Taller Seguridad SCADA. Forum CIIP 2010

1er Encuentro Nacional CIIP Taller IV - Seguridad en Productos y Sistemas de Supervisión y Control Industrial (SCADA)

Presentación  Coordinador  Agenda  Objetivos Taller  Parte I  Parte II  Conclusiones © Intermark Tecnologías 2009 | 20/07/2009 | 2

Presentación Coordinador Ignacio Paredes • >10 años de experiencia en TI • Especializado en Seguridad de la Información • Ingeniero superior en Informática • CISSP, CISM, CISA, BS-7799 Lead Auditor, CeH… • Co-autor metodología IS2ME • Miembro de ISACA, ISSA, ISMS Forum • Vocal de la Comisión de Seguridad de ASIMELEC • Gerente de Seguridad y TI en Intermark Tecnologías • Jefe de proyecto en equipo M45 – Cluster TIC Asturias © Intermark Tecnologías 2010 | 19/02/2010 | 3 2009 20/07/2009

Presentación Intermark Tecnologías Nuestra Nuestro oficio Nosotros actividad • Intermark • Integración de • Oficina de Tecnologías es Sistemas de Conocimiento de una Consultora Información en el Informática especializada en sector Industrial Industrial Tecnologías de la • Seguridad de la • Oficina de Información Información Conocimiento de Seguridad de la Información © Intermark Tecnologías 2010 | 19/02/2010 | 4 2009 20/07/2009

Presentación Intermark Tecnologías – Visión General de Nuestros Servicios Integración de Sistemas de Soluciones para mejora de la Información productividad industrial Energía Aguas Infraestructuras Instalaciones Plantas de Industriales producción • Supervisión • Soluciones de movilidad industrial • Eficiencia de instalaciones • Supervisión y gestión de la explotación • GMAO – SPC – LIMS • Integración de sistemas • Gestión de la producción - MES Seguridad de la Información y Protección de Infraestructuras Críticas © Intermark Tecnologías 2010 | 19/02/2010 | 5 2009 20/07/2009

Presentación Intermark Tecnologías – Seguridad, TI y Entornos Industriales La seguridad es un proceso de mejora continua La solución no es sólo tecnológica Cumplimiento, LOPD: Obligatoriedad, multas Estándares: ISA 99, ISO 27001, BS 25999, camino a seguir Redes, sistemas, procesos… ORGANIZACIÓN © Intermark Tecnologías 2010 | 19/02/2010 | 6 2009 20/07/2009

Presentación Intermark Tecnologías – Nuestros Servicios Plan Seguridad de la Act Do información CUMPLIMIENTO: LOPD, SoX Check ESTÁNDARES: ISO27001, BS25999, ISA 99 GESTIÓN Y OPERACIÓN: Procedimientos, Políticas DISEÑO: Topologías, Arquitecturas, Servicios SISTEMAS DE SEGURIDAD: Firewall, IPS, Proxy, AntiVirus, AntiSpyware, AntiSpam, VPNs, Control de Contenidos, etc. © Intermark Tecnologías 2010 | 19/02/2010 | 7 2009 20/07/2009

Agenda Parte I Discusión sobre el estado del arte y la problemática Actual (30’) Parte II Discusión de propuestas para mejoras de la seguridad del sector y del CNPIC (45’) Conclusiones © Intermark Tecnologías 2010 | 19/02/2010 | 9 2009 20/07/2009

Objetivos El taller pretende ser un espacio de discusión y generación de propuestas , mediante debate entre los asistentes, se tratará de: • Establecer un marco de referencia sobre el estado actual de la seguridad en Smas. de Supervisión y Control que permita fundamentar posteriores trabajos. • Definir estrategias y acciones orientadas a mejorar la seguridad de los Smas de Supervisión y Control, así como proporcionar feedback al CNPIC acerca de cómo debería desempeñar su papel. © Intermark Tecnologías 2010 | 19/02/2010 | 10 2009 20/07/2009

Parte I Estado del Arte y Problemática Actual Objetivo: Conocer el estado de la seguridad en los productos y Sistemas de Supervisión y Control Industrial © Intermark Tecnologías 2009 | 20/07/2009 | 12

