CIP-005-6 pide encerrar los sistemas cibernéticos de impacto alto y medio dentro de un perímetro electrónico de seguridad con puntos de acceso identificados, permitir solo el tráfico con motivo documentado y negar todo lo demás. Para el acceso remoto interactivo exige un sistema intermedio, cifrado que termine en él y doble factor de autenticación, y para los proveedores, saber qué sesiones están activas y poder cortarlas.
Qué problema resuelve CIP-005
Un sistema de control puede estar bien configurado y aun así quedar expuesto por la red que lo rodea. CIP-005 define dónde está el borde de la red de control y cómo se cruza. Lo hace en dos requisitos: el perímetro (R1) y el acceso remoto (R2). Esta guía describe la versión CIP-005-6. El marco general está en NERC CIP: qué exige y qué se puede tomar en Colombia.
R1: el perímetro electrónico de seguridad
Aplica a los sistemas de impacto alto y de impacto medio, según la clasificación de CIP-002, y a los activos protegidos asociados.
| Parte | Qué pide |
|---|---|
| 1.1 | Todo activo conectado a una red por un protocolo enrutable vive dentro de un perímetro (ESP) definido |
| 1.2 | Toda conexión enrutable hacia el exterior pasa por un punto de acceso electrónico (EAP) identificado |
| 1.3 | Permisos de entrada y de salida con su motivo documentado, y denegar todo lo demás por defecto |
| 1.4 | Si hay acceso por línea telefónica (dial-up), autenticar al establecer la conexión, donde sea técnicamente posible |
| 1.5 | Métodos para detectar comunicaciones maliciosas conocidas o sospechosas, de entrada y de salida |
Dos precisiones sobre alcance. La parte 1.2 se refiere a los sistemas con conectividad enrutable externa. La parte 1.5 aplica a los puntos de acceso de impacto alto y, en impacto medio, a los de centros de control.
Qué evidencia se espera
La norma da ejemplos de evidencia. Para la 1.1, una lista de los perímetros con cada activo identificado. Para la 1.2, diagramas de red que muestren todas las rutas enrutables hacia el exterior y sus puntos de acceso. Para la 1.3, la lista de reglas del firewall o de las listas de control de acceso, con una razón escrita para cada regla. Para la 1.5, documentación de que el método de detección, como un sistema de detección de intrusos o un firewall de capa de aplicación, está implementado.
En términos prácticos: un firewall con reglas «permitir todo» o con reglas sin dueño ni motivo no cumple 1.3, aunque filtre.
R2: gestión del acceso remoto
Aplica a impacto alto y a impacto medio con conectividad enrutable externa. El acceso remoto interactivo es el que hace una persona desde fuera del perímetro con un teclado y una pantalla.
| Parte | Qué pide |
|---|---|
| 2.1 | Usar un sistema intermedio: el equipo desde el que se conecta la persona no accede directo al activo |
| 2.2 | Cifrar la sesión, y que el cifrado termine en el sistema intermedio |
| 2.3 | Exigir autenticación de múltiples factores |
| 2.4 | Tener métodos para determinar las sesiones remotas activas de proveedores, de persona y de sistema a sistema |
| 2.5 | Tener métodos para desactivar esas sesiones activas de proveedores |
El sistema intermedio actúa como representante de la persona remota. Hacia el perímetro solo hace falta permitir el protocolo que controla ese servidor, no todos los que el usuario necesitaría para llegar a cada activo. Por eso las reglas del firewall pueden ser mucho más restrictivas, y el activo queda protegido de las vulnerabilidades del computador remoto. La configuración base y la gestión de cambios y vulnerabilidades que pide CIP-010 están en NERC CIP-010: gestión de cambios y vulnerabilidades.
La norma pone ejemplos de factores: algo que la persona sabe (contraseña o PIN, sin contar el nombre de usuario), algo que tiene (token, certificado digital o tarjeta) o algo que es (huella o iris).
Acceso de proveedores: ver y cortar
Las partes 2.4 y 2.5 existen porque los proveedores suelen tener acceso a equipos en servicio. La norma da ejemplos de cómo cumplir:
- Ver sesiones activas: revisar registros, tablas de conexiones o contadores de reglas del firewall, puertos abiertos o actividad de usuarios; o controlar que el proveedor no inicie solo, por ejemplo llamando para pedir el segundo factor.
- Cortar sesiones: desactivar el acceso del proveedor en el punto de acceso electrónico, para conexiones entre sistemas, o en el sistema intermedio, para sesiones de personas.
Cómo se ve esto en una subestación
Un diseño típico de subestación con enlace al centro de control tiene un firewall en el borde de la red de subestación, que es el EAP. Dentro quedan los switches, las RTU, los gateways y los IED. El mantenimiento remoto entra por un servidor de salto que hace de sistema intermedio. Los detalles de diseño están en segmentación de redes OT: zonas y conductos, router y firewall industrial y acceso remoto seguro a subestaciones.
Lo que suele fallar
- Reglas heredadas de puestas en servicio anteriores, sin motivo registrado.
- Servicios de mantenimiento de proveedores que entran por un módem o un enlace móvil fuera del firewall.
- Cuentas compartidas que impiden saber quién abrió la sesión.
- Diagramas de red que no coinciden con lo instalado.
Revisamos el perímetro de su subestación
En Tiza Group configuramos firewalls, switches y gateways de subestaciones e industria con reglas mínimas documentadas, y ordenamos el acceso remoto con sistema intermedio y doble factor, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. También configuramos relés a distancia con acceso controlado: configuración remota de relés.
Guías relacionadas
- NERC CIP-002: categorización de sistemas cibernéticos
- NERC CIP: qué exige y qué se puede tomar en Colombia
- Segmentación de redes OT: zonas y conductos
- Router y firewall industrial
- Acceso remoto seguro a subestaciones
- Detección de intrusos (IDS) en redes de subestación
- NERC CIP-010: gestión de cambios y vulnerabilidades
Referencias
- NERC, CIP-005-6, Cyber Security – Electronic Security Perimeter(s): requisitos R1 y R2.
Preguntas frecuentes
¿Qué es un perímetro electrónico de seguridad (ESP)?
Es el límite lógico de la red que protege los sistemas cibernéticos cubiertos por CIP. Todo activo conectado por un protocolo enrutable debe estar dentro de un ESP definido, y toda comunicación enrutable hacia afuera debe pasar por un punto de acceso electrónico identificado, normalmente un firewall.
¿Por qué no basta una VPN para el acceso remoto?
CIP-005-6 pide que la persona que se conecta no llegue directo al activo: debe pasar por un sistema intermedio, el cifrado debe terminar en ese sistema y la sesión debe exigir doble factor. Una VPN que lleva al usuario directo a la red de control no cumple ese diseño.
¿Qué debe poder hacer una entidad con el acceso remoto de un proveedor?
Dos cosas: determinar qué sesiones remotas de proveedores están activas y poder desactivarlas. Aplica tanto a sesiones de una persona como a conexiones entre sistemas. Son las partes 2.4 y 2.5 de la norma.