Trabajar con relés en la era de sanciones récord de NERC
La primera acción de cumplimiento de NERC de 2019 fue enorme: una multa de USD 10 millones aplicada a una gran empresa de servicios públicos de múltiples estados por violaciones de las normas de Protección de Infraestructura Crítica (PIC). Esta es una llamada de atención a la industria de la energía eléctrica por dos razones. En primer lugar, el nivel de detalle de la divulgación del NERC, que consta de más de 700 páginas en cuatro partes, indica que las empresas de servicios públicos no pueden reducir gastos en el cumplimiento de PIC. En segundo lugar, la magnitud de la sanción, que es la primera sanción de ocho cifras por violación de PIC, indica graves consecuencias financieras por incumplimiento flagrante. Esta última acción de NERC sigue a la de 2018, en la que se registró un récord de 2,7 millones de dólares.
El examen de la Notificación de penalización de esta acción de cumplimiento revela que NERC espera un enfoque bien pensado para el cumplimiento de PIC. Por ejemplo, algunos de los compromisos de la entidad, como parte de la liquidación, son añadir recursos de seguridad y cumplimiento, invertir en herramientas y realizar encuestas en la industria y evaluaciones comparativas de las mejores prácticas de cumplimiento. En otras palabras, no alcanza con tener un programa que haga lo suficiente. Existe una clara expectativa de que las organizaciones identificarán e implementarán las mejores prácticas de la industria.
¿Cuáles son las consecuencias de este nuevo enfoque agresivo de NERC para los ingenieros de subestaciones? ¿Cuáles son las mejores prácticas relevantes para el cumplimiento de PIC al trabajar con relés y otros activos cibernéticos críticos de subestaciones? Aquí nos centramos en dos aspectos clave: (1) Activos Cibernéticos Transitorios (TCA) que se utilizan para trabajar con los dispositivos de la subestación, y (2) Gestión de Parches de Seguridad que asegura la identificación, evaluación e implementación oportuna de los parches de seguridad. En nuestra experiencia, estos dos requisitos se encuentran entre los más desafiantes, ya que conllevan tareas frecuentes que son realizadas por múltiples miembros del equipo, los cuales tienen que desempeñar su papel correctamente.
Activos cibernéticos transitorios (TCA)
Los enfoques típicos de los TCA han sido centrados en TI, en los que los proveedores y las empresas de servicios públicos reutilizan las plantillas de soluciones de TI existentes para los procesos de trabajo de las subestaciones. En el caso de los TCA, una empresa de servicios públicos podría imaginarlos como líneas de base aprobadas antes del uso o colocar permanentemente una computadora portátil endurecida en la subestación para cualquier trabajo con los activos de la subestación. Estos enfoques son engorrosos y, en última instancia, ineficaces cuando se aplican a los entornos de las subestaciones.
Por ejemplo, surgen circunstancias imprevistas en el campo, como la necesidad de conectarse a puertos serie a través de USB, que no se pueden resolver fácilmente en las subestaciones remotas. Este es un malestar común de los TCA que se endurecen de una manera que se adapta a todos los casos. En el caso de los ordenadores portátiles que se encuentran permanentemente en la subestación, los TCA suelen quedar fuera de mantenimiento ya que no se gestionan de forma centralizada y no se actualizan de forma continua. Además, el personal de campo no está familiarizado con el TCA si está ubicado permanentemente en la subestación, y no es un dispositivo que se lleve y se use todos los días.
Un enfoque de seguridad y cumplimiento más eficaz para los TCA es comenzar con los procesos de trabajo que necesitan ser protegidos y adaptar los controles de seguridad de TI a ellos. Para hacer realidad esta visión, los departamentos de TI, Operaciones y Cumplimiento deben trabajar en estrecha colaboración con el fin de desarrollar una comprensión clara y común de los procesos de trabajo y los requisitos de cumplimiento. Es posible que los productos de seguridad disponibles no aborden por completo las consideraciones exclusivas de los dispositivos de campo, por lo que puede ser necesario desarrollar controles de seguridad personalizados.
En asociación con empresas de servicios públicos líderes, hemos desarrollado e implementado ampliamente una solución de TCA, el DUCe (Controlador universal para empresas Doble), que adopta un enfoque holístico al considerar los puntos de vista de TI, Operaciones y Cumplimiento. La solución DUCe consta de varios controles de seguridad que pueden configurarse para que se ajusten mejor a la infraestructura de la empresa de servicios públicos y a los procesos de trabajo. Los aspectos clave incluyen:
- Los TCA no se utilizan para correo electrónico, acceso a Internet o trabajo corporativo general no relacionado con el campo.
- La infraestructura de soporte de TCA está separada y aislada de la infraestructura de TI de la empresa de servicios públicos, lo que evita la propagación de malware de la red corporativa a la red de la subestación.
- Todas las interfaces que no sean las necesarias para conectarse al BCA se desactivan antes de trabajar con el BCA.
- Las funciones de gestión de datos entregan automáticamente elementos de trabajo como planes de prueba y archivos de configuración al dispositivo de campo y recuperan los artefactos del trabajo completado en bases de datos designadas o archivos compartidos.
Administración de revisiones de seguridad
En el caso de la administración de revisiones de seguridad, los requisitos CIP-007 sobre el descubrimiento de revisiones y los plazos estrictos para la gestión de las revisiones descubiertas pueden ser onerosos. Satisfacer los requisitos puede implicar que varios equipos realicen tareas recurrentes, todo ello dentro de plazos estrictos. El descubrimiento de revisiones en particular puede ser intensivo en el uso de recursos. En total, una gran empresa de servicios públicos puede tener cientos, e incluso miles, de modelos de productos y aplicaciones. Para esta flota, la empresa de servicios públicos tiene que identificar las fuentes de actualización, mantenerlas actualizadas y comprobarlas regularmente. Una vez que se descubre una actualización, normalmente hay comunicación adicional con el proveedor para obtener notas de la versión e información adicional sobre las actualizaciones, ya que muchos proveedores no las proporcionan como parte de la versión pública; y verificar la autenticidad e integridad de las actualizaciones.
La solución de gestión de revisiones de Doble, PatchAssure, proporciona descubrimiento de revisiones para dispositivos de subestación y dispositivos transitorios, e incorpora un flujo de trabajo que permite que las revisiones verificadas y las instrucciones se envíen automáticamente a los dispositivos de campo para su aplicación. El flujo de trabajo está diseñado para abarcar todo el ciclo de vida de la gestión de revisiones, de modo que cierra la brecha típicamente encontrada entre el descubrimiento y análisis de revisiones por parte de los analistas de seguridad y la implementación y verificación de los dispositivos de subestación por parte del personal de campo. A menudo hay desconexión entre los dos procesos de negocio, creando espacio para fallos y violaciones. Cuando PatchAssure y DUCe se implementan juntos, proporcionan una experiencia segura y sin problemas para trabajar con dispositivos de subestación. Estos enfoques coordinados y sinérgicos garantizan el cumplimiento de PIC y también aumentan la productividad.
INFORMACIÓN ADICIONAL
- Información sobre el producto: Gestión de revisiones de PatchAssure de Doble
- Lecturas adicionales: Acciones de cumplimiento NERC 2019
- Más información: El regulador de la red eléctrica golpea a las empresas de servicios públicos con una multa récord de 10 millones de dólares
- Más sobre NERC: FERC aprueba una multa cibernética de 2.7 millones de dólares sin nombrar a nadie
- Información sobre el producto: Doble Duce TCA
