El NCSC publica un ejemplo del sector del agua para sus directrices sobre conectividad segura de TO

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) ha publicado un ejemplo práctico ficticio que muestra cómo las organizaciones pueden aplicar sus Principios de conectividad segura para la tecnología operativa. El escenario sigue a una empresa regional de suministro de agua que busca estandarizar la conectividad digital en todo su entorno de tecnología operativa (OT) sin poner en riesgo la seguridad física, la fiabilidad ni la ciberresiliencia.

La publicación pretende ser una ilustración práctica, no un diseño de red prescriptivo. Anima a las organizaciones a utilizar los principios como estado objetivo, adaptando al mismo tiempo las decisiones de implementación a su propio entorno operativo, responsabilidades regulatorias, sistemas heredados y perfil de amenazas.

Aplicación práctica de los principios

En el escenario, la organización ficticia “Admin Corp Water” considera cada uno de los ocho principios y examina las medidas arquitectónicas, de gobernanza y operativas necesarias para respaldar una conectividad segura. El ejemplo aborda cuestiones como:

• Reducir la exposición innecesaria de los sistemas de OT
• Centralizar y controlar la conectividad
• Gestionar tecnologías y protocolos heredados
• Reforzar los límites entre la OT y las redes externas
• Prepararse para incidentes cibernéticos y responder a ellos

El NCSC afirmó que la seguridad eficaz de la OT depende de algo más que de la arquitectura técnica. Las organizaciones también deben establecer procesos adecuados de gobernanza y operación, al tiempo que equilibran los requisitos de seguridad con la seguridad física, la disponibilidad y las limitaciones prácticas de la infraestructura antigua.

Colaboración sectorial

El trabajo se desarrolló con el Grupo de Expertos en Límites de la Comunidad de Interés sobre Sistemas de Control Industrial del NCSC. El grupo incluye profesionales de sectores de infraestructuras nacionales críticas que diseñan, protegen y operan conexiones entre sistemas operativos y redes externas.

Este es el primer contenido elaborado directamente por el grupo para el sitio web del NCSC. La colaboración tenía como objetivo contrastar las directrices con las limitaciones del mundo real y hacer que las recomendaciones resultantes fueran más relevantes para las organizaciones responsables de servicios esenciales.

El NCSC afirmó que podrían desarrollarse ejemplos liderados por los sectores para otras industrias, en las que difieren las condiciones operativas, la regulación y las ciberamenazas. Este material puede ayudar a las organizaciones a traducir principios generales en decisiones prácticas, sin dar a entender que una única arquitectura será adecuada para todos los entornos.