Estándares de ciberseguridad en las redes inteligentes

Los estándares de seguridad son herramientas utilizadas para guiar una operación resiliente de las redes inteligentes. Normalmente se ocupan de regular y salvaguardar desde una óptica de tolerancia a fallos, pero también de posibles ataques de ciberseguridad: de ahí el término ciberresiliencia.

Históricamente la ciberseguridad no ha sido un factor de gran preocupación para las operadoras eléctricas debido a tres factores:

• Fortificación de la seguridad física y perimetral: los aspectos de seguridad física han constituido un aspecto fundamental en la protección de la infraestructura desde la creación de las redes eléctricas. La seguridad física ha definido el perímetro de los elementos críticos: las subestaciones, centros de transformación, líneas aéreas y torretas, etc.
• Safety en la operación: en el negocio eléctrico se ha dado más prioridad a la seguridad de las personas y de la operación (safety) que a la protección lógica frente a ciberataques sobre las infraestructuras (security).
• Aislamiento de la red (seguridad por oscuridad o security by obscurity): las redes han permanecido aisladas del exterior y han sido creadas para un propósito dedicado (frecuentemente de carácter privado y sin seguir los estándares).

Tras la irrupción de Internet y la hegemonía del protocolo TCP/IP, las operaciones industriales se han abierto a nuevos escenarios que requieren de control y gobernanza remota. Por ello, los protocolos industriales deben prepararse para asemejarse a los utilizados en entornos TI, e incrementar su seguridad. Es aquí donde los estándares juegan un papel fundamental.

En este artículo se explican los estándares de seguridad predominantes que se están teniendo en cuenta en el ámbito europeo para mejorar la seguridad de las redes inteligentes. En EEUU, gran precursor de marcos de referencia,  ya se han desarrollado una serie de estándares relacionados con la ciberseguridad. En Europa la situación es distinta ya que históricamente ha ido a remolque de otros países y todavía se encuentra en una reflexión sobre si desarrollar un nuevo estándar de ciberseguridad o analizar las carencias existentes y mejorar los estándares actuales con carácter internacional. 

En relación a los estándares de seguridad caben tres particularidades:

1. Estándares específicos del sector eléctrico. Se desarrollan para asegurar los mecanismos eléctricos en términos de seguridad lógica y ciberseguridad.
2. Estándares de seguridad lógica provenientes del campo de las tecnologías de la información y comunicación (TIC). Pueden servir (total o parcialmente) para guiar la seguridad de las redes inteligentes.
3. Estándares provenientes del campo de automatización industrial en general y sus acepciones al campo de la ciberseguridad. Son más cercanos a la operativa real de las redes inteligentes al provenir del sector industrial.

El organismo de estandarización CENELEC/ETSI, debido al mandato M490, está desarrollando a través de diferentes grupos de trabajo un estudio de priorización de estándares de seguridad cuyo foco se ve en la siguiente imagen:

-Campo de estándares de seguridad (Fuente: CENELEC)-

En este artículo se analiza un estándar relevante de cada uno de los grupos anteriormente citados para tener una visión conjunta y global de los vectores de desarrollo de los estándares de ciberseguridad en las redes inteligentes, dejando libertad al lector para realizar lecturas más profundas sobre el conjunto de estándares que afectan al campo eléctrico.

Foco sistema eléctrico: ISO/IEC TR 27019

Aunque se sitúe en el foco eléctrico, la norma IEC 27019 proviene de una base de sistemas de información (IEC 27002) y provee principios y controles específicos para los sistemas de control eléctricos. El objetivo de ISO/IEC TR 27019:2013 es extender las series ISO/IEC 27000 al dominio de los procesos de automatización y control en el sector eléctrico y, de esta forma, dar soporte a la industria eléctrica en la implementación de un sistema de gestión de la seguridad de la información.

El estándar cubre el proceso de controlar y monitorizar la generación, transmisión, almacenamiento y distribución de energía, en combinación con el control de procesos de soporte. Incluye controles para las siguientes aplicaciones y componentes:

• Centro de control: sistema TI y sistema de monitorización, así como el sistema de automatización.
• Componentes de automatización y controladores digitales tales como PLCs, incluyendo actuadores y sensores.
• El resto de sistemas TI utilizados en el control del proceso del dominio.
• Conjunto de tecnologías de comunicación empleadas en el control del proceso del suministro eléctrico (redes, telemetría, aplicaciones de telecontrol y control de remotas).
• Medida remota en la última milla.
• Protección digital y sistemas safety (en productos como los PLCs por ejemplo).
• Componentes de distribución DER (Distributed Energy Resources, Recursos de Energía Distribuida) preparados para futuras acometidas.
• Software, firmware y aplicaciones instaladas en sistemas anteriormente citados.

