Cada vez estamos más conectados y nos preocupamos más por la seguridad. Si hablamos del Internet de las cosas (IoT) y de la interconexión de dispositivos en casi todos los ámbitos de nuestra vida, la seguridad es fundamental. Es un hecho indiscutible, pero vale la pena señalar que la cuestión es cómo desarrollar continuamente prácticas para mitigar las intrusiones cibernéticas dirigidas. El proyecto SMESEC, financiado por la Unión Europea, ha reunido a varios expertos en ciberseguridad y ahora está poniendo a prueba el concepto en una infraestructura real en la ciudad de Patras, Grecia.

El papel de las tecnologías de la información (TI) y las tecnologías operativas (TO)

Para comprender cómo desarrollar mejor las prácticas de ciberseguridad, conviene entender qué son los entornos de tecnología de la información (TI) y tecnología operativa (TO), y cómo funcionan e interactúan. Tal y como explica Gartner , la TI se refiere a todo el espectro de tecnologías para el procesamiento de la información, incluyendo software, hardware, tecnologías de comunicaciones y servicios relacionados. La TO, por su parte, se refiere al hardware y al software que detecta o provoca un cambio mediante la supervisión y/o el control directos de dispositivos físicos, procesos y eventos en la empresa.

En términos generales, las prioridades en el ámbito de las tecnologías de la información (TI) son la confidencialidad y la seguridad de los datos; la integridad y la disponibilidad de la información no revisten tanta importancia. En el ámbito de las tecnologías operativas (TO), siempre se da prioridad a que sea posible trabajar con los dispositivos, es decir, a su disponibilidad, por lo que la confidencialidad pasa a un segundo plano.

Hacia la necesaria convergencia entre las tecnologías de la información y las tecnologías operativas

Sin embargo, en muchos sectores industriales la diferencia no está tan clara. Si nos fijamos en el IoT industrial, vemos que la maquinaria está conectada a sensores en red y a software que genera datos que permiten realizar análisis inteligentes para optimizar los procesos industriales. Es evidente que los límites entre los entornos de TI operativa (OT) y de TI (IT) pueden difuminarse fácilmente.

Dado que los sistemas están en constante evolución, las empresas deben adaptarse alineando las políticas y herramientas de TI y TO. La mera coexistencia no basta: los procesos y los flujos de información deben converger. Tal y como explica Cisco, esta alineación puede suponer un ahorro significativo de costes.

Un proyecto específico financiado con fondos europeos

En el marco del Programa de Investigación e Innovación de la UE, existe una iniciativa específica destinada a abordar esta necesidad fundamental. SMESEC es el acrónimo de «Protección de las pequeñas y medianas empresas mediante la tecnología digital a través de un marco innovador de ciberseguridad», un proyecto liderado por un grupo internacional de expertos en ciberseguridad de siete países. El proyecto se concibió especialmente para ayudar a las empresas (pequeñas y medianas) con conocimientos limitados en materia de ciberseguridad. El resultado es un marco de ciberseguridad fácil de instalar y poner en marcha, desarrollado en un plazo de 36 meses, que estará listo para que estas empresas lo implementen.

SMESEC ha completado con éxito sus primeros 24 meses de implementación de un caso de uso real para servicios industriales en el que se están integrando y coordinando herramientas de ciberseguridad, lo que mejora de hecho la solución de IoT utilizada para la monitorización de activos industriales.

Basándose en su experiencia de más de una década en la prestación de servicios tecnológicos basados en el IoT al sector, uno de los socios del proyecto, Worldsensing, incluyó un caso de uso que se desarrollará fuera del laboratorio: un estadio de fútbol en la ciudad de Patras, Grecia.

Incorporación de soluciones de ciberseguridad al ámbito del IoT industrial

Se eligió una infraestructura real para simular una situación real en la que se utiliza la tecnología del Internet de las cosas (IoT) para la monitorización estructural, en la que se supervisa una infraestructura determinada con el fin de garantizar su integridad y prevenir cualquier incidente indeseado, como un fallo estructural.

El mantenimiento preventivo de cualquier infraestructura debe gestionar el ámbito de las tecnologías operativas (OT) sin dejar de tener en cuenta la información relacionada con las tecnologías de la información (TI). Esto es especialmente importante cuando coexisten componentes de hardware y software distribuidos, y la comunicación se lleva a cabo a través de múltiples métodos y protocolos.

El estadio de fútbol Panachaiki es uno de los más antiguos de Patras. Construido en 1939 y con un aforo de 25 000 personas, sigue en funcionamiento y acoge partidos con regularidad. Se llevan a cabo operaciones de mantenimiento y revisiones estructurales para garantizar que todas las instalaciones sean seguras. Existe una creciente demanda de información por parte de las autoridades para que puedan aplicar medidas correctivas proactivas a la gestión de las infraestructuras, si fuera necesario.

