Para que la industria 4.0 funcione, los fabricantes deben anteponer la ciberseguridad

Sin embargo, la fabricación es, con diferencia, la vertical de la industria con más probabilidades de ser objetivo de un ciberataque - Los fabricantes de alta tecnología que trabajan con estrictos plazos “justo a tiempo” no pueden permitirse que el ransomware apague sus máquinas, por lo que es más probable que paguen rescates, y las empresas como los fabricantes de equipos originales pueden trabajar con docenas de otras empresas, por lo que un ataque puede infectar equipos pertenecientes a muchas organizaciones que potencialmente podrían pagar rescates. Quizás los ataques más dañinos puedan pasar desapercibidos si los piratas informáticos son lo suficientemente hábiles: robar información a los fabricantes es un gran negocio, con el 20% de las empresas europeas sufren al menos una brecha.

La transición de las antiguas líneas de producción “fordistas” a las modernas operaciones de fabricación digitales lo ha hecho posible: una fábrica moderna puede tener miles de sensores y conexiones de datos, y cualquiera de ellos podría verse potencialmente comprometido. Las empresas manufactureras deben mantener la confidencialidad de los datos de producción y de la empresa para conservar su ventaja competitiva. Al mismo tiempo, están obligados a proteger los datos personales de conformidad con la estricta legislación sobre protección de datos, como el GDPR europeo, la CCPA californiana y la LGPD brasileña. Entonces, ¿cómo pueden las empresas encontrar un equilibrio entre beneficiarse de la mayor eficiencia de la Industria 4.0 y la seguridad de los datos?

En una época en la que la computación en nube está en todas partes, la seguridad para una única ubicación puede parecer pintoresca, pero en el espacio de la fabricación es absolutamente necesaria. También es una piedra angular importante de las organizaciones conectadas a la nube: cada ubicación debe ser segura en sus propios términos para evitar que la nube más amplia se vea comprometida.

Relacionado con esto está el concepto de datos en reposo y en tránsito. Los planos de un nuevo producto podrían almacenarse en un disco duro, pero también podrían enviarse entre departamentos, y existen consideraciones de seguridad significativamente diferentes con ambos.

Los datos en reposo son inactivos -un archivo almacenado en un disco duro que no se está utilizando en ese momento- y, por lo tanto, están “bloqueados” tras los diversos métodos de seguridad y encriptación que pueda utilizar una empresa. Cuando un empleado abra el archivo, tendrá que intercambiar cualquier información criptográfica que se utilice para abrir ese archivo, aunque sólo sea una contraseña, a través de la red interna de la empresa, donde podría ser interceptada, proporcionando a los malos actores las credenciales necesarias para abrir el archivo ellos mismos. Por supuesto, los malos actores pueden robar datos cifrados y romper su cifrado en sus propias máquinas, lo que hace que el problema sea aún más complejo.

En muchos sentidos, los datos en tránsito son más vulnerables que los datos en reposo, y una operación moderna de fabricación del Internet de las Cosas (IoT) crea una gran cantidad de datos en tránsito, algunos de ellos muy valiosos. Los fabricantes necesitan sistemas en los que los datos estén tan seguros en tránsito como en reposo, y la arquitectura de seguridad moderna puede proporcionarlos.

La seguridad en las instalaciones ya no puede adoptar un enfoque de jardín amurallado, en el que el perímetro del lugar está protegido pero la seguridad interna es más laxa. Los sitios también se están abriendo y los servicios en la nube se utilizan para procesar e intercambiar datos de forma centralizada, por lo que la seguridad en las instalaciones, paradójicamente, a menudo debe tener en cuenta la seguridad fuera de las instalaciones, basada en la nube.

