Investigación 4

Vista previa del material en texto

INSTITUTO TECNOLÓGICO DE LA LAGUNA 
INVESTIGACIÓN 4. 
 SEGURIDAD Y SISTEMAS DE CONTROL INDUSTRIAL 
 
 
 
 
 
 
CONTROLADORES LÓGICOS PROGRAMABLES 
Ingeniería Mecatrónica Semestre 7 
Alumno(s): Christian Enrique González Robles No. Control: 19131206 
 
2 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
Seguridad de los sistemas de control industrial 
La importancia de cuidar los ICS radica en que se utilizan normalmente en industrias tales como 
electricidad, agua, petróleo, gas natural, energía nuclear, transporte, química, farmacéutica, 
salud,alimentos, y en la fabricación discreta (por ejemplo, automotriz, aeroespacial y bienes 
duraderos), muchas de ellas pertenecientes a las infraestructuras críticas de un país. 
 
Los sistemas SCADA, generalmente, se utilizan para controlar los activos dispersos utilizando la 
adquisición de datos y control de supervisión centralizada. Los DCS se utilizan, generalmente, para 
el control de los sistemas de producción dentro de un área local. Los PLC se utilizan, generalmente, 
para el control discreto en aplicaciones específicas y, también generalmente, proporcionan un 
control para regular alguna variable. Estos sistemas de control, que a menudo son sistemas 
altamente interconectados y mutuamente dependientes, suelen ser vitales para el funcionamiento de 
las infraestructuras críticas de una organización y hasta de un país. 
 
Todo tiene sus pros y sus contras. Inicialmente, los ICS tenían poco parecido con los sistemas de 
tecnología de la información y comunicación (TIC) tradicionales dado que eran sistemas aislados 
que ejecutaban protocolos de control propietarios y utilizaban hardware y software especializado. Si 
bien uno vivía tranquilo desde el punto de vista de la seguridad, resultaba poco práctico desde lo 
operativo. Es indudable que la tendencia nos dirige hacia la conectividad de ‘todo con todo’. 
Permanentemente, surgen dispositivos que utilizan el conjunto de protocolos TCP/IP (Transmission 
Control Protocol/Internet Protocol, ‘protocolo de control de transmisión/protocolo de Internet’) que 
está reemplazando a las soluciones propietarias, lo que incrementa la posibilidad de 
vulnerabilidades de seguridad y facilita la aparición de ciberincidentes. 
 
Por lo expresado, es fundamental identificar las amenazas y vulnerabilidades de estos sistemas y 
proporcionar recomendaciones, buenas prácticas y contramedidas de seguridad para mitigar los 
riesgos asociados y reducir el impacto de los ciberincidentes de seguridad. Los ICS están adoptando 
soluciones de TIC para brindar conectividad y capacidades de acceso remoto a los sistemas de 
negocio corporativos, y además están siendo diseñados e implementados usando computadoras 
estándar, sistemas operativos y protocolos de red; están empezando a parecerse a los sistemas de 
TIC tradicionales. 
Esta integración es compatible con las nuevas capacidades de TIC, pero disminuye 
significativamente el aislamiento de los ICS con el mundo exterior respecto de los sistemas 
predecesores, creando una mayor necesidad de proporcionar seguridad a estos sistemas. Si bien las 
soluciones de seguridad han sido diseñadas para hacer frente a los problemas de seguridad en los 
sistemas típicos de TIC, se deben adicionar precauciones especiales cuando se introducen estas 
mismas soluciones en los entornos del ICS. En algunos casos, hasta se requieren nuevas soluciones 
de seguridad específicas que se adapten a dichos entornos. 
 
A pesar de que algunas características son similares, los ICS también tienen características que 
difieren de los sistemas de procesamiento de información y comunicación tradicionales. Muchas de 
estas diferencias se derivan del hecho de que la lógica de ejecución en los ICS tiene un efecto 
directo en el mundo físico. Algunas de estas características incluyen: riesgo significativo para la 
salud y la seguridad de las vidas humanas y daños graves al medioambiente, así como graves 
 
3 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
problemas financieros, tales como pérdidas de producción, impacto negativo para la economía de 
una nación y compromiso de las infraestructuras críticas. 
 
