¬°Hub de contenido!
Acceso a contenido educativo gratis.
Comience a aprender

Cómo maneja Kellogg los riesgos de ciberseguridad en la fabricación

Viendo que las cosas se estaban tornando muy dif√≠ciles por el da√Īo colateral sufrido por Mondelńďz y otras compa√Ī√≠as globales por los ataques de secuestro de datos (ransomware), Kellogg se propuso crear una estrategia de seguridad cibern√©tica.

Jim Tassell, arquitecto senior de seguridad de TI de Kellogg, presenta el recorrido de seguridad cibernética del fabricante de alimentos en el Foro de Alimentos y Bebidas de la Feria de Automatización.
Jim Tassell, arquitecto senior de seguridad de TI de Kellogg, presenta el recorrido de seguridad cibernética del fabricante de alimentos en el Foro de Alimentos y Bebidas de la Feria de Automatización.

Gran parte de la atenci√≥n del p√ļblico en materia de seguridad cibern√©tica se ha centrado en lo que se considera una infraestructura cr√≠tica ‚ÄĒ petr√≥leo y gas, suministro de agua, generaci√≥n de energ√≠a, etc. Un ataque cibern√©tico a una empresa de alimentos y bebidas puede que no genere el tipo de desastre explosivo que podr√≠a crearse en una instalaci√≥n energ√©tica, pero existen todav√≠a muchas razones para tomar en serio esas amenazas.

"Los alimentos y las bebidas no reciben suficiente atenci√≥n" cuando se trata de la seguridad cibern√©tica, coment√≥ Dave Weinstein, jefe de seguridad del proveedor de seguridad cibern√©tica Claroty, en una entrevista reciente. ‚ÄúLa gente mala puede hacer mucho da√Īo si le apunta a ese sector‚ÄĚ.

Un punto de quiebre para los productores de alimentos y bebidas se produjo hace unos dos a√Īos y medio cuando el ataque de secuestro de datos NotPetya  incluy√≥ entre los afectados al fabricante mundial de alimentos Mondelńďz International. No porque Mondelńďz fuera un objetivo. Este ataque -como otro muy similar, el WannaCry  que lo antecedi√≥‚ÄĒ no discrimin√≥ por industria. La intenci√≥n era simplemente causar estragos, dondequiera que aterrizara. Otras compa√Ī√≠as de alimentos "se dieron cuenta de que no ten√≠an que ser un objetivo. Podr√≠an ser solo da√Īos colaterales", dijo Weinstein. "Las cosas no necesariamente estallan, pero se pierde la perspectiva y es necesario cerrar las plantas".

Kellogg, por ejemplo, entendió el mensaje. Contar con máquinas y dispositivos más conectados, análisis avanzados, acceso remoto, intercambio de datos inalámbricos y control descentralizado de la planta es tener un conjunto de desarrollos tecnológicos que pueden proporcionar al fabricante multinacional de alimentos operaciones más eficientes, más productivas y más ágiles. Pero estas tecnologías también aumentan el riesgo de ciberataques, ampliando el campo de exposición

2017 fue un momento crucial, reconoci√≥ Jim Tassell, arquitecto principal de seguridad inform√°tica de Kellogg. Al referirse a los ataques de secuestro de datos y de virus ‚ÄĒde los cuales Mondelńďz estim√≥ que las p√©rdidas alcanzar√≠an los 150 millones de d√≥lares; y frente a los cuales otras empresas como Merck, FedEx y Maersk tambi√©n experimentaron importantes trastornos y p√©rdidas‚ÄĒ Tassell reconoci√≥ que estas empresas no fueron un objetivo espec√≠fico, pero que, no obstante, se enfrentaron a importantes da√Īos. Kellogg no quer√≠a estar en uno de esos titulares, dijo, por lo que necesitaba averiguar cu√°l deber√≠a ser su pr√≥ximo paso.

