Curso en Gestión de Ciberseguridad en Entornos Industriales

Objetivo del Proyecto: La práctica de la elaboración o redacción de procesos y/o procedimientos de gestión que, en el ámbito de la ciberseguridad, independientemente de si estamos ante un entorno IT u OT, es igual de importante que las contramedidas de tipo tecnológico.

Descripción del proyecto

Durante el análisis de riesgos, uno de los puntos que se detectó fue la ausencia de una política para efectuar cambios o modificaciones en los sistemas de control, pese a existir un procedimiento no escrito que los ingenieros de automatización siguen frecuentemente.

Para la elaboración del procedimiento se ha considerado que los actores que deben intervenir en el mismo sean los siguientes:

• Responsable de Ciberseguridad OT – Responsable de todo lo relativo a la seguridad física y lógica de los sistemas de automatización y control industrial.
• Analista de seguridad OT – Responde ante el responsable de Ciberseguridad OT, encargado de evaluar amenazas y riesgos para los sistemas de automatización y control industrial.
• Ingeniero de automatización – Realizan el diseño y las modificaciones en la programación de los sistemas de control.
• Responsable de Operaciones – Encargado de coordinar todo lo relativo al funcionamiento operativo de las instalaciones (i.e.: generación de energía eléctrica, transmisión y distribución).
• Responsable de Automatización – Gestiona el equipo de Automatización.

En base a los roles anteriores, el objetivo del presente proyecto es elaborar el esqueleto (a alto nivel) de un procedimiento de gestión de cambios donde se especifique:

• Alcance: ¿para quién y qué aplica?
• Los pasos o fases que se deben seguir, incluyendo cómo se realiza cada paso.
• Las comunicaciones entre los distintos implicados.

Extensión: breve, 3 páginas máximo. No se necesita nivel de detalle elevado.

Fases del proyecto

• Fase 1: Modelado de amenazas de Supplenergy. En esta primera fase, se plantean una serie de sencillas cuestiones para que los alumnos investiguen sobre el contexto de amenazas de la organización (grupos APT y algunas técnicas, principalmente).
• Fase 2: Diseño de arquitectura de IDS para descubrimiento de la red. En esta segunda fase, los alumnos plantearán una arquitectura de IDS óptima para descubrir automáticamente la red industrial de Supplenergy.
  
• Fase 3: Protección de la red OT. En la tercera fase del proyecto, se presentan los hallazgos durante el análisis de riesgos. Los alumnos deberán identificar las vulnerabilidades y proponer medidas de mitigación.
• Fase 4: La última parte del proyecto consistirá en redactar unas breves líneas sobre el esqueleto de un procedimiento de gestión de cambios para paliar algunas de las problemáticas detectadas en el mismo durante el análisis de riesgos.
• Fase adicional: Aquellos alumnos o grupos que deseen profundizar más, podrán también rediseñar la arquitectura de red industrial proporcionada durante el Proyecto para mejorar la seguridad, incluyendo la arquitectura del IDS diseñada durante la fase 2.