Tanto los sistemas puramente eléctricos (o electromecánicos) como los sistemas de telecomunicaciones quedan fuera de este estándar.

La siguiente imagen muestra los capítulos o secciones de la norma IEC 27019 relacionados con el concepto del sistema de gestión de la seguridad de la información.

-Componentes para la IEC 27019 derivados fundamentalmente de los conceptos de la serie IEC 27000 y controles de la IEC 27002-

Foco seguridad de la información: ISO/IEC 15408

La ISO/IEC 15408, también denominada Common Criteria (CC) o Criterios Comunes, es un estándar orientado al producto o sistema (no tanto al proceso como la serie ISO 27000) y establece las siguientes verificaciones:

• Enfoque en la correcta definición de los requisitos de producto.
• Así mismo, han de implementarse satisfactoriamente y verificarse.
• El desarrollo y proceso de documentación deben seguir una directriz estructurada.

Es posible delimitar qué funcionalidades de seguridad se quieren evaluar a través de los perfiles de protección de CC y obtener un nivel de confianza específico (que va desde EAL1 a EAL7).

Para las empresas de servicios públicos y operadoras finales lo importante no es tanto definir un conjunto de objetivos para crear perfiles de protección, sino requerir y conocer el nivel de confianza que pueden poseer algunos productos de los proveedores. Esto es así porque en los entornos más críticos de las redes inteligentes (como la comunicación entre el centro de control y las subestaciones) van a incluirse dispositivos de nueva generación de que proporcionen el máximo nivel de confianza.

Un ejemplo son los diodos de datos. Algunas marcas referentes han certificado sus productos con un nivel EAL 7+, lo que significa que están diseñados, implementados y verificados de tal modo que pueden desplegarse en entornos altamente críticos.

-Tabla de nivel de confianza del Common Criteria-

Foco automatización industrial: ISA/IEC-62443

La norma ISA/IEC-62443 recoge un conjunto de estándares que se centran en la evaluación de la seguridad de componentes de control y automatización industrial, repartiéndola en los siguientes 4 apartados:

• General: incluye conceptos generales, modelos y terminologías.
• Políticas y procedimientos: establece el programa de seguridad a los activos del sistema.
• Sistema: Describe la guía segura del diseño del sistema y los requisitos para la integración de los componentes.
• Componentes: Describe los requisitos de seguridad para especificar y diseñar los productos y sus subcomponentes.

-Set de reportes y estándares de la IEC 62443-

La IEC 62443 y su precursor, la ISA 99, son un referente para la seguridad en la automatización y control industrial. Se trata de un set de estándares muy empleado en la industria. Cabe destacar la parte IEC-62443-4-2 que define los requisitos técnicos para la protección de los sistemas de control y automatización industrial.

Más allá de estos ejemplos y fuera del mapa establecido por la SGAM (Smart Grids Architecture Model - Modelo de arquitectura de las redes inteligentes) de CENELEC/ETSI, cabe destacar el marco definido por el NERC (North American Electric Reliability Corporation).

NERC desarrolla estándares de resiliencia y seguridad para los sistemas de control y automatización eléctricos en Norteamérica. Estos estándares son impulsados por la propia industria y acreditados por la ANSI. Un trabajo destacado es el realizado con los estándares NERC CIP (Critical Infrastructure Protection) que aglutina un set de estándares enumerados desde el 001 al 011.

Conclusión

Los estándares son puntos claves del negocio y uniformizan el tablero de juego. En los aspectos de seguridad (desde el punto de vista lógico) juegan un papel fundamental, ya que es necesario madurar las tecnologías a través de la implementación de estos estándares, probando y verificando los dispositivos finales por la industria de forma formal para comprobar que se están cumpliendo las medidas propuestas. Esto requiere del seguimiento del estándar durante todo el ciclo de vida del producto.

En este sentido es importante que las operadoras eléctricas fuercen la implementación de estos estándares tanto en los dispositivos como en el proceso. Esto requiere que el estándar se implemente en de toda la cadena de valor: incluyendo los criterios de los estándares en la redacción de los requisitos por parte de las operadoras, en el diseño de los productos por parte de los fabricantes y a la hora de integrar los sistemas por parte de los integradores. Todo ello supeditado por un proceso estandarizado.

Europa debe definir un conjunto de estándares para el sector eléctrico que aglutine y mejore las referencias actuales y probablemente desarrolle nuevos marcos de referencia ante los nuevos retos que surgen con las redes inteligentes y, en un futuro, con la convergencia con otras redes (agua, gas, etc.).

Algunas de las normas aquí mostradas se recogen con más detalle en el artículo “Normativas de seguridad en sistemas de control”.