Con el fin de supervisar la estabilidad de la estructura, se han instalado 10 registradores de datos de Worldsensing . Estos nodos inalámbricos están equipados con sensores de inclinación, vibración y temperatura, y transmiten los datos a dos gateways y a una infraestructura en la nube duplicada. Se supervisa la estabilidad de las gradas del estadio para determinar la relación entre las cargas y el movimiento de la estructura, estableciendo umbrales de alarma que activen los planes de contingencia.

Kostas Lampropoulos, de la Universidad de Patras, explica que el uso de dispositivos IoT de alta gama proporciona a las autoridades del estadio acceso en tiempo real a datos relevantes sobre la inclinación de los pilares de hormigón, lo cual es fundamental para la estabilidad de toda la construcción. Destaca que la capacidad de recopilar un amplio conjunto de datos históricos proporciona a los ingenieros una visión general del comportamiento de la estructura a diferentes temperaturas y bajo distintas cargas, por ejemplo, durante un partido de fútbol en el que el estadio está lleno de gente.

«El proyecto SMESEC supone una oportunidad excepcional para los directores técnicos del estadio, así como para los ingenieros encargados de evaluar y certificar el estado estructural del mismo». Kostas Lampropoulos, Grupo de Arquitecturas y Gestión de Redes, Departamento de Ingeniería Eléctrica e Informática, Universidad de Patras.

Se han instalado equipos de monitorización en el estadio y se ha puesto en marcha una infraestructura en la nube para gestionar el proyecto. Desde julio de 2018, el sistema recopila información a partir de los datos obtenidos por los instrumentos in situ. Además, la contribución de SMESEC ha permitido incluir una capa que añade requisitos de seguridad de alto nivel a los requisitos funcionales estándar. Esta capa de ciberseguridad se añade mediante la evaluación de la criticidad de cada activo que forma parte de la estructura de la información. Se han identificado las amenazas potenciales que afectan a cada uno de los activos teniendo en cuenta la probabilidad de que se produzca el evento y el impacto resultante.

Apto para usuarios sin conocimientos técnicos

Los sistemas de IoT industrial suelen ser utilizados por operadores de infraestructuras con perfiles muy diversos, pero que, por lo general, se centran en la dimensión de la tecnología operativa (OT) y cuentan con poca experiencia en ciberseguridad.

El proyecto tiene como objetivo facilitar la implementación y el funcionamiento de la ciberseguridad de los productos del Internet de las cosas (IoT). Con este objetivo, desde el principio han participado expertos locales, como la Universidad de Patras, y el personal del operador del estadio. Esto ha dado lugar a que el proyecto haya ido evolucionando para adaptarse a sus necesidades; por ejemplo, se está perfeccionando una solución de visualización de interfaz de usuario a petición expresa de los usuarios.

El usuario se convierte en un activo fundamental para la protección de la infraestructura al recibir información actualizada tanto sobre aspectos operativos como de seguridad. Con el fin de atender mejor las posibles necesidades de los usuarios, el proyecto ha clasificado diferentes perfiles en función de su nivel de conocimientos en materia de ciberseguridad.

Un futuro prometedor para la integridad, la confidencialidad y la disponibilidad de los datos

La solución desarrollada es más que la simple suma de diferentes soluciones de seguridad: el sistema es capaz de correlacionar datos de fuentes heterogéneas para generar alertas informáticas que complementan las advertencias de tecnología operativa (OT) que ya recoge el sistema Worldsensing.

Los responsables del estadio están dispuestos a ampliar la colaboración con el proyecto e instalar dispositivos IoT adicionales en otras zonas del estadio. Antonis Koukouvinis, ingeniero jefe del proceso de certificación de seguridad del estadio, señala que esta práctica debería adoptarse en muchas otras estructuras y edificios de la ciudad de Patras, algunos de ellos monumentos históricos que datan del siglo II a. C.

«Dado que Patras es una zona altamente sísmica, las zonas de reunión de la ciudad deben ser supervisadas de forma activa con esta solución mejorada, con el fin de identificar rápidamente cualquier daño estructural y prevenir incidentes que puedan tener graves repercusiones en la seguridad pública». Antonis Koukouvinis, ingeniero jefe del proceso de certificación de seguridad del estadio de fútbol Panachaiki, en Patras (Grecia).

El proyecto cuenta ahora con 12 meses más para seguir desarrollando la integración real de las tecnologías de ciberseguridad y el IoT, y ofrecer soluciones de seguridad a la sociedad. Los usuarios finales de diversos sectores industriales podrán acceder tanto al ámbito de las tecnologías operativas (OT) como al de las tecnologías de la información (IT) a través de una herramienta unificada que permita realizar comprobaciones exhaustivas y fiables del estado de las infraestructuras en cualquier momento.