Desarrollo y despliegue de Sotware Industrial Seguro José Valiente,

Transcripción

1 Desarrollo y despliegue de Sotware Industrial Seguro José Valiente, jose.valiente@cci-es.org

2 El Software Industrial es un conjunto de programas, instrucciones y reglas informáticas que se ejecutan en un Sistema digital para realizar operaciones de fabricación o gestión de la cadena de valor de la industria.

3 Tipología de Software Industrial CONTROL Software de tiempo real Control de operaciones SCADA, HMI, DCS, PLC GESTIÓN Software de gestión Control de procesos Logística, mantenimiento, Calidad, optimización.. INGENIERÍA Software de ingeniería Diseño de procesos Diseño de equipos,.. Fuente: CCI. Desarrollo y Despliegue Seguro de So0ware Industrial [4.0] MEDIDA Software embebido en dispositivos inteligentes Válvulas de control, analizadores, instrumentos de medida

4 La mayoría del software Industrial se desarrolla a medida basado en las necesidades de los usuarios y cumpliendo con características específicas. Requisitos Diseño Desarrollo/ Despliegue Test Mantenimiento

5 Proyecto básico de SW industrial HMI Diseño Desarrollo / Despliegue Librería Gráfica Test Mantenimiento Librería DisposiHvos FRAMEWORK Middleware Sistema operahvo Virtualización Hardware Fuente: CCI. Desarrollo y Despliegue Seguro de So0ware Industrial [4.0]

6 Arquitectura de un Software SCADA HMI CLIENTE SCADA S. operahvo Virtualizació Hardware FRAMEWORK DEVELOP ENVIROM. SCADA SERVIDOR SCADA Sistema operahvo Virtualización Hardware RTU PLC PLC

7 El Software Industrial NO se estropea Representación IDEAL de la tasa de fallos del software industrial Test Software estable Fuente: CCI. Desarrollo y Despliegue Seguro de So0ware Industrial [4.0]

8 El Software Industrial SI se estropea Representación REAL de la tasa de fallos del software industrial Fuente: CCI. Desarrollo y Despliegue Seguro de So0ware Industrial [4.0]

9 El Software Industrial tiene vulnerabilidades Mapa de calor de vulnerabilidades de tecnología OT líneas fallos 1-5 Vulnerabilidades Fuente: Proyecto OTWatch

10 Ejemplo de Software Industrial Software de un sistema EMS (Energy Management System) Porcentaje de líneas de código líneas vulnerabilidades Simulador formación 6% funciones PAS 34% Ingeniería de datos 12% Fuente: Book Proceedings of the Tenth Power Systems ComputaHon Sistemas básicos 15% HMI 8% SCADA 17% Base de datos 8%

11 Incidentes en el Software Industrial 379 INCIDENTES Mal uso de aplicaciones 4% Error humano 12% So0ware malicioso 31% 11% CON CONSECUENCIAS Ataques dirigidos 14% Fallo de So0ware de geshón industrial 16% Fallo en so0ware de control-scada 23% Fuente: RISIDATA (incidentes de 2014 en procesos industriales en Estados Unidos)

12 Consecuencias de incidentes en Software Industrial Perdida de producción Uso ilícito de equipos Perdida de control de sistemas % % 40% Alteración del orden público Perdida de Hempo del personal 3 3 Derrame ambiental Perdida de visibilidad Otros INCIDENTES CON CONSECUENCIAS 1 Fuente: RISIDATA (incidentes de 2014 en procesos industriales en Estados Unidos)

13 Sobrecoste de incidentes en el Software Industrial Sobrecoste para reducir los fallos de software intencionados o no intencionados según la fase del ciclo de vida Coste relawvo Concepto Requerimiento Diseño Programación Test Mantenimiento Fuente: CCI. Desarrollo y Despliegue Seguro de So0ware Industrial [4.0]

14 Ciclo de Vida del Software Industrial Incluir la ciberseguridad en todas las fases del ciclo de vida del desarrollo del software Entrenamiento + AutomaHzación Fuente: CCI. Ciberseguridad en el Ciclo de Vida de un proyecto de AutomaHzación Industrial

15 Despliegue del Software Industrial [4.0] DEVELOP BUILD DEPLOY Gateway IoT Sensores PLC

16 Vulnerabilidades del Software de despliegue Vulnerabilidades conocidas (hjps://cve.mitre.org)

17 Vulnerabilidades conocidas del Software de despliegue Mapa de vulnerabilidades en Desarrollo vs Despliegue Ejecución de comandos de sistemas Servidor web Programa Servidor de proyectos Servidor de servlets Analisis en Hempo real Repositorio de paquetes SW Despliegue de equipos Despliegue de contenedores de SW

18 Actores en el desarrollo y despliegue del Software Desarrollo Operaciones Seguridad 100 : 10 : 1

19 La adopción de DEVOPS ayuda a mejorar la seguridad DevOps es TRANSFORMACIÓN DIGITAL Desarrollo Operaciones Seguridad COORDINACIÓN ADAPTACIÓN CONOCIMIENTO RESILIENCIA #DevOps no va de reglas, va de personas y de incrementar el conocimiento que tenemos sobre el sistema.

20 La adopción de DEVOPS ayuda a mejorar la seguridad

21 Primera mejora de Seguridad adoptando DEVOPS Jus$n Arbuckle, Architect GE Involucrando a Seguridad en la creación de cualquier nueva capacidad, hemos reducido nuestra lista de verificación estáhca de forma espectacular, y confiamos más en el uso de su experiencia a lo largo de todo el proceso de desarrollo de so0ware"

22 Segunda mejora de Seguridad adoptando DEVOPS Frank Kim, CISO SANS Nuestro repositorio comparhdo no sólo se convierte en el lugar donde podemos obtener las úlhmas versiones, sino que también se convierte en un lugar donde podemos colaborar con otros ingenieros y supervisar y alertar sobre los cambios realizados en módulos sensibles a la seguridad.

23 Tercera mejora de Seguridad adoptando DEVOPS Patrick Debois, CEO Zender En lugar de realizar pruebas de seguridad manualmente, lo ideal es generarlas como parte de la unidad automahzada o pruebas funcionales para que puedan ejecutarse conhnuamente en nuestro canal de despliegue

24 El movimiento DEVOPS es el mejor aliado de los responsables de ciberseguridad La seguridad se convierte en parte del trabajo de todos Muchas gracias