Las empresas deben adoptar una visión holística de la seguridad de los datos locales, entre cuyos elementos clave se incluyen:

• Cifrado de archivos y carpetas basado en software: Implementar un cifrado de datos fiable a nivel de archivos y carpetas es esencial para proteger los datos contra el acceso no autorizado y cumplir la normativa de protección de datos. Este enfoque garantiza que sólo el personal autorizado pueda acceder a los datos confidenciales, evitando así las filtraciones de datos.
• Gestión de claves: el cifrado sólo es eficaz si las claves de encriptación se gestionan y almacenan de forma segura. Una gestión adecuada de las claves asegura que los datos sensibles permanezcan protegidos en tránsito, en reposo y durante su uso, garantizando el máximo nivel de seguridad de los datos.
• Compartir archivos de forma segura: Los fabricantes necesitan a menudo colaborar con terceros y compartir datos. Las soluciones seguras para compartir archivos permiten a las empresas intercambiar datos sin riesgo de interceptación de estos, lo que garantiza la confidencialidad de la información.
• Criptografía post cuántica: Ante la inminente amenaza de la computación cuántica, la criptografía post-cuántica ofrece algoritmos criptográficos fuertes y resistentes a la cuántica para el cifrado y las firmas digitales. Esto garantiza que los datos permanezcan seguros incluso ante futuros avances tecnológicos.
• Módulos de seguridad de hardware (HSM) para casos de uso general: Los HSM permiten la generación, el almacenamiento y el intercambio de claves, al tiempo que satisfacen diversos requisitos de rendimiento y seguridad física. También desempeñan un papel crucial en el cumplimiento de los mandatos reglamentarios y las normas de seguridad específicas del sector.
• Tokenización: La tokenización sustituye los datos sensibles por tokens no sensibles, lo que permite realizar operaciones empresariales seguras sin necesidad de compartir información confidencial. Este enfoque salvaguarda los datos personales y sensibles al tiempo que garantiza la eficacia operativa.
• Código y firma de documentos: La firma de código permite a las organizaciones demostrar la fiabilidad de su software, y los usuarios finales pueden verificar la autenticidad de los archivos y el código de los programas. Esto es esencial para garantizar que sólo se utiliza software legítimo e inalterado en los procesos de fabricación.

Dado que no existe una solución única para los centros de fabricación habilitados para IoT, tampoco existe una solución única para su seguridad. Puesto que tan solo un sensor con actualizaciones de seguridad desfasadas puede dejar al descubierto toda una red, es necesario que exista una operación de seguridad digital muy activa, que trabaje en múltiples niveles dentro de la empresa, con los proveedores y recurriendo a expertos externos para garantizar que todo funciona.

La adopción de la digitalización y las tecnologías IoT por parte de la industria manufacturera ha traído consigo oportunidades inigualables de crecimiento y eficiencia. Sin embargo, el aumento de la generación de datos y las amenazas externas hacen necesarias soluciones sólidas de seguridad de datos in situ. Estas soluciones permiten a los fabricantes proteger sus datos confidenciales, cumplir la normativa sobre protección de datos y fomentar la confianza en sus operaciones.

Al incorporar el cifrado, la gestión de claves, el intercambio seguro de archivos, la criptografía post-cuántica, los HSM, la tokenización y la firma de código a su arsenal de ciberseguridad, las empresas manufactureras pueden asegurar su futuro al tiempo que abrazan la era digital.

Sobre el autor

Nils Gerhardt cuenta con 19 años de experiencia en el sector de la ciberseguridad. En su cargo actual, Nils es director de tecnología y jefe de producto de Utimaco, y miembro del consejo de supervisión de ISITS AG. Antes de incorporarse a Utimaco, Nils trabajó en Giesecke + Devrient en varios puestos de dirección ejecutiva con responsabilidades regionales y globales en Alemania, Canadá y EE UU. Como presidente del consejo de GlobalPlatform, una organización industrial mundial, Nils reunió a las principales empresas y dirigió los esfuerzos de colaboración para establecer normas para servicios y dispositivos digitales mundiales seguros.