Convergencia TI-TO
En ocasiones anteriores hemos diferenciado entre las tecnologías de la operación (TO) y las tecnologías de la información (TI), en el artículo Diferencias entre TI y TO o las herramientas que se han traspasado de TI a TO en Herramientas TI que evolucionan para TO. No obstante, para hablar de convergencia entre las dos tecnologías tenemos que volver a hacerlo una vez más.
Mientras la tecnología utilizada en TO es muy familiar para los operadores e ingenieros que trabajan en el sector, su conocimiento es limitado para personal de TI. Tradicionalmente, los entornos de TI y TO se han gestionado de forma separada sin interdependencias entre ellos. La desconexión existente ha demostrado que la información intercambiada entre estos entornos no ha sido la adecuada, y los importantes beneficios de la convergencia, como la comprensión de los riesgos de seguridad y el aumento del rendimiento, exigen mayor atención a todos los niveles.
-Modelo tradicional con entornos Ti y TO separados-
Motivación de la convergencia
La operación de multitud de industrias, especialmente aquellas relacionadas con la producción, transporte y distribución de energía, fabricantes a gran escala, transporte de personas y materiales y otros procesos automatizados; son cada vez más dependientes de las comunicaciones y las redes de ordenadores. El incremento de las comunicaciones entre un número creciente de elementos inteligentes y la necesidad de integrar los datos del proceso en sistemas y aplicaciones corporativas han hecho que las tecnologías de la información aparezcan a lo largo de entorno industrial. Muchas empresas han afrontado esta dependencia creando sus propios equipos de soporte dentro de las unidades de negocio, siendo diferentes y separados del departamento de TI de la empresa. Esto crea duplicación de tareas, recursos y personal, que pueden derivar en problemas y falta de entendimiento entre dos departamentos con funciones similares. Estas diferencias y separaciones generan un incremento del riesgo de gestión y las acciones de cumplimiento, tareas a las que los ingenieros de TO no están demasiado acostumbrados y para las que el personal de TI dispone de sobrada experiencia. Por todo lo anterior, es recomendable que ambos equipos trabajen de manera conjunta.
La integración de TI y TO promete numerosos beneficios:
- Mejora de la automatización, la captura de información de los sensores y la visibilidad.
- Incremento del control de las operaciones distribuidas.
- Mejor cumplimiento con los requerimientos normativos.
- Sistemas con mejores respuestas y mejor organización.
- Trabajo más efectivo debido a una mejor y mayor información.
- Mejor toma de decisiones, basada en una información más precisa y en tiempo.
- Mejora de la satisfacción de los clientes como resultado de mantenimientos proactivos y la reducción de tiempos de indisponibilidad.
- Mejora de la satisfacción de los participantes al disponer de mejores flujos de información.
-Servicios y sistemas TI y TO integrados-
Retos
Los primeros retos a tratar en la convergencia de TI y TO son los que afectan al entorno de trabajo, pero ya se han escrito muchas páginas sobre temas como las duras condiciones de funcionamiento, la repetitividad de las tareas o la necesidad de disponibilidad constante. Por eso vamos a comentar otros aspectos.
La alta velocidad de innovación que presentan los recursos TI es un factor en el alto valor que toman en la corrección de errores, la tolerancia a fallos se refiere y las funciones de alta disponibilidad y conmutación por fallo. La compatibilidad es una intención, pero no siempre se logra y en ocasiones hay que pagar con algunos fallos esta evolución, para los que habrá que estar preparados. Los sistemas TO trabajan siempre realizando las mismas comunicaciones, y posibles interrupciones de sistemas TI pueden producir bloqueos o reinicios en dichas comunicaciones. Los desarrolladores y vendedores de productos TI no siempre consideran estas limitaciones ya que el propio sector no exige dichas limitaciones. Además, hay que tener en cuenta que la inclusión de nuevos productos TI después de las pruebas de aceptación en la ubicación final (SAT – Site Acceptance Test) del sistema puede introducir nuevos riesgos no contemplados e incluso la pérdida de garantía.
