Controls IEC 62443 SL-2 i obligacions NIS2 en 3 segons.

La ciberseguretat IT (tecnologies d’informació) i OT (tecnologies d’operació) comparteixen conceptes generals però difereixen en prioritats, entorn tècnic i impacte. En IT, la prioritat és la triàda CIA: Confidencialitat, Integritat i Disponibilitat, en aquest ordre. En OT, la prioritat s’inverteix: (1) Seguretat física de persones i instal·lacions; (2) Disponibilitat del procés productiu (una aturada no planificada pot costar milers d’euros per minut); (3) Integritat del procés (comandes erronies a un PLC poden causar accidents); (4) Confidencialitat (menys prioritaria en OT pur). Els protocols OT (Modbus, PROFINET, DNP3, OPC-UA) van dissenyar-se sense autenticació ni xifratge perquè l’aïllament físic era el control de seguretat. La convergència IT-OT ha eliminat aquest aïllament sense reemplaar els protocols insegurs.

La IEC 62443 defineix quatre Security Levels (SL) que representen la robustesa requerida d’un sistema IACS davant d’atacants amb capacitats creixents: SL-1 (protecció contra violació casual o accidental, sense intenció maliciosa), SL-2 (protecció contra atacants amb motivació i habilitats bàsiques, com actors d’amenaces internes), SL-3 (protecció contra actors estatals amb recursos moderats, incloent-hi eines especialitzades OT), SL-4 (protecció contra actors estatals d’elit amb recursos il·limitats, aplicable a infraestructures crítiques nuclears o de defensa). Per a la major part de la indústria, l’objectiu és SL-2 per als sistemes de control de procés i SL-3 per als SIS (Safety Instrumented Systems). La IEC 62443-3-3 defineix 51 requisits de sistema (SR) agrupats en 7 Foundational Requirements (FR) que s’han de satisfer per assolir cada SL.

La Directiva NIS2 (UE 2022/2555) classifica la manufactura de productes crítics (maquinària, vehicles, equips electrònics, químics) com a sector d’“entitats importants” (annex II). Les obligacions de l’art.21 per a fabricants industrials inclouen: (1) polítiques de gestió de riscos de ciberseguretat documentades i revisades; (2) gestió d’incidents: detecció, contenció, recuperació i notificació en 24h (avis) / 72h (informe); (3) continuitat de negoci i gestió de crisis; (4) seguretat de la cadena de subministrament (avaluació de riscos OT de proveidors d’equip); (5) gestió de vulnerabilitats i patches; (6) formació en ciberseguretat per al personal (incloent-hi els tècnics OT de planta). Les sancions per a entitats importants arriben fins a 7 milions d’euros o l’1,4% de la facturació mundial anual.

MITRE ATT&CK for ICS és una base de coneixement de tàctiques, tècniques i procediments (TTPs) documentats d’atacants que han comproms sistemes de control industrial. Conté 12 tàctiques específiques OT i més de 80 tècniques, cadascuna amb exemples d’incidents reals (Stuxnet, TRITON/TRISIS, INDUSTROYER, Sandworm). Per a la defensa, s’utilitza per: (1) mapear les defenses existents contra les tècniques més habituals per al sector; (2) identificar gaps de detecció on no hi ha cap control que detectaria l’atac; (3) prioritzar inversions de seguretat basant-se en la relevància de les amenaces per al sector; (4) dissenyar escenaris de red team OT per provar les defenses; (5) crear regles de detecció al SIEM o a les eines de monitoratge OT (Claroty, Dragos, Nozomi) basades en les TTPs documentades.

El model Purdue (ISA-95 / IEC 62264) defineix 5 nivells (L0 a L5) que s’han de segmentar en zones amb controls d’accés entre elles: L0 (dispositius de camp: sensors, actuadors), L1 (control bàsic: PLCs, RTUs), L2 (supervisió: SCADA, HMI), L3 (operacións: MES, historizadors, servidors de recs), L4 (corporatiu: ERP, email), L5 (internet). La IEC 62443-3-3 afegeix el concepte de “conduit” per a la comunicació entre zones, que ha d’implementar-se amb firewalls industrials o Data Diodes. Els punts crítics són: la DMZ entre L3 i L4 (accés remot controlat), la separació L2-L3 (no permès accés directe IT a SCADA), i la protecció del L1 (PLCs mai accessibles des de IT). La NIS2 art.21.2.h exigeix aquesta segmentació com a mesura obligatòria per a entitats essencials.

La resposta a incidents en entorns OT difereix de la IT en tres aspectes clau: (1) la contenció no pot implicar apagar el sistema si el procés productiu no es pot aturar de forma segura — primer cal avaluar l’impacte en la seguretat física (SIS, EPIs, procés qumíc); (2) l’erradicació requereix un MOC complet i test funcional abans de tornar a producció; (3) la notificació NIS2 art.23 és obligatòria en 24h (avis inicial) i 72h (informe complet) per a incidents que afecten la disponibilitat, autenticitat o integritat del servei. El procés típic té 6 fases: (1) Preparació (playbooks, exercicis tabletop); (2) Detecció (SIEM OT, monitoratge passiu); (3) Anàlisi (forensi OT sense interrompre el procés); (4) Contenció (aïllament de zona vs parada de procés); (5) Erradicació i recuperació (restauració PLC, test funcional, MOC); (6) Lliure activitat post-incident (notificació NIS2, lliions apresses).