SEGURIDAD INFORMÁTICA PARA SISTEMAS DE OPERACIÓN

Normativa internacional y trabajos del CIGRE

¿A qué afecta la Seguridad?

• DISPONIBILIDAD– Los ataques pueden bloquear funciones del SAS– Pueden tener más impacto que las averías– El impacto puede no limitarse a una sola

subestación

• FIABILIDAD– El funcionamiento del SASpuede degradarse

• ECONOMÍA– Pérdidas económicas de laNO seguridad

Entorno de SeguridadAMENAZAS

RIESGOS

SAS

PROTECCIÓN

REDUCIR

INTERNASEXTERNAS

ARQUITECTURACONFIGURACIÓNOPERACIÓNMANTENIMIENTO

DISPONIBILIDADCONFIABILIDAD

VULNERABILIDADES

LAS NORMAS CONTRIBUYEN A:- Análisis correcto de riesgos- Medidas adecuadas al entorno

Orientación Normativa

Jerarquía Normativa

IEC 27000

• Implementación de la seguridad para sistemas de OperaciónIEC 62443

• Protección de sistemas de Operación

• SAS, Centros de Control, etc.IEC 62351

• Detalles de implementación de protocolos y algoritmosIETF

• Sistema de gestión de la seguridad

Normativa Internacional

• IEC 62443. Security for Automation and Control Systems– Define los conceptos genéricos de seguridad que

aplican a los sistemas de automatización y de aplicaciones críticas

– Se utiliza para definir dominios de seguridad

Normativa Internacional

• IEC 62351. Power System Management and associated Information Exchange – Data and Communication Security– Identifica amenazas, define requerimientos de

seguridad y especifica medidas de protección para sistemas P&C

IEC 62443

Contenido IEC 62443

Conceptos Incluidos

Responde al objetivo de diseñar sistemas de automatización robustos y resistentes a ataques informáticos• Identifica aspectos clave que influyen en la

disponibilidad– Procesos, Tecnología y Personas

• Analiza la seguridad entodo el ciclo de vida delproducto/sistema

• Se utiliza para definirdominios de seguridad

Parte General

• IEC 62443-1-1. Models and Concepts– Introducción a los conceptos generales de seguridad en los

sistemas de automatización• Zonas, niveles de seguridad, etc.

• IEC 62443-1-2. Glossary of Term• IEC 62443-1-3. Conformance Metrics

– Definición de métricas, requerimientos para acceso remoto, gestión de versiones, configuración, etc.

• IEC 62443-1-4. ProductDevelopment Requirements– Ciclo de vida de la seguridad

Políticas y procedimientos

• IEC 62443-2-1. Security Management System– Introducción a los componentes de un sistema de

gestión de la seguridad

• IEC 62443-2-2. Implementation Guide of a Management Security System– Política de seguridad, organización, RRHH,

activos, control de acceso, etc.

• IEC 62443-2-3. Patch Management– Problemas asociados a la gestión de versiones

• IEC 62443-2-4. Security Requirements forService Providers

Aspectos del Sistema• IEC 62443-3-1. Security Technologies

– Autentificación, gestión y distribución de claves, encriptación, detección de intrusión, etc.

• IEC 62443-3-2. Security Risk Assessment– Metodologías de análisis de riesgos

• IEC 62443-3-3. System Security Requirements– Identificación y control de uso, confidencialidad,

disponibilidad de recursos, etc.

Componentes

• IEC 62443-4-1. Secure productdevelopment lifecycle requirements– Implementación segura, verificación y

validación.

• IEC 62443-4-2. Security requirements forcomponents– Control de uso, integridad,

confidencialidad, etc.

Factores que determinan la Seguridad

SEGURIDAD

PROCESO

PERSONAS

TECNOLOGÍA

Evaluación de riesgos

• Identificar amenazas• Identificar vulnerabilidades• Determinar consecuencias e impacto

– Realizar la matriz de “Impacto – Probabilidad”

• Determinar objetivos de seguridad• Identificar y evaluar protecciones existentes• Calcular error residual

– Si no es aceptable incrementarlas medidas de seguridad

• Documentar los resultados

Matriz Riesgo – Impacto

IEC 62351

IEC 62351Ed2

Un enfoque práctico con medidas concretas

• Analiza el entorno de Sistemas de operación– Elementos a proteger

– Amenazas y remedios

• Define como asegurar los protocolos de Operación– Aplicación directa en

subestaciones

• Se utiliza para proteger el

SAS y configurar equipos– IEDs, Switches, Firewalls

Contenido IEC 62351

• IEC 62351-1.Introduction

• IEC 62351-2.Glossary of terms

• IEC 62351-3. Profiles including TCP

• IEC 62351-4.Security for profiles that incide MMS

• IEC 62351-5. Security for IEC 60870-5

• IEC 62351-6. Security for IEC 61850 profiles

• IEC 62351-7. Security through network and system management

Contenido IEC 62351

• IEC 62351-8. Role-Based Access Control for powerSystem Management

• IEC 62351-9. Key Management for Power Systemequipment

• IEC 62351-10. Security Architecture Guidelines

• IEC 62351-11. Security ofr XML files

• IEC 62351-12. Resilience and securityrecomendations for Power Systems with DERs

• IEC 62351-13. Guidelines on what security topicsshould be covered in standards and specifications

Estructura Norma IEC 62351

Requerimientos básicos

• Confidencialidad– Prevenir el acceso no autorizado a la información

• Integridad– Prevenir la modificación no autorizada o el robo de información

• Disponibilidad– Prevenirla denegación de servicio (DoS) y asegurar el acceso a

información o servicios de las aplicaciones o personas autorizadas

• No repudiación– Prevenir que un usuario pueda

negar que ha realizado una acción

Principales amenazas

• Indiscreciones del personal– Claves de acceso prestadas a compañeros, etc.

