West Burton Energy

Los procesos propensos a errores llevaron al equipo de InfoSec a buscar una mejor alternativa

Manteniendo el suministro eléctrico en el Reino Unido, West Burton Energy es una planta de turbina de gas de ciclo combinado (CCGT) avanzada y eficiente, y una instalación de almacenamiento de energía en baterías de 49 MW que suministra 1,333 MW de energía a la National Grid; electricidad suficiente para abastecer a 1.5 millones de hogares y empresas.

En 2021, West Burton se escindió de EDF Energy, lo que dejó a un equipo de seguridad de tres miembros a cargo de proteger todo su entorno de OT con un producto que alertaba sobre demasiadas notificaciones de amenazas por falsos positivos. Tenían que gestionar los cambios de ingeniería en el entorno de OT, nuevos proyectos y el retiro de servicio de sistemas antiguos, lo que dejaba al equipo con una carga de trabajo considerable.

Tratar con los fabricantes de equipos originales (OEM) era especialmente complicado. El equipo de InfoSec dependía del conocimiento de los ingenieros de la planta y de varios fabricantes de equipo original (OEM) para rastrear los activos, lo que implicaba un proceso laborioso, propenso a errores y basado en hojas de cálculo.

“Entre esperar a que los OEM realizaran el mantenimiento preventivo y los parches, y con reportes de estado que se retrasaban días o incluso semanas, pasábamos varias horas a la semana solo administrando listas de activos”, señala Keyworth.

“Dependíamos de que el OEM emitiera cartas de asesoría técnica y alertas para informarnos sobre las CVE que pudieran ser relevantes para un activo específico”, agrega James Cartwright, ingeniero de C&I. “No era raro que pasáramos varias horas investigando el problema solo para descubrir que ni siquiera teníamos el equipo en cuestión”.

Mantener informada a la dirección sobre las vulnerabilidades de OT, los estados de remediación y el riesgo cibernético general también es fundamental, pero en el pasado no siempre era fácil presentarlo de una manera oportuna y accesible.

“Nos costaba trabajo transferir datos de forma segura y confiable desde el entorno de OT y mostrarlos a los usuarios de TI corporativa de una manera comprensible”, comenta Cartwright.

Para superar estos desafíos y reforzar su resiliencia cibernética, West Burton buscaba cumplir con varios requisitos importantes, entre ellos:

• Visibilidad de los activos de OT en la red de OT sin afectar el tiempo de actividad ni la disponibilidad
• Un inventario de activos centralizado para dejar atrás un proceso manual lento, sin interrumpir el funcionamiento de los sistemas modernos y heredados
• Capacidad para demostrar el cumplimiento normativo ante los reguladores con confianza
• Estrategias claras de remediación y mitigación para apegarse al nivel de riesgo aceptable de la empresa
• Uso de la base de datos de vulnerabilidades de OT más actualizada para reducir los falsos positivos

Fue entonces cuando Keyworth y el equipo se propusieron encontrar una nueva solución para proteger su entorno de OT y garantizar que el equipo de liderazgo tuviera una comprensión completa de la complejidad de la planta y los riesgos asociados.

Tenable OT Security: diseñado específicamente para proteger entornos industriales convergentes de TI/OT sin interrumpir la productividad

Tenable OT Security brinda visibilidad, seguridad y control a entornos industriales, infraestructura crítica y más, lo que ayuda a las organizaciones a mantener la productividad, cumplir con los requisitos de conformidad y protegerse de los ciberataques.

Mediante un enfoque patentado de descubrimiento híbrido para obtener visibilidad de forma segura en dispositivos y sistemas ciberfísicos sin causar interrupciones, Tenable OT Security ofrece un inventario de activos completo junto con un conocimiento situacional profundo en todos los sitios globales, todo en una sola interfaz.

Tenable OT Security permite a las organizaciones priorizar acciones y hace posible que sus equipos de seguridad de TI y OT trabajen mejor juntos.

El equipo de la planta gestiona las correcciones y entrega datos procesables al área corporativa

Tenable OT Security se implementó inicialmente en 2022, brindando a Keyworth y Cartwright visibilidad y control completos sobre las operaciones de West Burton B, que incluyen innumerables activos que pueden o no contar con el soporte de los múltiples OEM encargados de mantener la gran cantidad de equipos de la planta.

“Usamos Tenable OT Security para identificar vulnerabilidades y mantener una lista completa de activos, lo que a veces saca a la luz problemas que nuestros OEM desconocen o para los que ya no ofrecen soporte”, afirma Keyworth. “Luego, como parte de nuestro flujo de trabajo, importamos todo a Tenable Security Center para la puntuación, priorización y para realizar un seguimiento de cómo vamos reduciendo las vulnerabilidades activo por activo a medida que las remediamos”.

Al enfrentarse a una situación en la que una vulnerabilidad simplemente no se puede remediar, como en un equipo de OT heredado que ya no cuenta con soporte, el equipo utiliza Tenable para evaluar el nivel aceptable de riesgo. El equipo puede entonces implementar medidas para evitar el acceso a esos sistemas y mantener informada a la dirección.

“Con Tenable OT Security, los datos están visibles en la pared”, afirma Cartwright. “Las vulnerabilidades se envían a un sistema de alertas y, si instalamos un dispositivo nuevo, la lista de activos se actualiza de forma automatizada”.

“La oficina corporativa tiene los datos que quiere, entiende de dónde provienen y, lo más importante, sabe lo que significan”, agrega Keyworth.