TO es un claro ejemplo de adoptante tardío tanto de soluciones tecnológicas como de actualizaciones y parches. Esto también significa que el equipamiento de TO es habitualmente más viejo que el de TI, y que el personal requiere un conocimiento diferente para su gestión. Mientras que el personal de TI suele estar muy formado respecto a los últimos avances en tecnología motivados por la presión de la seguridad; la estabilidad e interoperabilidad requeridos, TO hace que el personal de TO deba conocer tecnologías abandonadas en el sector corporativo, sustituidas por otras más rápidas, seguras y más fácilmente reemplazables. La edad media de los trabajadores juega un papel importante en estos dos sectores, la realidad dice que suele ser considerablemente más baja en TI, aunque esta brecha se va cerrando.
Desde el punto de vista de la seguridad, la mayoría de las vulnerabilidades que afectan a TO requieren de un acceso físico o muy próximo al objetivo para poder ser explotadas. Y es precisamente la seguridad física uno de los puntos más fuertes de cualquier sistema TO. La creciente prevalencia de las comunicaciones ha expandido la superficie de ataque a un terreno que es más conocido desde los sistemas TI. Pero todo el conocimiento y madurez de TI respecto a seguridad en redes no pueden ser aplicados directamente sobre los sistemas TO, las herramientas deben adaptarse o, en muchas ocasiones, se deben crear otras nuevas.
Soluciones
La inclusión de los sistemas TO dentro de las redes TI permite ahorrar tiempo a la hora de realizar mantenimientos de rutina y llevar a cabo estas tareas de forma remota desde un panel de control central. Además, estas tecnologías también permiten nuevos modelos predictivos que posibilitan identificar debilidades, corrigiendo los problemas o reemplazando los dispositivos antes de que supongan un coste elevado en tiempo y dinero debido a un fallo.
Además de la propia tecnología, hay cuatro apartados que van a permitir llevar a cabo la convergencia de estos dos mundos:
- Apoyo de la dirección: Ningún departamento tiene tanta fuerza como el presidente y el grupo de directivos al mando. Si desde este grupo parte la iniciativa y el apoyo necesario, la convergencia será un éxito.
- Planificación: El proceso de convergencia no será fácil, y posiblemente se alargue demasiado en el tiempo. Esto significa que debe seguir unos pasos definidos, pero lo suficientemente flexibles como para poder adaptarse a los cambios normativos y operacionales que surjan durante el proyecto.
- Pruebas: La convergencia implica la aplicación de muchos cambios y actualizaciones sobre los sistemas TO, y lo más importante, que van a empezar a ser una constante. Para conseguirlo será necesario realizar las pruebas necesarias para determinar los problemas que puede suponer cada modificación.
- Educación: La falta de entendimiento, y también de conocimiento, entre TI y TO ha de suplirse mediante la integración de personal con conocimientos actuales y tradicionales, así como la realización de formaciones cruzadas entre el personal de TI y TO para poner en común y detallar sus respectivas tareas.
Cómo afecta a la seguridad la convergencia
La convergencia de TI y TO va a aportar a los sistemas industriales toda la potencia desarrollada para los sistemas empresariales. El mayor beneficio para la seguridad va a venir dado por la monitorización, ya que la continua expansión del protocolo Ethernet va a permitir controlar mejor los flujos de tráfico, permitiendo la implantación de cortafuegos, IDS u otros dispositivos para segmentar y asegurar la red.
La política de parches acabará con los equipos desactualizados y los sistemas operativos obsoletos. Esto supondrá un gran esfuerzo para los fabricantes y desarrolladores, que tendrán que validar rápidamente los parches de seguridad publicados relativos al sistema operativo, así como publicar ellos mismos parches que corrijan fallos de seguridad de sus soluciones.
La incorporación de otras técnicas de TI como auditorías y consultorías también ayudará a elevar el nivel de seguridad de los sistemas de control, sobre todo por su periodicidad, aunque hoy en día ya se están llevando a cabo en algunos ámbitos.
La convergencia de TI y TO es un proceso que ya se ha iniciado. Cuanto antes lo asuman las empresas y pongan esfuerzos para llevarlo a cabo de forma satisfactoria mejor posicionadas estarán de cara al futuro. Las dificultades para conseguirlo serán muchas, pero las ventajas finales compensarán el esfuerzo necesario.
