Más sobre seguridad en sistemas SCADA

A mediados de año hicimos una reseña sobre seguridad SCADA en este blog.

Para quien no sepa de qué van estos sistemas, os recuerdo una cita que contiene una definición más o menos simple sobre este concepto:

Los sistemas SCADA son aquellos en los que existe un proceso continuo informatizado en el que se hace una adquisición de datos, los llamados parámetros de control, que son analizados para posteriormente, con los resultados del análisis en la mano, reinyectarlos en el sistema, con el fin de obtener un gobierno parametrizado y automatizado que además de lograr el equilibrio, conduzca al sistema a un grado de optimización.

La seguridad en sistemas SCADA está un poco olvidada. Y no por dejadez, sino por que el segmento del software SCADA es un segmento pequeño, donde la seguridad no es el eje motor del desarrollo. En la industria SCADA prima mucho más que las aplicaciones gobiernen con éxito los sofisticados entramados automatizados para los que están pensadas estas aplicaciones, muy habituales en infraestructuras industriales de cierta complejidad. Es un segmento donde los ingenieros de software hacen maravillas, pero en el que no existe dominio, por norma general, del desarrollo seguro de aplicaciones.

Mientras el mundo de la seguridad pierde el tiempo con disquisiciones sobre productos domésticos que no llevan a ningún lado, hablando sobre problemas que la gran mayoría de las veces son meras patochadas (y me incluyo en ese mundo, como no podía ser de otro modo) estos sistemas industriales siguen dado funcionamiento a centrales eléctricas, industrias de transformación, energía nuclear y un sinfín más de aplicaciones críticas o muy críticas que están directamente relacionadas con nuestra calidad de vida. Es curioso comprobar que muchas veces lo que es portada no es siempre lo más importante: es lo que más vende.

Y esto es peligroso, porque se está focalizando un problema global, la seguridad de la información, en un ámbito que no lo es, ya que no es lo mismo la seguridad doméstica que la corporativa, ni es la misma seguridad la que requieren entornos aeroespaciales o industriales que la que requieren otros entornos menos tecnológicos. La seguridad siempre es importante, y todos estos entornos tienen su importancia, de eso no cabe duda. Para muchos es más importante que el navegador no les explote en la cara, o que su sistema operativo esté al día en cuanto a parches se refiere. Para otros es más importante que un avión aterrice en su destino, o que llegue electricidad a una tasa constante de voltaje a todos los enchufes de una ciudad. A ninguno les falta razón.

Suerte que de vez en cuando saltan a la palestras perlas como The SCADA Security Challenge: The Race is On, que nos recuerdan que estos sistemas necesitan también gestionar su seguridad y que no todo gira en torno al mundillo Windows, Linux y compañía ;)