West Burton Energy

Los procesos propensos a errores llevaron al equipo de InfoSec a buscar una mejor alternativa

West Burton Energy es una planta de turbina de gas de ciclo combinado (CCGT) avanzada y eficiente que ayuda a garantizar el suministro eléctrico en el Reino Unido. Cuenta con una planta de almacenamiento de energía en baterías de 49 MW que suministra 1333 MW de energía a la red nacional, suficiente para abastecer a 1,5 millones de hogares y empresas.

En 2021, West Burton se escindió de EDF Energy, lo que dejó a un equipo de seguridad de apenas tres miembros a cargo de proteger todo su entorno de OT con un producto que que emitía demasiadas notificaciones de amenazas y falsos positivos. Además, tenían que gestionar los cambios de ingeniería en el entorno de OT, nuevos proyectos y el retiro de servicio de sistemas antiguos, por lo que el equipo asumía una carga de trabajo considerable.

Tratar con los fabricantes de equipos originales (OEM) era especialmente complicado. El equipo de InfoSec dependía del conocimiento de los ingenieros de planta y de diversos OEM para dar seguimiento a los activos, lo que implicaba un proceso laborioso y propenso a errores, basado en hojas de cálculo.

"Entre esperar a que los OEM realizaran el mantenimiento preventivo y los parches, y con informes de estado que se retrasaban días o incluso semanas, pasábamos varias horas a la semana gestionando listas de activos únicamente", señala Keyworth.

"Dependíamos de que el OEM emitiera cartas de asesoría técnica y alertas para informarnos sobre las CVE que pudieran ser pertinentes para un activo específico", agrega James Cartwright, Ingeniero de Comercial e Industrial. "No era raro que pasáramos varias horas investigando el problema solo para descubrir que ni siquiera teníamos el equipo en cuestión".

Mantener informada al área corporativa sobre las vulnerabilidades de OT, los estados de corrección y el riesgo cibernético general también es fundamental, pero en el pasado no siempre era sencillo presentarlo de forma oportuna y accesible.

"Era difícil para nosotros transferir datos de forma segura y confiable desde el entorno de OT y mostrarlos con claridad para los usuarios corporativos de TI", comenta Cartwright.

A fin de superar estos desafíos y reforzar su resiliencia cibernética, West Burton buscaba cumplir con varios requisitos importantes, entre ellos, los siguientes:

• La visibilidad de los activos de OT en la red de OT sin afectar el tiempo productivo ni la disponibilidad.
• Un inventario de activos centralizado para dejar atrás un proceso manual lento, sin interrumpir el funcionamiento de los sistemas modernos ni de los tradicionales.
• La capacidad de demostrar el cumplimiento ante los organismos reguladores con confianza.
• Unas estrategias claras de corrección y mitigación para cumplir con el nivel de riesgo aceptable de la empresa.
• El uso de la base de datos de vulnerabilidades de OT más actualizada para reducir los falsos positivos.

Fue entonces cuando Keyworth y su equipo se propusieron encontrar una nueva solución para proteger su entorno de OT y garantizar que los directivos tuvieran una comprensión completa de la complejidad de la planta y los riesgos asociados.

Tenable OT Security: diseñada específicamente para proteger entornos industriales de TI/OT convergentes sin afectar la productividad

Tenable OT Security brinda visibilidad, seguridad y control a entornos industriales, infraestructura crítica y otros sectores, lo que ayuda a que las organizaciones mantengan su productividad, cumplan con los requisitos de conformidad y se protejan de los ciberataques.

Mediante un abordaje patentado de detección híbrida que permite obtener visibilidad de forma segura hacia dispositivos y sistemas ciberfísicos sin causar interrupciones, Tenable OT Security ofrece un inventario de activos completo junto con un conocimiento situacional profundo en todas las ubicaciones globales. Todo, en una única interfaz.

Tenable OT Security permite que las organizaciones prioricen acciones y hace posible que los equipos de seguridad de TI y OT trabajen mejor juntos.

El equipo de la planta gestiona las correcciones y entrega datos procesables al área corporativa

Tenable OT Security se implementó inicialmente en 2022. Keyworth y Cartwright obtuvieron visibilidad y control completos hacia las operaciones de la planta West Burton B, la cual incluye innumerables activos que pueden tener múltiples OEM encargados del mantenimiento de una gran cantidad de equipos.

"Usamos Tenable OT Security para identificar vulnerabilidades y preservar una lista de activos completa, lo que a veces pone de manifiesto problemas que nuestros OEM desconocen o para los que ya no ofrecen soporte", afirma Keyworth. "Luego, como parte de nuestro flujo de trabajo, importamos todo a Tenable Security Center para su puntuación y priorización, además de dar seguimiento a cómo reducimos las vulnerabilidades activo por activo en la medida en que las corregimos".

Al enfrentarse a una situación en que una vulnerabilidad simplemente no se puede corregir, tal como en un equipo de OT tradicional que ya no cuenta con soporte, el equipo utiliza Tenable para evaluar el nivel aceptable de riesgo. Posteriormente, puede implementar medidas para evitar el acceso a esos sistemas y mantener informados a los directivos.

"Con Tenable OT Security, los datos están a la vista", afirma Cartwright. "Las vulnerabilidades se envían a un sistema de alertas y, si instalamos un dispositivo nuevo, la lista de activos se actualiza de forma automatizada".