Discusión: Estado del Arte y Problemática Actual Hechos Materia de Máxima Importancia Criticidad Nuevo Mundo – Nuevas Amenazas Desconocimiento del Problema Falsa percepción de seguridad Falta de concienciación Proceso de Convergencia Smas. de Control Industrial / Smas. TI Mayores funcionalidades, abaratamiento Problemas heredados © Intermark Tecnologías 2010 | 19/02/2010 | 13 2009 20/07/2009

Discusión: Estado del Arte y Problemática Actual Hechos • Imaginemos un mundo donde un simple resfriado pudiese matarte: Bienvenido al mundo de los Sistemas Industriales • Eric Byres ha demostrado la posibilidad de “colgar/parar” un PLC enviándole un único paquete malformado en una conexión ethernet… • ¿Redes Inalámbricas?: es posible hacer una denegación de servicio a cualquier red inalámbrica con una mínima inversión • ¿Hay un firewall externo? ¿y qué hay de la seguridad interna?: la mayoría de los “ataques” o problemas vienen desde dentro • 80-90% de los Sistemas SCADA están conectados a la red corporativa (muchas veces sin que el departamento de TI sea consciente de ello) © Intermark Tecnologías 2010 | 19/02/2010 | 14 2009 20/07/2009

Interesante…

Al Final… Evidentemente… ESTAMOS TENIENDO SUERTE

Discusión: Estado del Arte y Problemática Actual Cuestiones En el Entorno: ¿Cuáles son las principales amenazas sobre los Smas. de Supervisión y Control? Externas/Internas – Dirigidas/Casuales ¿Cuál es la postura de los proveedores de Smas. de Supervisión y Control respecto a la seguridad? Es la seguridad un requisito o un nice to have ¿Y de los proveedores de Seguridad sobre las particularidades de la seguridad en Smas. de Supervisión y Control? Equipamiento de seguridad específico para entornos industriales? En la Organización: ¿Existe conocimiento de los potenciales problemas de seguridad? ¿en qué departamentos (Producción, TI, Dirección)? ¿De quién debería ser la responsabilidad de la seguridad en los Smas. de Supervisión y Control? Dpto. Seguridad, T.I., Producción/Negocio, Dirección, ¿Es la seguridad una prioridad para la Dirección de la Organización? ¿Se aplican medidas de seguridad a los Smas. de Control? ¿de la misma forma que a los Smas. T.I.? © Intermark Tecnologías 2010 | 19/02/2010 | 17 2009 20/07/2009

Parte II Propuestas para mejorar el sector y el CNPIC Objetivo: Definir las estrategias más adecuadas para mejorar la seguridad de los Sistemas de Supervisión y Control Industriales © Intermark Tecnologías 2009 | 20/07/2009 | 18

Propuestas para mejorar el Sector y para el CNPIC Problemática Normativa Leyes específicas sobre seguridad para las infraestructuras críticas ISA 99 x ISO 27001 Divulgación Difusión y concienciación de las necesidades de seguridad Tractores CNPIC Otras Iniciativas Estatales Industria (Fabricantes, Integradores, Compañías de Referencia…) © Intermark Tecnologías 2010 | 19/02/2010 | 19 2009 20/07/2009

Propuestas para mejorar el Sector y para el CNPIC Cuestiones ¿Qué papel deben cumplir los actores y cómo pueden hacerlo? Estado/Gobierno: Coordinación, Regulación, Subvenciones, Formación e Información Organismos de Normalización y Certificación: Definición de standards Fabricantes: Incorporar seguridad en sus productos, tener en cuenta particularidades del entorno industrial Integradores: Incorporar seguridad en los proyectos , incluir requisitos de seguridad en propuestas Usuarios: Conocer la problemática y exigir seguridad Compañías de Referencia: Difundir sus experiencias, utilizarlas como ventaja competitiva ¿Qué aspectos deben mejorarse en los Smas. de Supervisión y Control Industrial? Productos Metodologías Concienciación El alcance es amplio y heterogéneo Sectorización ¿En qué aspectos? normativa, productos, © Intermark Tecnologías 2010 | 19/02/2010 | 20 2009 20/07/2009

Taller Seguridad SCADA. Forum CIIP 2010

by ignacioparedes on Mar 03, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

1 Embed 6

Statistics

Taller Seguridad SCADA. Forum CIIP 2010 — Presentation Transcript