En sus comienzos, las implementaciones de los ICS solo eran susceptibles a las amenazas locales, 
pues la mayoría de sus componentes se encontraban en zonas físicamente seguras y aisladas de las 
redes o sistemas informáticos. Sin embargo, esta tendencia hacia la integración de los ICS con las 
redes de TIC proporciona significativamente menos aislamiento para los ICS desde el mundo 
exterior que los sistemas predecesores, incrementa las amenazas y extiende el perímetro de 
seguridad. Con el acceso a los ICS desde redes remotas a través de redes inseguras como Internet, el 
perímetro de seguridad se extiende a todo el mundo y, si le agregamos además el acceso a través de 
dispositivos móviles y las redes inalámbricas, el universo de posibles atacantes se torna inmanejable 
e imposible de identificar. 
 
Las amenazas a los sistemas de control pueden provenir de varias fuentes, incluyendo desde simples 
errores de configuración, negligencia en la gestión de operación o mantenimiento, empleados 
descontentos, intrusos maliciosos, fallas accidentales, gobiernos hostiles y grupos terroristas, hasta 
desastres naturales. Los objetivos de seguridad de los ICS tienen típicamente como prioridad 1) la 
disponibilidad; 2) la integridad, y 3) la confidencialidad, en ese orden. 
 
Los posibles incidentes que un ICS puede enfrentar son los siguientes: 
• Bloqueo o demora del flujo de información a través de las redes de los ICS, que podría 
interrumpir el funcionamiento del ICS y, como consecuencia, algún proceso crítico. 
• Cambios no autorizados a las instrucciones, comandos o umbrales de alarma, lo que podría 
dañar, deshabilitar o apagar algún equipo, crear impactos ambientales y/o poner en peligro 
a la vida humana. 
• Envío de información inexacta a los operadores del sistema, ya sea para disimular cambios 
no autorizados o para hacer que los operadores inicien acciones inapropiadas, lo que podría 
tener múltiples efectos negativos. 
• Modificación del software de ICS o sus parámetros de configuración, infección del 
software de ICS con malware, lo que podría tener varios efectos negativos. 
• Interferencia con el funcionamiento de los sistemas de seguridad, lo que podría poner en 
peligro a la vida humana. 
Los principales objetivos de seguridad para una implementación de un ICS deben incluir lo 
siguiente: restricción del acceso lógico a la red del ICS y a la actividad de la red, restricción del 
acceso físico a la red y a los dispositivos de ICS, protección de los componentes individuales del 
ICS, mantenimiento de las operaciones en condiciones adversas y restauración del sistema después 
de un incidente. 
• Restricción del acceso lógico a la red del ICS y a la actividad de la red: esto incluye el uso 
de una arquitectura de red de zona desmilitarizada (DMZ, del inglés, Demilitarized Zone) 
con los firewalls para evitar que el tráfico de red pase directamente sin filtro entre las redes 
corporativas y la del ICS, y que tenga mecanismos de autenticación y autorización con 
credenciales separadas para los usuarios de las redes corporativas y del ICS. El ICS también 
debe utilizar una topología de red que tenga múltiples capas, logrando que las 
comunicaciones más críticas ocurran en la capa más segura y fiable. 
 
4 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
• Restricción del acceso físico a la red y a los dispositivos de ICS: el acceso físico no 
autorizado a los componentes podría causar graves trastornos de la funcionalidad del ICS. 
Se debe utilizar una combinación de controles de acceso físico, tales como cerraduras, 
lectores de tarjetas, y/o dispositivos biométricos de seguridad. 
• Protección de los componentes individuales del ICS: esto incluye el despliegue de parches 
de seguridad de la maneramás expedita posible, después de ponerlos a prueba en 
condiciones de campo; deshabilitar todos los puertos y servicios no utilizados; restringir 
privilegios de los usuarios de los ICS solo a aquellos que sean necesarios en función de la 
necesidad de saber y de hacer de cada persona; seguimiento y monitoreo de las pistas de 
auditoría, y el uso de los controles de seguridad, tales como software antivirus y software 
de comprobación de integridad de archivos cuando sea técnicamente posible para prevenir, 
desalentar, detectar y mitigar el malware. 
• Mantenimiento de las operaciones en condiciones adversas: esto implica diseñar el ICS para 
que cada componente crítico tenga una contraparte redundante. Además, si falla un 
componente, debe fallar de una manera que no genere tráfico innecesario en el ICS u otras 
redes, o no cause otro problema en cascada en otros sitios. 
• Restauración del sistema después de un incidente: los incidentes son inevitables, y un plan 
de respuesta a incidentes es esencial. Una característica importante de un buen programa de 
seguridad es la rapidez con que un sistema puede recuperarse después de haberse producido 
un incidente. 
Para abordar adecuadamente la seguridad en un ICS, es esencial contar con un equipo 
multifuncional de ciberseguridad que comparta su variado dominio del conocimiento y experiencia 
para evaluar y mitigar los riesgos a los ICS. El equipo de ciberseguridad puede consistir en: un 
miembro del personal de TI de la organización, un ingeniero de control, un operador de los sistemas 
de control, un experto en seguridad de sistemas y de redes, un miembro del equipo de dirección y 
un miembro del departamento de seguridad física. 
Para la continuidad e integridad, el equipo de ciberseguridad debería consultar con el proveedor del 
sistema de control y/o integrador de sistemas también. El equipo de ciberseguridad debe reportar 
directamente a la máxima autoridad del sitio (por ejemplo, el CISO —Chief Information Security 
Office, ‘director de seguridad de la información’— de la empresa), o a quien asuma la 
responsabilidad completa y la responsabilidad por la ciberseguridad del ICS. Un programa de 
seguridad de la información eficaz para un ICS debe aplicar una estrategia conocida como “defensa 
en profundidad”, que consiste en capas de mecanismos de seguridad de tal manera que el impacto 
de una falla en cualquiera de los mecanismos de alguna capa se pueda ver compensado por los 
mecanismos de seguridad de otra capa. 
 
