La transformación digital, la Industria 4.0 y el Internet Industrial de las Cosas (IIoT) han impulsado una mayor interconexión entre tecnología de la información (IT) y tecnología operacional (OT). Este cambio ha traído beneficios a las empresas en eficiencia, visibilidad y control de procesos, pero también ha ampliado la superficie de posibles ciber ataques.
Hoy en día, sectores críticos como energía, Oil & Gas, manufactura y militar enfrentan amenazas que van desde errores humanos y fallas de configuración hasta ataques de malware, ransomware y operaciones avanzadas y persistentes (APT) dirigidas a interrumpir operaciones o comprometer la seguridad física.
Ante este panorama, la serie de normas ISA/IEC 62443 (anteriormente ISA-99) se ha consolidado como el marco internacional más completo para proteger los Sistemas de Automatización y Control Industrial (IACS).
Comencemos por decir qué es la ISA/IEC 62443, sus componentes clave, cómo aplicar los Security Levels (SL) y el rol de Zonas y Conductos en el diseño de arquitecturas seguras para los IACS.
¿Qué es ISA/IEC 62443?
La ISA/IEC 62443 es un conjunto de normas desarrollado por la International Society of Automation (ISA) y adoptado por la International Electrotechnical Commission (IEC).
Su objetivo es establecer requisitos técnicos, organizacionales y operativos para proteger sistemas industriales a lo largo de todo su ciclo de vida.
Componentes principales de la norma
- Enfocada en productos
- IEC 62443-4-1: ciclo de vida seguro de desarrollo de software y hardware.
- IEC 62443-4-2: requisitos técnicos para componentes individuales (PLCs, HMIs, firewalls, etc.).
- Enfocadas en sistemas y arquitectura
- IEC 62443-3-2: metodología para evaluación de riesgos y segmentación de redes.
- IEC 62443-3-3: requisitos de seguridad de sistema (Foundational Requirements y Security Levels).
- Enfoque en la Organización
- Roles y responsabilidades en seguridad OT.
- Programas de gestión de ciberseguridad industrial.
- Políticas de operación, mantenimiento y mejora continua.
Principios fundamentales de la norma
- Least Privilege (menor privilegio): cada usuario solo debe tener acceso a lo estrictamente necesario.
- Defense in Depth (defensa en profundidad): múltiples capas de seguridad en lugar de un único control.
- Segregación de redes (Zones & Conduits).
- Gestión continua de riesgos.
- Capacidad de respuesta y recuperación ante incidentes.
Security Levels (SL0–SL4)
La norma ISA/IEC 62443 introduce los Niveles de Seguridad (Security Levels, SL) como una forma de medir qué tan protegida está una zona OT frente a distintos tipos de amenazas.
Cada Foundational Requirement (FR) puede aplicarse en un nivel de seguridad distinto, dependiendo del riesgo de la zona y del tipo de atacante que se desea enfrentar.
- SL 0, Sin protección: el sistema carece de controles. Ejemplo: PLCs accesibles sin contraseñas.
- SL 1, Contra errores accidentales: evita daños no intencionales. Ejemplo: impedir que un operador desconecte un switch crítico.
- SL 2, Contra atacantes de bajo nivel: protege frente a actores con recursos limitados. Ejemplo: contratista que prueba credenciales por defecto.
- SL 3, Contra atacantes sofisticados: resiste ataques organizados con técnicas avanzadas. Ejemplo: explotación de vulnerabilidades en servidores SCADA.
- SL 4, Contra atacantes altamente sofisticados: defensa ante APT y amenazas patrocinadas por estados. Ejemplo: ataque a un sistema SIS en refinerías.
Clave práctica:
- SL1–SL2: útil para zonas administrativas.
- SL3: recomendado para procesos productivos.
- SL4: obligatorio en SIS, ESD y sistemas de seguridad de planta.
Zonas y Conductos: Arquitectura para contener riesgos
La ISA/IEC 62443 propone diseñar la seguridad de las redes OT mediante el modelo de Zonas y Conductos, que permite compartimentar riesgos y contener incidentes.
Conducto (Conduit):
Es el canal seguro que conecta dos zonas, definiendo cómo, cuándo y bajo qué controles viaja la información.
Ejemplo: un firewall industrial que regula la comunicación entre la zona SCADA y la red corporativa.
Canales de comunicación segura entre zonas:
- Seguros: firewalls industriales, DMZ, túneles VPN, proxies.
- Inseguros (a mitigar): enlaces seriales heredados, accesos remotos improvisados.
Zona (Zone):
Conjunto de activos (hardware, software, redes, personal) que comparten el mismo nivel de riesgo y requieren un mismo nivel de protección.
Ejemplo: todos los PLCs que controlan un compresor forman una zona; los servidores SCADA otra distinta.
Agrupaciones de activos con requisitos de seguridad similares:
- Zona corporativa (IT): ERP, correo, usuarios administrativos.
- Zona de supervisión (SCADA/Historiador).
- Zona de control (DCS/PLCs).
- Zona de seguridad (SIS/ESD).
- Zona remota: plataformas offshore, estaciones de bombeo.
Beneficios de la segmentación
- Contención de incidentes: un malware en la HMI no compromete todo el DCS.
- Gestión diferenciada del riesgo: cada zona recibe el SL adecuado.
- Visibilidad y trazabilidad: auditoría de tráfico entre zonas.
- Cumplimiento regulatorio: demuestra un diseño consciente de seguridad.
La ISA/IEC 62443 convierte la ciberseguridad industrial en acciones concretas y medibles. Sus Foundational Requirements, los Security Levels y la arquitectura de Zonas y Conductos permiten diseñar redes OT que no solo cumplen con auditorías, sino que también garantizan resiliencia operativa, protección de vidas y continuidad del negocio.
Adoptar este marco no es un gasto, sino una inversión estratégica para asegurar la confianza de clientes, reguladores y socios en un entorno donde los ataques a infraestructuras críticas son cada vez más frecuentes y sofisticados