En el Foro de Alimentos y Bebidas de la Feria de Automatizaci√≥n de 2019, Tassell describi√≥ el camino de Kellogg para gestionar sus riesgos de seguridad cibern√©tica. La evaluaci√≥n de la vulnerabilidad de la empresa fue particularmente dif√≠cil dado que tiene alrededor de 50 plantas de fabricaci√≥n en todo el mundo, incluyendo las adquisiciones de los √ļltimos a√Īos, que complican la gama de sistemas de fabricaci√≥n con los que trabaja el fabricante de alimentos.

Kellogg acudi√≥ a Deloitte como consultor de auditor√≠a para tener una mejor idea de la situaci√≥n de sus operaciones "La inform√°tica era un desaf√≠o, por tener plantas en todo el mundo", dijo Tassell.  "No contaba con una lista de dispositivos y no entend√≠a las vulnerabilidades".

Mientras que Deloitte evaluaba los diversos sitios para identificar las brechas, Kellogg tomó medidas inmediatas comunicando y ejecutando una estrategia de segmentación. La segmentación entre los sitios, dispuesta en un modelo de centro y radios, contenía el riesgo para un solo sitio; las vulnerabilidades de un sitio estaban contenidas para ese sitio. segmentación dentro del sitio, por su parte, mitigaba el riesgo colocando la seguridad entre la fabricación y la parte comercial de la empresa, restringiendo las posibles vulnerabilidades a la red informática (TI) o a la red operativa (OT).

Las implicaciones de esta estrategia de segmentación son importantes. "No usamos palabras como asegurar o prevenir", dijo Tassell. "Hablamos de contención".

En 2018, Kellogg se enfrentó a varios desafíos. Carecían de cualquier tipo de estrategia de ciberseguridad en la red operativa. No había una detección formal ni respuesta a incidentes para la red operativa. Se enfrentaban a una mayor sensación de seguridad debido a un evento catalizador que había instado a los altos ejecutivos a moverse con rapidez. Y el área de TI necesitaba asociarse con los ingenieros para aumentar la seguridad de la red operativa.

Este √ļltimo punto era clave. Era necesario crear una relaci√≥n entre TI y la Operaciones para hacer que cualquier tipo de estrategia de seguridad cibern√©tica funcionara. En la seguridad de TI, por solo seis meses, Tassell fue puesto a cargo de liderar la organizaci√≥n de seguridad cibern√©tica para la red operativa. Como √©l lo ve√≠a, ten√≠a que asegurar una red que no pod√≠a tocar. "Las relaciones eran tensas entre ingenier√≠a y las plantas porque hab√≠amos tenido interrupciones", dijo. "No se trataba de tecnolog√≠a; no se trataba de seguridad. Se trataba de relaciones".

Kellogg cre√≥ una organizaci√≥n dedicada a la ciberseguridad en la fabricaci√≥n, que inclu√≠a un arquitecto de la red operativa, un ingeniero de seguridad de redes operativas y un ingeniero de seguridad de puntos finales de la red operativa, que se asoci√≥ con el √°rea de ingenier√≠a global. Un comit√© de revisi√≥n de fabricaci√≥n defini√≥ una forma est√°ndar de trabajo a nivel mundial entre la TI y la red operativa para dise√Īar, desplegar, asegurar y mantener la infraestructura necesaria para apoyar el proceso de transformaci√≥n digital de la fabricaci√≥n de la empresa.

Elaboraron una estrategia de ciberseguridad de la red operativa con siete elementos clave:

1.    Descubrimiento de activos y redes de OT

2.     Segmentaci√≥n de la red

3.     Mitigar las amenazas de los puntos finales

4.     Monitoreo de seguridad de la red operativa y respuesta a incidentes

5.     Conectividad con terceros y control de acceso

6.     Gesti√≥n de la vulnerabilidad

7.     Manejo de actualizaciones

El evento catalizador que hab√≠an tenido probablemente hizo m√°s bien que da√Īo, fue un evento de bajo impacto, pero le dio a Kellogg el impulso necesario para tomar medidas antes de enfrentarse a algo peor. Los ejecutivos de la compa√Ī√≠a estaban listos para dar a Tassell y a su equipo el dinero que necesitaban para avanzar, y el impulso estaba en marcha para hacerlo r√°pidamente.