• Saltarse los controles– Se desactivan los sistemas de control de acceso– No se cambian los passwords por defecto, etc.

• Empleados descontentos– Disponen de información

privilegiada para realizarataques complejos

Principales amenazas

• “Man-in-the-middle”

– Alguien se pone en medio del canal y altera la información

• Violación de autorización

– Acciones no autorizadas

• Agotar recursos

Tipos genéricos de ataques

• Escuchas

• Modificación

• Implantación en el sistema

• Interacciones

• Denegación de servicio

• Negar el evento

Requerimientos, Amenazas y Ataques

Attacks and Countermeasures

IEC 62351-8 RBAC

• Especifica un sistema de control de acceso seguro basado en el rol del usuario y/o aplicaciones– Basado en el principio de mínimos privilegios– Contrapuesto al acceso por niveles

• RBAC es un componente fundamental del sistema de Autentificación, autorización y Registro de acceso

• Incluye todo tipo de accesos– Local– A través de HMI– Remoto

• Incluye mecanismos para asegurarla interoperabilidad

• No incluye reglas para definir• Passwords

Roles Genéricos

El Role de Cigre

DOMINIO

INTERNET

EXPERIENCIA Y

APLICACIONES EEs

NORMATIVA

INTERNATIONAL

IETF W3C

IEEE

IEC

CIGRE

R&D Y

NORMATIVA

Trabajos del Cigre

TB-317 Security of Information Systems

TB-419 Treatment of Information Security

TB-603 Cyber protection of Protection & Control

TB-615 Security architecture principles

WGD2.38 Manage the response to cyber attacks

WGD2.40 “Cyber Risks and Cyber security” Cloud services, cyber security regulations, etc.

What should we do if we suffer an attack?

Graded security methodology

Protection of SAS. Remote access

Security protection of Operational systems

Framework for managing cyber security

TB-427 Cyber protection using IEC 61850 Protection of IEC 61850 SAS

Temas incluidos en los TBs

• Concepto de Dominio y su aplicación para sistemas de Operación (OT)

• Metodologías de análisis de Riesgos para OT– Enfocado en Automatización de Subestaciones (SAS)

• Como utilizar las normas– Guías y mejores prácticas

• Definición de un entorno de seguridad para OT• Guía sobre las tecnologías de seguridad informática• Consideraciones específicas para Protección & Control

– Recomendaciones y soluciones practicas– Vulnerabilidades específicas de P&C– Acceso Remoto

• Implementación de la Seguridad Gradual para el SAS– Técnicas de modelado de ataques

Temas en desarrollo

• Guía sobre como gestionar amenazas informáticas– ¿Cómo responder a los ataques?

• Impacto de leyes y regulaciones gubernamentales

• Gestión de Patch

• Ataques internos

• Desafíos de la seguridad

de las Nubes– Recomendaciones sobre el uso

de los servicios de Nube

por las empresas eléctricas

Aspectos importantes

En las encuestas internacionales realizadas por el Cigre se han identificado los siguientes aspectos importantes• Las empresas eléctricas no disponen de las

herramientas necesarias para responder de una forma contundente a las amenazas de seguridad informática– Centro Gestor de seguridad– Personal capacitado– Herramientas informáticas

Aspectos importantes

• Es necesario definir un entorno específico de seguridad informática para subestaciones– Hay que definir como deben utilizarse las normas existentes y su

aplicabilidad al SAS– Se debe definir un perfil de seguridad del SAS

• El entorno de seguridad debe ser flexible– Capacidad para adaptarse a las amenazas cambiantes– Capaz de adaptarse a las nuevas normativas o regulaciones

gubernamentales

• Criterios de gestión de patch– Como superar una vulnerabilidad

cuando no hay posibilidad de actualización– Procedimiento para autorizar la

instalación de un nuevo Patch

Conclusiones G7• Crear una cultura de la Seguridad informática en la empresa

– Compromiso de la alta dirección

• Evaluar y monitorizar los Riesgos• Mitigar los Riesgos para alcanzar un nivel aceptable• Gestionar los incidentes de seguridad

– Capacidad de respuesta adecuada al incidente

• Implementar un proceso de mejora continua de la seguridad• Crear los recursos necesarios

– Equipamiento, capacitación, organización, etc.

• Protegerse en el mercado de la energía frente a los efectos de los ataques– Contratar un seguro para proteger los efectos económicos

• Cooperar con el gobierno para definirregulaciones coherentes

• Compartir información sobre los ataquescon otras empresas de confianza

• No se puede proteger lo que no se conoce

Conclusiones• La falta de seguridad informática afecta a la

Disponibilidad y la Fiabilidad• Se debe incorporar la seguridad a todos los

procesos de ingeniería• Aplicar la normativa internacional optimiza los

resultados a largo plazo– Medidas de protección adecuadas y optimizadas

• Los trabajos como de CIGREcontribuyen a optimizar laimplantación de la seguridad

¡GRACIAS POR SU ATENCIÓN!