Seguridad en la Industria 4.0

Socio director S2 Grupo

Cada cierto tiempo aparece una nueva palabra en el ámbito de la tecnología que hace fortuna y se cuela en los consejos de dirección de las empresas. Una de las más recientes en estos momentos es “Industria 4.0”, término definido por la Academia Alemana de Ciencia y Tecnología, que viene a representar la materialización del Internet de las Cosas (Internet of Things) en el mundo
industrial.

El sufijo 4.0 hace referencia a la cuarta revolución industrial: tras la primera –obtención de energía del vapor y el agua–, la segunda –producción en línea– y la tercera –informatización y automatización de las líneas de producción–, la cuarta supone la conexión de los sistemas ciberfísicos en la Smart Factory.

Para entender el impacto que la Industria 4.0 puede tener en la seguridad, o viceversa, hay que hacer un poco de historia: probablemente, los primeros sistemas de producción automatizados fueron los telares de Jacquard, pero no es hasta los años 50 que aparecen las primeras máquinas de control numérico programables, al principio con cintas de papel perforado, curiosa reminiscencia de los cartones perforados de Jacquard.

En los 60, se desarrollan las primeras RTU, Remote Terminal Units, que permiten la monitorización y el control remoto de instalaciones industriales, desde una oficina en la misma localización o, mediante una línea de comunicación, desde otro puesto. Con los años 70, llegan los PLC, Programmable Logic Controllers, ordenadores simples que permiten a los ingenieros diseñar automatismos de una manera mucho más rápida y flexible que con los sistemas neumáticos o eléctricos.

Ya en el 86, con la disponibilidad de los PC, se realiza la primera conexión entre un ordenador y un PLC. Es la primera vez que ambos mundos (el de las tecnologías de información- TI y el de los sistemas de control industrial-ICS) se integran. La conexión se realiza mediante líneas de comunicación en serie o paralelo. Se puede empezar a hablar de SCADA (Sistemas de Supervisión de Procesos Industriales), aunque estos sistemas están, aún, aislados de las primitivas redes de ordenadores de oficina.

Poco después, en el 92, los PLC empiezan a disponer del interfaz Ethernet y las conexiones se realizan a través de una red de área local. Este es un paso muy significativo, puesto que se elimina la barrera de relación entre la red TI y la red ICS. A partir de aquí,
los ICS no estarán aislados sino se diseñan específicamente las redes de esa manera.

En 2003 aparecen los primeros controladores PLC que ofrecen una interfaz basada en HTTP, el protocolo usado por los sitios web.

Con un simple navegador, se puede acceder al SCADA de una instalación, lo que facilita muchísimo el trabajo de los ingenieros industriales y prepara el terreno para el siguiente y definitivo cambio: la conexión a internet.

Es el paso lógico. Si disponemos de una instalación con PLC capaces de conectarse a una red de área local, con un PC que los controla mediante un SCADA y que puede ofrecer una simple interfaz de sitio web, y disponemos de una red global –internet– que conecta millones de redes entre sí, qué fácil es unir ambas cosas y permitir el acceso al control de los sistemas industriales desde cualquier ordenador conectado a la red (volveremos sobre esto).

Se ha producido un proceso conocido como convergencia tecnológica: tendencia por la que, conforme cambia la tecnología, diferentes sistemas evolucionan para realizar la misma tarea. Lo que antes se conseguía mediante sistemas de control muy especializados, cuyo funcionamiento solo era conocido por los iniciados, aislados del resto del mundo o comunicados con líneas de mando y control bastante restrictivas, ahora hace uso de ordenadores de propósito general, con sistemas operativos mucho más comunes e interfaces más amigables, con los que es posible operar desde cualquier puesto conectado a internet, lo que supone un enorme ahorro de costes y una significativa simplificación del mantenimiento y la operación de los sistemas. Lo que antes eran los dominios de la ingeniería industrial, ha sido parcialmente invadido por la ingeniería informática:

Una auténtica guerra de los mundos. Simplificando y casi caricaturizando la situación, se podría decir que el lema del responsable de una instalación industrial es “si no está roto, no lo arregles”. Modificar un componente de una instalación puede tener consecuencias no previstas y, la mayor parte de las veces, impactos económicos nada despreciables. Por ejemplo, algo tan sencillo como aplicar un parche para corregir un error en una aplicación informática, puede suponer la necesidad de actualizar la versión de un sistema operativo, lo que, a su vez, implique que deje de funcionar un driver de un dispositivo industrial, con lo que se requerirán cambios mayores con una garantía de éxito menor de lo deseable.

Por el contrario, en el mundo de las TI, la flexibilidad es la clave. Actualizar una aplicación o un sistema operativo es una tarea casi rutinaria.

Esto no quiere decir que se pueda abordar a la ligera, como muy bien saben los responsables de explotación, pero, planificando las copias de seguridad y las vueltas atrás necesarias, no debe suponer grandes problemas.

Y siempre está el recurso de reiniciar el sistema, ¿no es así? Pues bien, en esta situación, con los sistemas industriales cada vez más dependientes de las TI, más abiertos e interconectados, la ciberseguridad es una asignatura pendiente. Los sistemas industriales no han sido, en la mayoría de los casos, diseñados con criterios
de seguridad de la información sino de seguridad física y de funcionalidad.Volveremos a hablar sobre el tema.