¿Cómo definir correctamente zonas y conductos?

Habitualmente vemos como muchos profesionales tienen un concepto equivocado respecto de las Zonas y los Conductos, la forma en la cual estos deben ser definidos y las implicancias desde el punto de vista de la seguridad cibernética industrial.

Una buena comprensión de las Zonas y Conductos resulta de fundamental importancia para evitar caer en errores al momento de la evaluación de riesgos, el diseño, la implementación y su mantenimiento.

El concepto de Zonas y Conductos fue introducido por el comité ISA99 en la serie de normas ISA/IEC-62443, un buen tiempo antes de que las primeras versiones de la norma fueran publicadas en el año 2007.

En la actualidad vemos como muchas otras organizaciones están haciendo un uso diferente de estos mismos términos incrementando la confusión de los usuarios y de las comunidades de profesionales.

Zona. Consiste en el agrupamiento de Ciber-Activos que comparten los mismos requerimientos de seguridad cibernética.

Conducto. Consiste en el agrupamiento de Ciber-Activos dedicados exclusivamente a las comunicaciones y que comparten los mismos requerimientos de seguridad cibernética.

Al momento de modelar las Zonas y Conductos hay una serie de reglas importantes que los profesionales deben tener en consideración. A continuación, compartimos algunas reglas prácticas que van a ser de utilidad:

1. Una Zona puede tener Sub-Zonas.
2. Un Conducto no puede tener Sub-Conductos.
3. Una Zona pueden tener más de un Conducto. Los Ciber-Activos (HOST) dentro de una Zona utilizan uno o más Conductos para comunicarse.
4. Un conducto no puede atravesar a más de una Zona.
5. Un conducto puede ser utilizado para que dos o más Zonas se comuniquen entre si.

Veamos estas definiciones en los siguientes gráficos sencillos de comprender. Ejemplos de Correcto. Ejemplos de Incorrecto. Ejemplos de Conductos.

Los Ciber-Activos industriales tiene la particularidad muy especial de que se conectan a más de un conducto. Y muchas veces a varios conductos a la vez. Un PLC fácilmente puede conectarse a 10 o más conductos. Es importante considerar que muchas de las redes industriales son del tipo redundantes.

Algunos tipos de conductos más habituales. La industria de los sistemas industriales posee cientos de protocolos en diferentes medios, por no decir miles de protocolos de todo tipo, naturaleza y función. Muchos de ellos determinísticos, entre otras cualidades técnicas que no viene al caso mencionar aquí.

• Red de Planta basada en Ethernet con variados protocolos industriales incluyendo OPC.
• Red de Control del sistema de Control Distribuido. Ejemplo. Yokogawa Centum VNet/IP.
• Red de Campo Industrial: Ejemplo: Profibus DP, DNP3, y muchos otros.
• Red de Campo Industrial: Foundation Fieldbus, HART7, y otras.
• Red Inalámbrica: ISA100, Wireless HART, y otras.
• Un simple cable serial RS232/422/485 para comunicar dos equipos entre sí.

La ISA/IEC-62443 sugiere una serie de criterios mínimos o elementales para realizar una primera segmentación de Zonas y Conductos inicial, antes de efectuar un estudio de riesgos cibernéticos detallado, también llamado Cyber-PHA (Cyber Pocess Hazardous Analysis), Cyber-HAZOP, o Cyber-LOPA. Muchas personas creen que esta es la última palabra, la recomendación y suficiente, pero es incorrecto. De hecho, está muy lejos de ser lo correcto.

Una vez que se ha realizado la evaluación de riesgos detallada se tendrá una segmentación de Zonas y Conductos óptima, en conjunto con una, muchas veces extensa, lista de recomendaciones y contramedidas. La simple segmentación en si misma es necesaria pero no suficiente. Una serie de recomendaciones debe acompañar la segmentación óptima. Cada Zona o Conducto (Nodo) tendrá un SL-T – nivel de seguridad requerido (Secutity Level Target), y un SL-A – nivel de seguridad actual (Security Level Achieved), todo esto sin entrar en muchos detalles técnicos.

La ISA/IEC-62443 sugiere una serie de criterios mínimos o elementales para realizar una primera segmentación de Zonas y Conductos inicial, antes de efectuar un estudio de riesgos cibernéticos detallado, también llamado Cyber-PHA (Cyber Pocess Hazardous Analysis), Cyber-HAZOP, o Cyber-LOPA. Muchas personas creen que esta es la última palabra, la recomendación y suficiente, pero es incorrecto. De hecho, está muy lejos de ser lo correcto.

Una vez que se ha realizado la evaluación de riesgos detallada se tendrá una segmentación de Zonas y Conductos óptima, en conjunto con una, muchas veces extensa, lista de recomendaciones y contramedidas. La simple segmentación en si misma es necesaria pero no suficiente. Una serie de recomendaciones debe acompañar la segmentación óptima. Cada Zona o Conducto (Nodo) tendrá un SL-T – nivel de seguridad requerido (Secutity Level Target), y un SL-A – nivel de seguridad actual (Security Level Achieved), todo esto sin entrar en muchos detalles técnicos.