El equipo de InfoSec optimiza la seguridad de OT, ahorra tiempo y agiliza el cumplimiento

La mayoría de las organizaciones consideran cualquier oportunidad de aumentar la eficiencia como una victoria, pero para un equipo pequeño y sobrecargado de trabajo, las mejoras en los procesos y el ahorro de tiempo significan aún más. Hoy en día, West Burton en realidad dedica más tiempo que nunca a la gestión de vulnerabilidades. Y eso es algo muy positivo.

Antes de implementar Tenable, el equipo de InfoSec no tenía un panorama completo de lo que era vulnerable y a menudo esperaba meses a que un OEM emitiera cartas de asesoramiento técnico y alertas para informarle sobre CVE que pudieran ser relevantes para un activo específico. Es más, no era raro que el equipo pasara horas investigando un problema solo para descubrir que ni siquiera tenían el equipo en cuestión.

“Al usar Tenable OT Security podemos identificar vulnerabilidades en las primeras etapas del proceso, revisar la documentación de CVE publicada e implementar la corrección y las restricciones de seguridad sin esperar a los OEM”, afirma Keyworth. “No solo podemos cuestionar las directrices de los OEM desde una postura informada, sino que hemos aprovechado las más de 200 horas al año ahorradas al eliminar la gestión manual de activos y las hemos dedicado a nuestros esfuerzos críticos de gestión de vulnerabilidades”.

West Burton utiliza Tenable Nessus, integrado en Tenable OT Security, en uno de sus entornos de OT para escanear servidores Windows, switches de red y otros equipos de TI. El simple hecho de iniciar un escaneo en todo el entorno de Windows ayuda al equipo a descubrir vulnerabilidades provenientes, por ejemplo, del impacto del lanzamiento más reciente de un OEM o de una versión de software desactualizada.

“Desde el nivel de parches hasta los programas y todo lo instalado en una máquina, Tenable Nessus destaca vulnerabilidades que el OEM probablemente nunca pensó en buscar”, afirma Keyworth. “Tenable se ha ganado nuestra confianza para integrar Tenable Nessus en nuestro entorno de OT. Desde una perspectiva de gestión de vulnerabilidades, esto nos sitúa muy por encima de lo que habríamos podido lograr sin él”.

“Tenable OT Security junto con el escáner Tenable Nessus proporciona datos mucho más enriquecidos que los que teníamos antes”, agrega Cartwright. “Nos permite utilizar Active Query para comunicarnos con activos de OT y descubrirlos, así como también activos de TI, todo en una sola solución, lo que elimina costos adicionales y ahorra tiempo. Le habría ahorrado a nuestro equipo muchas horas de esfuerzo durante Log4j”.

Menos falsos positivos también proporcionan una nueva libertad para el equipo. La herramienta pasiva que estaba implementada antes de la separación corporativa alertaba sobre más de 500 posibles vulnerabilidades al día: unas 182,000 al año. Hoy en día, esa cifra se sitúa en solo 50 al día.

“Con Tenable OT Security ajustado y entrenado para prevenir falsos positivos, hemos reducido la cantidad de eventos reportados en un 98 %, lo que se traduce en un tremendo ahorro de tiempo”, afirma Keyworth. “Lo que antes tomaba dos días a la semana administrar ahora solo toma unas pocas horas, y hemos mejorado la eficiencia en un 87 %”.

“Tenable OT Security hace mucho, pero no es una solución de ‘instalar y olvidar’, ni debería serlo”, añade Cartwright. “Hay que invertir el tiempo y el esfuerzo para configurar el producto a fin de entender cómo luce lo ‘normal’ en su red, porque ahí es donde obtendrá un verdadero valor de negocio”.

Keyworth coincide. “¿Cómo puede ver el bosque más allá de los árboles si no acondiciona la solución para entender su entorno de OT? Creo que muchas personas compran estos equipos, los instalan y cumplen con muchos requisitos desde la perspectiva del cumplimiento, pero los resultados obtenidos no valen ni el papel digital en el que están escritos”.

Hablando de cumplimiento, West Burton y los auditores confían en los resultados reportados por Tenable OT Security frente a los procesos manuales. Keyworth explica que el ritmo acelerado del entorno de OT y TI ya no permite que las hojas de cálculo y los registros escritos a mano sean una fuente de verdad viable.

“Sería muy difícil demostrar el cumplimiento sin una herramienta como Tenable OT Security. El ahorro de tiempo es prácticamente incalculable”, afirma Keyworth. “Les da a los auditores un nivel de seguridad de que se están haciendo las cosas correctas. Desde la lista de activos hasta la puntuación de riesgo, Tenable hace que todo el tema del cumplimiento sea mucho más fácil”.

West Burton valora una cultura de trabajo en equipo y respeto

La decisión de West Burton de implementar Tenable OT Security se debió tanto al equipo de Tenable como a la tecnología. Tener confianza en el soporte y la capacidad de respuesta a largo plazo fue el factor diferenciador.

“Evaluamos varios productos, pero desde el principio quedó claro que Tenable valora nuestras experiencias, comprende hacia dónde queremos ir y, lo que es igual de importante, valora nuestros comentarios sobre cómo mejorar aún más el producto”, afirma Keyworth. “Muy a menudo un proveedor concreta una venta y se desentiende, pero desde el primer día hemos estado conectados con un equipo de ingeniería e I+D con un profundo conocimiento y un interés genuino en ayudarnos a alcanzar y superar nuestros objetivos”.