¿Qué ha ocurrido?
En un artículo de opinión para la revista Protector, Uwe Greunke, responsable del segmento de negocio KRITIS en Rohde & Schwarz Networks and Cybersecurity, describe cinco reglas para la integración segura de la tecnología de seguridad en redes de TI. El artículo se dirige especialmente a los operadores de infraestructuras críticas (KRITIS), en los que sistemas de seguridad como cámaras de videovigilancia, controles de acceso, mecanismos de cierre o tecnología de alarma y notificación son cada vez más parte de la arquitectura de red de TI.
Idea central: cuando los sistemas de seguridad se integran en redes de TI, deben cooperar de manera eficiente, sin que ello reduzca o anule el nivel de protección real.
Los detalles
Según el artículo, los sistemas de tecnología de seguridad en los ámbitos KRITIS y OT están sujetos a la normativa de la Ley Marco KRITIS, la Ley de la BSI (Oficina Federal Alemana de Seguridad de la Información), así como a otros estándares relevantes como el BSI IT-Grundschutz y la norma IEC 62443. De ello, Greunke deriva la necesidad de estructurar la interconexión de estos sistemas conforme a un concepto de seguridad y zonificación claramente definido y vinculante. Se presta especial atención a las vías de comunicación entre las instalaciones de tecnología de seguridad, los centros de control, los sistemas de gestión y las redes de TI vecinas, que deben estar estrictamente reguladas.
El artículo enumera cinco reglas concretas:
- Crear zonas claramente definidas: los sistemas de cámaras, sensores y componentes de acceso deberían operarse en áreas lógica o físicamente separadas. Los sistemas de cámaras, por ejemplo, solo deberían interactuar con sistemas asociados como el NVR (grabador de video en red) o el VMS (sistema de gestión de video). Los firewalls o gateways de segmento supervisan y protegen las transiciones entre las zonas.
- Separar la TI de oficina y las redes externas: los sistemas de seguridad deberían funcionar, por principio, fuera de la TI corporativa clásica. Las transiciones se realizan a través de puntos definidos, como zonas DMZ o NAT, que permiten un uso controlado de servicios como Active Directory, DNS o PKI sin poner en peligro los segmentos de seguridad.
- Garantizar un funcionamiento resiliente y autónomo: una red de seguridad OT debe seguir siendo funcional de forma autónoma incluso en caso de fallos en la TI circundante, caídas de la WAN o amenazas externas. Mecanismos como sondas de red, watchdogs de cámaras o reinicios basados en PoE pueden solucionar automáticamente los fallos típicos.
- Cifrar y supervisar las vías de comunicación: los datos de video, alarma y control deben transmitirse de forma cifrada. Se mencionan las VPN (de cliente a sitio o de sitio a sitio) para los accesos de mantenimiento y las conexiones de ubicaciones, así como los proxys inversos con cifrado TLS de extremo a extremo frente a ataques de intermediario (man-in-the-middle).
- Garantizar la modularidad y la capacidad de ampliación: las nuevas cámaras IP o puntos de acceso deben poder integrarse sin necesidad de modificaciones sustanciales en la arquitectura existente. Las arquitecturas basadas en zonas permiten incorporar nuevas ubicaciones como segmentos independientes, sin alterar las áreas ya existentes.
Contextualización
El artículo deja claro que la tecnología de seguridad en entornos KRITIS ya no puede considerarse de forma aislada, sino que forma parte integral de la estructura de red de TI. Esto significa que los responsables de tecnología de seguridad y de TI deben colaborar más estrechamente que hasta ahora. Según Greunke, las conexiones históricamente crecidas o no controladas entre sistemas de seguridad y otras redes entran en conflicto con los requisitos regulatorios y también resultan problemáticas en términos de trazabilidad y capacidad de auditoría.
Para los operadores de infraestructuras críticas —por ejemplo, en el ámbito del control de acceso, la videovigilancia o la tecnología de alarma— esto supone una clara presión regulatoria para actuar: quien integre cámaras, sistemas de acceso o tecnología de alarma en infraestructuras de TI existentes debe hacerlo conforme a un concepto documentado de zonificación y seguridad que cumpla con las normas y leyes mencionadas.
Consejos prácticos
- Operar los sistemas de tecnología de seguridad (cámaras, control de acceso, tecnología de alarma) en zonas de red propias y claramente delimitadas, sin mezclarlos de forma indiferenciada con la TI de oficina.
- Canalizar las transiciones entre las zonas de seguridad y la TI corporativa exclusivamente a través de puntos definidos, como zonas DMZ o NAT, y supervisarlas técnicamente.
- Prever mecanismos de supervisión automatizados, como watchdogs de cámaras o reinicios basados en PoE, para garantizar la disponibilidad incluso sin intervención manual.
- Cifrar sistemáticamente las vías de comunicación —por ejemplo, mediante conexiones VPN y cifrado TLS de extremo a extremo— para evitar manipulaciones e intentos de interceptación.
- Apostar desde el inicio, al planificar nuevos componentes de instalación, por arquitecturas modulares y basadas en zonas, de modo que las ampliaciones posteriores sean posibles sin intervenir en los segmentos existentes.
Perspectivas
Ante el marco regulatorio mencionado en el artículo —la Ley Marco KRITIS, la Ley de la BSI, el BSI IT-Grundschutz y la norma IEC 62443—, es previsible que aumente aún más la presión sobre los operadores de infraestructuras críticas para configurar sus redes de tecnología de seguridad de forma conforme a las normas y auditable. La conclusión de Greunke lo resume con claridad: solo una red soberana, conforme a las normas y auditable sienta las bases para operar los sistemas de tecnología de seguridad de manera reglamentaria y estructurada. Para planificadores, instaladores y operadores de tecnología de seguridad, esto implica que la arquitectura de red de TI debe considerarse en adelante como un componente fijo de todo concepto de seguridad, desde la planificación de zonas hasta el cifrado de las vías de comunicación.