Tres de los siete elementos de la estrategia de seguridad cibernética de Kellogg podían ser manejados con Claroty. Pero uno de los principales desafíos que el equipo de Tasell y otras dos personas enfrentaron fue la manera de conseguir que todos los sensores necesarios de Claroty se implementaran globalmente en un corto período de tiempo. Para desplegar, ajustar y supervisar los sensores, Kellogg se asoció con Rockwell Automation, Claroty y Kudelski Security.

"No subestime el tiempo que llevará sintonizar Claroty u otros sensores," aconsejó Tassell. "Mientras más los afine, más efectivos serán."

Otros desaf√≠os eran el n√ļmero desconocido de vulnerabilidades de seguridad que hab√≠a que remediar; no exist√≠a un sistema integrado de gesti√≥n del aprendizaje (LMS) utilizado por TI/OT, por lo que el programa de concientizaci√≥n sobre seguridad cibern√©tica no era visible para el √°rea de ingenier√≠a; y no hab√≠a un proceso de respuesta a incidentes probado y comprobado para la red operativa.

Para empezar, la capacitación de concientización sobre ciberseguridad en la red operativa se centró en la educación del personal de planta sobre lo que es la ciberseguridad, la política de Kellogg y cómo responder y acudir a ayuda ante algo malo. "Sabemos que estas cosas se mueven rápidamente", dijo Tassell. "Necesitábamos darles un sentido de urgencia, para entender cuándo necesitan llamar a alguien de inmediato."

La estrategia 2020 incluye más entrenamiento, principalmente en forma de ejercicios de mesa para poner a prueba la respuesta al incidente de la red operativa. Esos ejercicios, tal como los expuso Tassell, se centran en adiestramientos con nuevos equipos de respuesta a incidentes y procesos de reciente creación; ejercicios técnicos para el equipo de respuesta a incidentes basados en objetivos; ejercicios ejecutivos para el personal directivo y la junta de directores; y juegos de guerra centrados en ataques del mundo real.

La estrategia y la planificaci√≥n para este a√Īo tambi√©n incluyen la construcci√≥n de servicios de seguridad de la red operativa, la realizaci√≥n de pilotos de los servicios de seguridad de la red operativa en dos plantas y el uso de datos de sensores pasivos para impulsar la toma de decisiones basadas en el riesgo, planta por planta. "No queremos simplemente entregar tecnolog√≠a y pensar que esta va a salvar el mundo", dijo Tassell. "Sin personas y procesos que la rodeen, no tiene sentido para nosotros".

La educaci√≥n sigue desempe√Īando un papel fundamental, ya que el equipo de Tassell despliega sus servicios de seguridad de la red operativa en la fabricaci√≥n de Kellogg, incluidos los servicios de sensores pasivos y de respuesta a incidentes, el servicio de zona desmilitarizada (DMZ) de TI/OT, el servicio de seguridad de puntos finales y el de acceso remoto de OT. "Con todos estos servicios, se requiere educaci√≥n," dijo Tassell. "Si no tenemos educaci√≥n en torno a estos servicios, son casi nocivos".

Completando la conversación, Tassell tenía otros consejos que eran importantes lecciones aprendidas para Kellogg:

¬∑         Conseguir el apoyo ejecutivo de la organizaci√≥n de la cadena de ingenier√≠a/suministros.

¬∑         Construir una asociaci√≥n con los proveedores de confianza de ingenier√≠a para ayudar a implementar una estrategia de seguridad cibern√©tica.

¬∑         Tomar la decisi√≥n sobre el sensor pasivo con el √°rea de ingenier√≠a para que sea parte de la soluci√≥n.

¬∑         Tener cuidado con el acceso limitado de los usuarios a los datos del sensor pasivo.

¬∑         Utilizar el acceso a los datos de los sensores pasivos como una forma de establecer un puente para las comunicaciones entre los equipos de ingenier√≠a y de TI.