En ICS típicos, una estrategia de defensa en profundidad debe: 
• Desarrollar políticas de seguridad, procedimientos, capacitación y material educativo que se 
aplican específicamente al ICS; 
• Tener presente a la seguridad en todo el ciclo de vida del ICS, desde diseño de la 
arquitectura y la puesta en marcha de la instalación, hasta el mantenimiento y 
desmantelamiento; 
• Implementar una topología de red para el ICS que tenga múltiples capas, logrando que las 
comunicaciones críticas ocurran en la capa más segura y fiable; 
 
5 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
• Proporcionar la separación lógica entre las redes corporativas y las del ICS (instalando, por 
ejemplo, un servidor de seguridad de inspección de estado entre ellas); 
• Emplear una arquitectura de red DMZ (es decir, evitar que ocurra el tráfico directo entre las 
redes corporativas y las del ICS); 
• Asegurar que los componentes críticos sean redundantes y se encuentren en redes 
redundantes; 
• Diseñar los sistemas críticos para que su degradación sea progresiva (sistema tolerante a 
fallos) para prevenir los episodios catastróficos en cascada; 
• Desactivar los puertos y servicios no utilizados en los dispositivos ICS después del período 
de ensayo para asegurar que esto no tendrá un impacto en el funcionamiento del ICS; 
• Restringir el acceso físico a la red y a los dispositivos de los ICS; 
• Restringir los privilegios de acceso a los ICS solo a aquellos usuarios que los necesiten, es 
decir, establecer un control de acceso basado en roles y configurar cada rol según el 
principio del menor privilegio y de la necesidad de saber y hacer; 
• Imponer el uso de mecanismos de autentificación y credenciales diferentes para los usuarios 
tanto de la red del ICS como de la red corporativa; 
• Promover el uso de tecnologías modernas, tales como tarjetas inteligentes y dispositivos 
biométricos para la verificación de identidad personal; 
• Cuando sea técnicamente posible, efectuar controles de seguridad tales como instalar 
software de detección de intrusiones, software antivirus y software para comprobar la 
integridad de archivos, para prevenir, desalentar, detectar y mitigar la introducción, 
exposición y propagación de software malicioso; 
• Donde se considere apropiado, aplicar técnicas de seguridad como el cifrado y/o resúmenes 
(hashes) criptográficos al almacenamiento de datos del ICS y las comunicaciones; 
• Priorizar la implementación de parches de seguridad después de probar dichos parches en 
condiciones de campo en un sistema de prueba, si es posible, antes de la instalación en el 
ICS; 
• Controlar y monitorear las pistas de auditoría en las áreas críticas de los ICS. 
Sistema SCADA 
Qué es un sistema SCADA 
El sistema SCADA es una herramienta de automatización y control industrial utilizada en los 
procesos productivos que puede controlar, supervisar, recopilar datos, analizar datos y generar 
informes a distancia mediante una aplicación informática. Su principal función es la de evaluar los 
datos con el propósito de subsanar posibles errores. 
En realidad, su definición es la de una agrupación de aplicaciones informáticas instaladas en un 
ordenador denominado Máster o MTU, destinado al control automático de una actividad 
productiva a distancia que está interconectada con otros instrumentos llamados de campo como son 
los autómatas programables (PLC) y las unidades terminales remotas (RTU). 
Los sistemas SCADA se han convertido en la actualidad en elementos fundamentales en las plantas 
industriales, ya que ayudan a mantener la eficiencia, procesan los datos para tomar decisiones más 
 
