En la mayoría de las infraestructuras industriales y públicas (de transporte, sanitarias, etc.) hay un servidor de tiempo. Su función es distribuir una referencia horaria común a todos los equipos: autómatas, herramientas de supervisión, dispositivos de red, equipos informáticos, dispositivos de imagen médica, etc. Todos ellos utilizan el servidor de tiempo para asignar sellos temporales a los intercambios y eventos recogidos en sus registros de funcionamiento. Esta dependencia es crítica. Cuando el servidor de tiempo deja de funcionar o no está disponible, los sellos temporales de todo el sistema pasan a ser incorrectos. En ese caso, resulta imposible analizar las secuencias de eventos que afectan a los distintos componentes. La trazabilidad deja de ser fiable y ya no se garantiza el cumplimiento de los requisitos normativos que dependen de ella. Además, si no está debidamente protegido, el servidor de tiempo puede convertirse en una puerta de entrada para los ciberataques (por ejemplo, ataques DDoS, invalidación de certificados o alteración de los registros).
Del aislamiento a la exposición
La exposición de los sistemas industriales a este tipo de ataques constituye un problema cada vez mayor. Hasta hace pocos años, las redes operativas estaban físicamente separadas de las redes informáticas de gestión. Esto les proporcionaba cierta protección, ya que no se podía acceder a estos equipos desde el exterior y, por tanto, eran resistentes por naturaleza a los ataques remotos.
La conexión progresiva de los sistemas industriales, pertenecientes al ámbito de la tecnología operativa (OT, Operational Technology), a redes informáticas globales permite supervisarlos a distancia y almacenar información de forma fiable en la nube. Sin embargo, esta evolución también abre la puerta a numerosos ciberataques. Por tanto, los sistemas industriales están ahora expuestos a las mismas amenazas que los sistemas informáticos convencionales, sin haber sido diseñados para resistirlas. En consecuencia, resulta imprescindible proteger los equipos de red, incluidos los servidores de tiempo.
Una sincronización fiable, incluso en condiciones difíciles
Proteja su infraestructura horaria mediante una sincronización horaria estable y redundante, adecuada para las redes críticas.
La norma IEC 62443
Esta norma, compuesta por varias partes, establece un marco de medidas de ciberseguridad para los sistemas de automatización y control industrial (denominados en inglés Industrial Automation and Control Systems, IACS). La norma IEC 62443 fue elaborada por la Comisión Electrotécnica Internacional (IEC, por sus siglas en inglés) en colaboración con la Sociedad Internacional de Automatización (ISA). Su parte 4-2, publicada en 2019, establece los requisitos técnicos de seguridad aplicables a los componentes de este tipo de sistemas.
La propia normativa respalda esta norma. En efecto, la Directiva europea NIS2 (Network and Information Security, version 2) establece objetivos específicos de ciberseguridad para numerosos sectores esenciales, sin detallar los medios técnicos que deben implantarse para alcanzarlos.
La norma IEC 62443 responde a esta necesidad. Define el marco concreto en el que apoyarse para cumplir los objetivos de la Directiva NIS2. De hecho, se espera que el futuro sistema europeo de certificación de infraestructuras industriales tome esta norma como referencia. Además, la NIS2 obliga a las empresas afectadas a garantizar la seguridad de su cadena de suministro, incluidos sus proveedores, lo que lleva a exigir que los propios equipos cumplan la norma. Por tanto, pasa a ser obligatorio disponer únicamente de equipos conformes con la norma dentro de la red.
El principio de funcionamiento de la norma IEC 62443 es bastante sencillo. Esta norma estructura los sistemas en zonas. Una zona es un conjunto de equipos que tienen las mismas necesidades de seguridad. Estas zonas se comunican entre sí a través de conductos. A cada zona se le asigna un nivel de seguridad objetivo. Los niveles de seguridad objetivo se designan mediante las siglas SL-T (Target Security Level) y se clasifican del SL1 al SL4, según el grado de sofisticación de los ataques frente a los que se busca protección.
Este nivel se estima cuantificando el grado de cumplimiento de los siete requisitos fundamentales de la norma, a saber: el control de la autenticación, el control de uso, la integridad, la confidencialidad, la restricción de los flujos de datos, la respuesta a eventos y, por último, la disponibilidad de los recursos.
Cada componente del sistema se caracteriza por su capacidad para alcanzar un determinado nivel de seguridad, denominado nivel de capacidad de seguridad (SL-C, Capability Security Level). Para que una zona alcance el nivel de seguridad objetivo, todos los componentes que la integran deben presentar un SL-C igual o superior al SL-T para cada requisito.
El servidor de tiempo, un componente de red que debe protegerse
La parte 4-2 de la norma IEC 62443 distingue cuatro categorías de componentes: dispositivos integrados, dispositivos anfitriones, aplicaciones de software y equipos de red.