"El área corporativa tiene los datos que quiere, entiende de dónde provienen y, lo más importante, sabe lo que significan", agrega Keyworth.

El equipo de InfoSec optimiza la seguridad de OT, ahorra tiempo y optimiza el cumplimiento

La mayoría de las organizaciones consideran cualquier oportunidad de aumentar la eficiencia como una victoria, pero para un equipo pequeño y sobrecargado de trabajo, las mejoras en los procesos y el ahorro de tiempo son aún más significativos. En realidad, hoy en día, West Burton dedica más tiempo que nunca a la gestión de vulnerabilidades, y eso es algo muy positivo.

Antes de implementar Tenable, el equipo de InfoSec no tenía un panorama completo de los activos vulnerables y, frecuentemente, esperaba meses a que un OEM emitiera alertas y cartas de asesoría técnica para informarle sobre CVE que pudieran ser pertinentes para un activo específico. Es más, no era raro que el equipo pasara horas investigando un problema solo para descubrir que ni siquiera tenían el equipo en cuestión.

"Al usar Tenable OT Security, podemos identificar vulnerabilidades en las primeras etapas del proceso, revisar la documentación de CVE publicada e implementar la corrección y las restricciones de seguridad sin esperar a los OEM", afirma Keyworth. "No solo podemos cuestionar la orientación de los OEM desde una postura fundamentada, sino que aprovechamos las más de 200 horas al año que ahorramos por eliminar la gestión manual de activos y las dedicamos a nuestros esfuerzos críticos de gestión de vulnerabilidades”.

West Burton utiliza Tenable Nessus, integrado en Tenable OT Security, en uno de sus entornos de OT para escanear servidores Windows, switches de red y otros equipos de TI. El simple hecho de iniciar un escaneo en todo el entorno de Windows ayuda a que el equipo descubra, por ejemplo, vulnerabilidades provenientes de la versión más reciente de los OEM o de una versión de software desactualizada.

"Desde los parches hasta los programas y todo lo instalado en una máquina, Tenable Nessus halla vulnerabilidades que el OEM probablemente nunca haya pensado en buscar", afirma Keyworth. "Tenable se ganó nuestra confianza para integrar Tenable Nessus en nuestro entorno de OT. Desde la perspectiva de la gestión de vulnerabilidades, pudimos lograr mucho más con él".

"Tenable OT Security, junto con el escáner Tenable Nessus, proporcionan datos mucho más detallados que los que teníamos antes", agrega Cartwright. "Nos permite utilizar Active Query para comunicarnos con activos de OT y TI y detectarlos, todo en una única solución, lo que elimina los costos adicionales y ahorra tiempo. Le habría ahorrado a nuestro equipo muchas horas de trabajo cuando ocurrió Log4j".

Que haya menos falsos positivos también proporciona más libertad al equipo. La herramienta pasiva que estaba implementada antes de la separación corporativa alertaba sobre más de 500 posibles vulnerabilidades al día: unas 182 000 al año. Hoy en día, esa cifra se sitúa en solo 50 al día.

"Con Tenable OT Security ajustado y entrenado para prevenir falsos positivos, redujimos la cantidad de eventos informados en un 98 %, lo que genera un ahorro de tiempo enorme", afirma Keyworth. "Lo que antes necesitábamos dos días a la semana para gestionar ahora solo toma unas pocas horas, y mejoramos la eficiencia en un 87%".

"Tenable OT Security hace muchas cosas, pero no es una solución de 'instalar y despreocuparse', ni debería serlo", agrega Cartwright. "Hay que invertir tiempo y esfuerzo para configurar el producto y entender qué es lo 'normal' en cada red, porque ahí es donde se obtiene el verdadero valor para el negocio”.

Keyworth coincide. "¿Cómo se puede ver el bosque más allá de los árboles si no se adapta la solución para comprender cada entorno de OT en particular? Creo que muchas personas compran estos equipos, los instalan y satisfacen muchos requisitos desde la perspectiva del cumplimiento, pero los resultados que obtienen no valen nada".

Hablando de cumplimiento, West Burton y los auditores confían en los resultados informados por Tenable OT Security en comparación con los procesos manuales. Keyworth explica que el ritmo acelerado del entorno de OT y TI ya no permite que las hojas de cálculo y los registros escritos a mano sean una fuente de verdad viable.

"Sería muy difícil demostrar el cumplimiento sin una herramienta como Tenable OT Security. El ahorro de tiempo es prácticamente incalculable", afirma Keyworth. "Les da a los auditores la seguridad de que se está haciendo lo correcto. Desde la lista de activos hasta la puntuación del riesgo, Tenable hace que todo lo relacionado con el cumplimiento sea mucho más sencillo".

West Burton valora una cultura de respeto y trabajo en equipo

La decisión de West Burton de implementar Tenable OT Security se debió tanto al equipo de Tenable como a la tecnología. Tener confianza en el soporte y la capacidad de respuesta a largo plazo fue el factor diferenciador.

"Evaluamos varios productos, pero desde el principio quedó claro que Tenable valora nuestras experiencias, comprende hacia dónde queremos ir y, lo que es igual de importante, valora nuestros comentarios sobre cómo mejorar el producto aún más", afirma Keyworth. "Frecuentemente, los proveedores concretan una venta y se desentienden, pero desde el primer día estuvimos en contacto con un equipo de ingeniería e I+D con un profundo conocimiento y un interés genuino en ayudarnos a alcanzar y superar nuestros objetivos".