6 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
inteligentes y comunican los problemas del sistema para ayudar a disminuir el tiempo de parada o 
inactividad. 
De igual manera, un sistema SCADA eficaz puede resultar un ahorro notable en tiempo y dinero. 
De ahí su importancia en la industria moderna. 
Para qué sirve un sistema SCADA 
Este sistema de control de supervisión y adquisición de datos formado por software y hardware 
permite a las empresas: 
• Controlar los procesos industriales de forma local o remota. 
• Monitorear, recopilar y procesar datos en tiempo real. 
• Interactuar directamente con dispositivos como sensores, válvulas, motores y la interfaz 
HMI. 
• Grabar secuencialmente en un archivo o base de datos acontecimientos que se producen en 
un proceso productivo. 
• Crear paneles de alarma en fallas de máquinas por problemas de funcionamiento. 
• Gestionar el Mantenimiento con las magnitudes obtenidas. 
• El control de calidad mediante los datos recogidos. 
Componentes de un sistema SCADA 
• HMI: Es la interfaz que conecta al hombre con la maquina presentando los datos del 
proceso ante el operario mediante un sistema de monitoreo. Además, controla la acción a 
desarrollar a través de una pantalla, en la actualidad táctil. 
• Sistema de supervisión o MTU (Ordenador/Computadora): Tiene la función de recopilar 
los datos del proceso y enviar las instrucciones mediante una línea de comandos. 
• Unidades Terminales Remotas (RTU): Son microprocesadores (Ordenadores Remotos) 
que obtienen señales independientes de una acción para enviar la información obtenida 
remotamente para que se procese. Se conectan a sensores que convierten las señales 
recibidas en datos digitales que lo envían al ordenador o sistema de supervisión (MTU) 
• PLC: Denominadoscomúnmente autómatas programables, estos son utilizados en el 
sistema como dispositivos de campo debido a que son más económicos, versátiles, flexibles 
y configurables que las RTU comentadas anteriormente. 
• Red o sistema de comunicación: Se encarga de establecer la conectividad del ordenador 
(MTU) a las RTU y los PLC. Para ello utiliza conexiones vía modem, Ethernet, Wifi o fibra 
óptica. 
• Sensores: Son dispositivos que actúan como detectores de magnitudes físicas o químicas, 
denominadas variables de instrumentación, y las convierten en variables o señales 
eléctricas. 
• Actuador: Es un dispositivo mecánico que se utiliza para actuar u ofrecer movimiento 
sobre otro dispositivo mecánico. 
 
7 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
 
La arquitectura básica de un sistema SCADA está compuesta por controladores lógicos 
programables (PLC) o unidades terminales remotas (RTU). Los PLC y las RTU son 
microprocesadores que se comunican con una serie de instrumentos, tales como maquinaria de 
fabricación, HMI, sensores y dispositivos finales. 
Con posterioridad, dirigen la información de esos objetos a computadoras con software SCADA. 
Este mismo procesa, distribuye y muestra los datos, ayudando a los operarios y a los técnicos de 
mantenimiento a analizar los datos y a tomar decisiones importantes. 
Por ejemplo, el sistema notifica rápidamente a un operario que una partida de un producto muestra 
una alta incidencia de errores. En este caso, el operario hace una parada en la producción y visualiza 
los datos del sistema SCADA, a través de una HMI, para determinar la causa del problema. 
De esta manera, el técnico de mantenimiento revisa los datos y descubre que la máquina X estaba 
funcionando mal en el proceso Z. Por esta razón, la capacidad del sistema SCADA para notificar a 
los técnicos un problema, error o incidencia le ayuda a resolverlo y a prevenir más pérdidas de 
producto en el futuro, y en esta fase de la producción en concreto. 
 