El servidor de tiempo pertenece a la categoría de equipos de red. Debe cumplir los requisitos correspondientes a su categoría y al nivel de seguridad de la zona en la que se encuentra.
En cuanto a los requisitos de autenticación y control de uso, esto implica, por ejemplo, identificar individualmente las cuentas de administración y restringir las acciones en función del rol asignado a cada usuario. En materia de integridad, es indispensable verificar el firmware y las actualizaciones del servidor de tiempo. También es necesario que el servidor de tiempo registre sus propios eventos de seguridad. Cabe señalar que un servidor de tiempo administrado mediante una cuenta compartida y sin trazabilidad siempre tendrá un SL-C bajo y reducirá el nivel de seguridad de toda la zona en la que se encuentra.
Entre los requisitos fundamentales mencionados anteriormente, hay uno que merece especial atención: la disponibilidad de los recursos.
En la informática de gestión suele decirse que la confidencialidad es el requisito más importante, pero en el ámbito de la tecnología operativa (OT) prima la disponibilidad. De hecho, un sistema de control industrial debe mantenerse siempre en funcionamiento. El requisito de disponibilidad de los recursos exige, entre otras cosas, que un componente resista un ataque de denegación de servicio y mantenga sus funciones esenciales en cualquier circunstancia. En un servidor de tiempo, esta disponibilidad depende de dos mecanismos. El primero es su fuente horaria: cuando se pierde la señal GNSS (de satélite), el oscilador interno toma el relevo y garantiza la continuidad del servicio, manteniendo la distribución horaria hasta que se restablezca la señal. Es lo que se conoce como holdover. El segundo mecanismo es la redundancia: cuando el propio servidor falla, una arquitectura redundante (que incorpora un segundo servidor de tiempo) evita que se interrumpa la distribución horaria de referencia.
La asignación de sellados de tiempo a los registros: el requisito CR 2.11
El servidor de tiempo no es un componente del sistema como los demás. Cumple una función muy específica regulada por la norma IEC 62443. En efecto, esta norma exige que cada equipo asigne sellos temporales a sus registros, de acuerdo con el requisito CR 2.11 (Component Requirement). Este requisito tiene dos condiciones previas indispensables: la sincronización horaria dentro de la red y la protección de la integridad de su fuente horaria de referencia.
Ningún componente del sistema puede garantizar por sí solo el cumplimiento de estas dos condiciones. Para ello, es necesario disponer de una fuente horaria interna. Esta función la desempeña un servidor de tiempo local integrado en la infraestructura de red, a diferencia de un servidor de tiempo público. Además, para mejorar la integridad de su señal horaria, el servidor de tiempo puede utilizar protocolos seguros como NTS (Network Time Security), definido en la RFC 8915. Por tanto, la presencia de un servidor de tiempo en la red es una condición indispensable para cumplir el requisito CR 2.11.
Cómo elegir un servidor de tiempo que cumpla la norma
La conformidad con la norma IEC 62443-4-2 puede ser declarada por el fabricante o verificada por un tercero. En el primer caso, se trata únicamente de una declaración de conformidad. En el segundo, el esquema de certificación ISASecure CSA (Component Security Assurance) acredita que un componente ha sido evaluado por un tercero independiente para un determinado nivel de seguridad.
Una certificación independiente garantiza el cumplimiento de los requisitos de la norma. Esta certificación cobra especial importancia cuando la propia empresa está sujeta a obligaciones de cumplimiento normativo. En ese caso, debe asegurarse de que los equipos que instala también cumplen los requisitos aplicables. Una conformidad verificada por un tercero ofrece muchas más garantías que una simple declaración del fabricante. En una zona con un nivel de seguridad objetivo elevado, esta distinción se convierte en un criterio de selección importante.
Cabe señalar también que la elección de un servidor de tiempo se basa en dos criterios. El primero es la calidad intrínseca de la distribución de la señal horaria. Hay varios aspectos que deben tenerse en cuenta: ¿qué referencia horaria se obtiene mediante la antena GNSS? ¿Qué calidad tiene el oscilador y qué precisión mantiene en modo holdover para garantizar la disponibilidad continua de la hora en caso de pérdida de la señal de satélite? Por último, ¿qué protocolo de distribución horaria utiliza la red: PTP, NTP o NTS? Este último añade una protección adicional contra la falsificación.
El segundo criterio es la resistencia a los ciberataques, para lo cual debe comprobarse que el servidor exige la autenticación individual de los usuarios. Debe ser capaz de gestionar los permisos según el rol de cada usuario, verificar su propia integridad, mantener registros de eventos de seguridad, resistir los intentos de dejarlo fuera de servicio y garantizar el nivel de seguridad que declara.
