NIS2 y manufactura: gestion de activos en entornos industriales

En junio de 2017, el malware NotPetya se propago por las redes de Maersk, Mondelez, Merck y docenas de multinacionales. Maersk perdio 300 millones de dolares y tuvo que reinstalar 45.000 PCs y 4.000 servidores. Mondelez estimo perdidas de 188 millones. El ataque entro por una actualizacion comprometida de un software de contabilidad ucraniano instalado en una estacion de trabajo que nadie monitorizaba.

La manufactura es el sector mas atacado por ransomware en Europa. Y NIS2 ya obliga a actuar.

Por que NIS2 afecta a la manufactura

NIS2 clasifica la fabricacion de productos criticos como entidad importante (Anexo II). Esto incluye fabricantes de dispositivos medicos, productos electronicos, equipos de transporte, maquinaria y productos quimicos.

• Gestion de activos obligatoria: identificar y clasificar todos los activos IT y OT conectados
• Gestion de incidentes: con vinculacion directa a los activos afectados
• Seguridad de la cadena de suministro: control sobre componentes y software de terceros integrados en la produccion
• Multas de hasta 7 millones de euros o el 1,4% de la facturacion para entidades importantes

Incidentes reales en manufactura

• Norsk Hydro (Noruega), 2019: El gigante del aluminio sufrio un ataque LockerGoga que paralizo la produccion en 40 paises. Coste estimado: 71 millones de dolares. Las plantas tuvieron que operar en modo manual durante semanas porque los sistemas de control estaban cifrados.
• Toyota (Japon), 2022: Un ataque a un proveedor de componentes plasticos obligo a Toyota a detener la produccion en 14 fabricas durante un dia completo, afectando a 13.000 vehiculos. Un solo eslabon de la cadena de suministro paralizo toda la operacion.
• Industria de semiconductores, 2018-2023: Multiples fabricantes de chips (TSMC, Applied Materials) han sufrido ataques que interrumpieron lineas de produccion. En entornos de sala limpia, una parada no planificada puede destruir lotes enteros de produccion valorados en millones.

Por que el control exhaustivo de activos es imprescindible

• La convergencia IT/OT es ya una realidad. Los PLCs y sistemas SCADA de planta ya estan conectados a la red corporativa para enviar datos de produccion. Cada punto de conexion es un vector de ataque potencial que necesita estar inventariado.
• Los entornos industriales tienen activos heterogeneos. Conviven PLCs de distintos fabricantes, sensores IoT, estaciones de trabajo Windows, tablets de operario y robots industriales. Sin un inventario unificado, la visibilidad es parcial.
• Los dispositivos OT no toleran paradas de actualizacion. Una linea de produccion 24/7 no puede pararse para parchear un PLC. Necesitas saber exactamente que versiones de firmware tienes para planificar ventanas de mantenimiento.
• La cadena de suministro multiplica los activos. Dispositivos de proveedores conectados a tu red para mantenimiento remoto, software embebido de terceros, componentes con firmware propietario — todo necesita estar documentado.

Que necesitas controlar

• PLCs y controladores industriales: Siemens, Allen-Bradley, Schneider — cada uno con su version de firmware y configuracion
• Sistemas SCADA/HMI: Pantallas de operador, servidores de supervision, historizacion de datos
• Sensores y actuadores IoT: Sensores de temperatura, vibracion, presion, camaras de inspeccion
• Estaciones de trabajo de ingenieria: PCs con software de programacion de PLCs, acceso a redes OT
• Robots y sistemas automatizados: Brazos roboticos, AGVs, sistemas de vision artificial
• Infraestructura de red industrial: Switches gestionados, firewalls de zona, puntos de acceso inalambrico industriales

Metrica Control unifica el inventario IT y OT en una sola plataforma. Registra cada PLC, cada sensor y cada estacion de trabajo con su ubicacion en planta, version de firmware, responsable y historial de incidencias. Todo listo para la auditoria NIS2.