interceptar datos, merodear y moverse lateralmente por los sistemas y explotar vulnerabilidades para obtener beneficios malintencionados. Un sistema de gestión PKI robusto bloquea esos puntos de entrada no autorizados, obligando a cada identidad digital a demostrar su autenticidad antes de proceder al intercambio de datos.

¿A qué más afecta la ICP?

Además de proteger la transmisión de datos, la PKI desempeña un papel fundamental en otros procesos críticos de seguridad industrial: 

• Code signing: Encrypted code signing prevents malicious code injection and guarantees that only authorized software is executed. 
• Secure boot: Secure boot protects device startup by verifying the digital signatures of bootloaders and firmware, preventing unauthorized modifications. However, many secure boot implementations rely on native asymmetric cryptography instead of PKI, which can pose risks. While this approach leverages the chip’s built-in security, it often creates dependency on the chip vendor, potentially impacting your product security strategy.

• Over-the-air (OTA) updates: PKI secures the distribution and installation of software updates, protecting against tampering and ensuring only legitimate updates are applied.
• Mobile code execution: PKI authenticates and authorizes the execution of dynamic code, mitigating the risks associated with malicious scripts or applications.

La red PKI comunica los sistemas IT y OT. La PKI asegura la distribución y el intercambio de material clave entre dispositivos y sistemas y permite proteger las propias claves de manipulaciones no autorizadas. Las identidades de máquina únicas que marcan cada dispositivo para la autenticación mutua garantizan que sólo los dispositivos autorizados puedan acceder a las redes y servicios. 

En todos estos procesos, la PKI aprovecha la potencia de la criptografía para establecer un marco de confianza para los sistemas de automatización y control industrial, obligando a cada dispositivo a demostrar su autenticidad en todo momento en lugar de asumir su fiabilidad. Incluso cuando los ciberatacantes tengan como objetivo a terceros proveedores, la PKI puede impedir que lleguen a sus sistemas. Para IACS, donde la fiabilidad, la seguridad y la continuidad operativa son primordiales, PKI permite autenticar, validar y asegurar los elementos más importantes de la infraestructura de su organización frente a los malos actores. 

La automatización impulsa sus sistemas y también su ciberseguridad.

Large-scale industrial operations with numerous devices and systems need automated PKI management tools to consistently protect PKI exchanges across the environment and streamline certificate lifecycle management from issuance and deployment to revocation and renewal. Relying on manual processes for issuing, renewing, storing and revoking certificates just doesn’t make sense–especially when your production line likely uses automation itself.

La gestión automatizada de PKI reduce la carga administrativa de su equipo de seguridad y minimiza los errores humanos, al igual que ocurre en sus plantas, fábricas y almacenes. Además, la gestión automatizada de PKI ayuda a las organizaciones a lograr y mantener el cumplimiento de normas como la IEC 62443, o cualquier otro control de cumplimiento importante para su sector.

Integrating industrial PKI management alongside your other security controls creates a comprehensive and layered approach to cybersecurity that complements the holistic strategy of IEC 62443. 

La ciberresiliencia industrial protege los sistemas críticos

A medida que aumente la importancia de la ciberseguridad, es probable que a la norma IEC 62443 se unan otras normas y marcos que promuevan una estrategia de defensa en profundidad para los sistemas de control industrial. La PKI desempeña un papel fundamental en esta estrategia. Proporciona la base para la confianza digital y la seguridad en todo el entorno industrial al proteger la transmisión de datos, permitir la firma de código, proteger el firmware y facilitar actualizaciones seguras. 

Aunque el camino hacia un entorno industrial totalmente seguro está en marcha, las organizaciones que funcionan con equipos heredados deberían empezar a tomar medidas proactivas ahora. Los componentes de los sistemas de control industrial al final de su vida digital pueden no recibir nunca otra actualización de seguridad del desarrollador, dejando las puertas abiertas a los ciberataques. Reduzca la exposición al riesgo de los IACS y proteja sus operaciones adoptando un enfoque de mitigación de riesgos y tecnologías de seguridad como la gestión PKI para sistemas de control industrial.

Accelerate your journey to IEC 62443 compliance and protect your business by implementing PKI solutions from expert advisors like Keyfactor. Enterprise tools can give you visibility and automate control over your organization’s PKI to avoid critical outages and prevent exploitation. 

Ready to see the possibilities of PKI in action? Request a demo and start securing your organization’s future.