 
 
8 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
¿Por qué son importantes los sistemas SCADA? 
La importancia de los sistemas SCADA es la automatización. Permite que una industria estudie 
cuidadosamente y anticipe la respuesta óptima a las condiciones medidas y ejecute esas respuestas 
automáticamente cada vez. 
En definitiva, contar con un control preciso de la máquina para monitorear los equipos y procesos 
prácticamente elimina los errores humanos. Y lo que es más importante, automatiza las tareas 
comunes, farragosas y rutinarias que una vez fueron realizadas por un operario, lo que aumenta aún 
más la productividad, mejora la gestión de las fallas críticas de las máquinas en tiempo real y 
minimiza la posibilidad de que se produzcan desastres ambientales. 
Además, se necesitan sistemas SCADA para monitorear y controlar un desplazamiento geográfico 
grande donde una organización puede no tener suficiente mano de obra para cubrirlo. Por lo tanto, 
la comunicación confiable y la operatividad de estas áreas o sitios es crítica para la rentabilidad. 
¿Quién utiliza sistemas SCADA? 
Los sistemas SCADA son utilizados por organizaciones industriales y empresas de los sectores 
público y privado para controlar y mantener la eficiencia, distribuir datos para tomar decisiones más 
inteligentes y comunicar problemas del sistema para ayudar a mitigar el tiempo de inactividad. 
Estos sistemas funcionan bien en diferentes tipos de empresas porque pueden ir desde 
configuraciones simples hasta instalaciones grandes y complejas. Así pues, son la columna vertebral 
de muchas industrias modernas, incluyendo: 
• Energía 
• Alimentación y bebidas 
• Fabricación 
• Petróleo y gas 
• Potencia 
• Reciclaje 
• Transporte 
• Agua y aguas residuales 
• Entre otras muchas más 
De forma general, en cualquier lugar del mundo actual, hay algún tipo de sistema SCADA que 
funciona entre bastidores: manteniendo los sistemas de refrigeración en el supermercado local, 
asegurando la producción y la seguridad en una refinería, alcanzando estándares de calidad en 
una planta de tratamiento de aguas residuales, o incluso haciendo un seguimiento de su uso de 
energía en casa, por dar algunos ejemplos. 
Los sistemas SCADA efectivos pueden producir ahorros significativos de tiempo y dinero. Se han 
publicado numerosos estudios de casos que destacan los beneficios y ahorros de usar una solución 
de software SCADA moderna cómo WinCC. 
 
 
 
9 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
Intrusión en un Sistema de Control 
Cualquier conjunto de acciones que intentan comprometer la integridad, confidencialidad o 
disponibilidad de una información o un recurso es conocido como intrusión. 
Normalmente una intrusión intenta: 
• Acceder a una determinada información. 
• Manipular cierta información. 
• Hacer que el sistema se no funcione de forma segura o inutilizarlo. 
Una intrusión es la violación de la política de seguridad del sistema. Los intrusos pueden utilizar 
fallos en la arquitectura de los sistemas y el conocimiento interno del sistema operativo para superar 
el proceso normal de autentificación. Existen diferentes tipos de intrusiones que pueden afectar a un 
determinado sistema: 
Intentos de entrada: 
Una persona ajena a nuestro sistema intenta acceder de forma no autorizada al mismo. Se detectan 
normalmente por modelos de comportamiento atípicos, o violaciones de las restricciones dadas por 
la política de seguridad. 
Ataque enmascarado: 
A partir de un usuario del sistema se intenta un ataque al mismo, es detectado a partir de modelos de 
comportamiento atípico o violaciones de constraints de seguridad. 
Penetraciones en el sistema se control: 
Que son normalmente detectadas a partir de la observación de modelos especiales de actividad. 
Fuga: 
Cuando se utilizan de manera excesiva los recursos de un sistema. Se detectan normalmente por 
usos anormales del recurso de E/S. 
Rechazo de servicio: 
Detectados por uso atípico de los recursos del sistema. 
Uso malicioso: 
Detectado normalmente por modelos de comportamiento atípico, violaciones de las restricciones de 
seguridad, o uso de privilegios especiales. 
Esta clasificación se basa en el efecto de las intrusiones y la forma de llevarlas a cabo. 
 
 
 
 
10 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
Puntos débiles y amenazas en un Sistema de Control 
1) Desbordamientos de búfer 
Los desbordamientos de búfer son errores de programación que hacen que el código de software 
sobrepase el límite del búfer y que anulen los bloques de memoria adyacentes. Este tipo de errores 
de programación es la razón por la que existen procesos de validación de entrada, ya que pueden 
bloquear el programa, causar datos dañados o permitir la ejecución de código malicioso dentro del 
sistema. Por lo tanto, es esencial que se apliquen los métodos correctos de prueba y validación, así 
como los controles fronterizos adecuados, a fin de evitar el desbordamiento del búfer o los fallos del 
software. Una validación de entrada deficiente también puede dejar los sistemas de control 
industrial como SCADA, HMI, PLC´s y DCS abiertos a otras formas de ataques cibernéticos como 
las inyecciones SQL, en las que el código malicioso se incrusta en aplicaciones que luego se pasan a 
la base de datos del módulo de servicio para producir resultados de consulta que no se 
proporcionarían en circunstancias normales. O secuencias de comandos entre sitios, donde los 
atacantes inyectan secuencias de comandos del lado del cliente en las páginas web, a menudo con el 
objetivo de eludir los controles de acceso. 
2) Protocolos no autenticados 
En los sistemas de control industrial, los protocolos de autenticación se utilizan para transferir datos 
de autenticación entre dos entidades a fin de autenticar tanto a la entidad conectada como a sí 
misma. Los protocolos de autenticación son la capa más importante de protección para la 
comunicacióncon redes informáticas. Cuando el protocolo de un sistema de control industrial 
carece de autenticación, cualquier computadora o dispositivo conectado a la red puede ingresar 
comandos para cambiar, alterar o manipular las operaciones controladas por el SCI. En el ejemplo 
del hack alemán mencionado anteriormente, los protocolos no autenticados podrían haber 
conducido a un resultado similar y las organizaciones industriales deberían haber hecho esfuerzos 
para trazar un mapa de los puntos de acceso remoto en sus sistemas y tratar de proporcionar e 
implementar recursos y prácticas de seguridad adecuados para disminuir el riesgo que representan 
los protocolos no autenticados. 
3) Débil autenticación de usuario 
Como mencionamos anteriormente, la autenticación es el proceso de probar la identidad de los 
usuarios en una red o sistema. Un sistema de autenticación de usuario débil sería un proceso de 
autenticación que es fácilmente superado o eludido. Por ejemplo, la autenticación basada en el 
conocimiento, que trabaja en la autenticación de usuarios basada en el conocimiento que sólo ellos 
conocerían, como las contraseñas, puede ser increíblemente débil ya que la administración de 
contraseñas y las políticas no se mantienen actualizadas ni se cambian regularmente. 
Por otra parte, los sistemas de autenticación basados en la identidad pueden ser sistemas de 
autenticación de usuario muy potentes, ya que normalmente funcionan con lecturas biométricas 
como las huellas dactilares o el escaneado del iris. Estas lecturas biométricas son mucho más 
difíciles de imitar o de eludir que los sistemas basados en el conocimiento, que teóricamente 
podrían ser craqueados con nada más que una buena conjetura. Por lo tanto, es esencial que las 
empresas reconozcan el valor de sus activos y proporcionen sistemas de autenticación de usuarios 
sólidos que se adapten a sus necesidades. 
 
11 
 
 
INSTITUTO TECNOLÓGICO DE LA LAGUNA 
4) Adopción inoportuna de software 
La adopción intempestiva de software puede no ser la primera cosa en la que mucha gente piensa al 
considerar las vulnerabilidades de los sistemas de control industrial, pero la configuración 
inadecuada de software no probado puede causar agujeros en la configuración de los sistemas de 
control y, eventualmente, llevar a su explotación por parte de hackers maliciosos si el software no 
se reconfigura de la manera correcta. La aplicación incorrecta de parches también puede causar más 
problemas y convertirse en un detrimento para el funcionamiento óptimo de los sistemas de control 
industrial. Antes de implementar cualquier nuevo software o parches, las organizaciones podrían 
crear listas de comprobación para verificar el funcionamiento de la tecnología de acuerdo con los 
requisitos reglamentarios, así como garantizar que cualquier implementación pendiente esté lista 
para realizar el nivel requerido. 
5) Políticas o administración de contraseñas deficientes 
Una de las vulnerabilidades más obvias a 
cualquier ordenador, red o sistema de 
control industrial es la mala gestión de 
contraseñas. 
Tan simple como pueda parecer, un número 
increíble de negocios y organizaciones 
todavía subestimaron el poder de una 
administración decente de contraseñas 
como un medio para protegerse de ataques 
cibernéticos. Aunque la conveniencia de 
usar una contraseña que usted conoce y 
utiliza para otras cuentas en línea puede ser tentadora, el riesgo que estos escenarios implican nunca 
vale la pena los pocos segundos que usted ahorra introduciendo una contraseña débil. A veces, las 
contraseñas pueden ser demasiado vulnerables en sí mismas y las empresas que lo consideren 
necesario podrían optar por procesos de autenticación aún más estrictos utilizando sistemas basados 
en identidad para leer los datos biométricos de los usuarios como sustituto de las contraseñas.