Los ataques contra los sistemas de control industrial están en aumento: El Equipo de Respuesta a Incidentes de Seguridad de Sistemas de Control Industrial (ICS-CERT) ha emitido una advertencia que además ha sido reiterada por la Oficina Federal de Seguridad de la Información en Alemania (BSI).

Herramientas especiales y motores de búsqueda vuelven sencillos, incluso para los atacantes sin experiencia, entradas a los sistemas y dispositivos en infraestructuras tales como redes eléctricas.

Motores de búsqueda especializados, tales como el Servicio de Localización de Computadoras Shodan y el Proyecto Ruteable de cada IP (ERIPP) también están haciendo la vida más fácil para los atacantes. Un equipo de investigadores mencionó que ICS-CERT había utilizado a Shodan para descubrir más de 500 mil dispositivos sin garantía, que utilizan los sistemas industriales SCADA y otros sistemas de control industrial (ICS).

En Alemania, tener consciencia sobre el problema parece positivo. Los participantes en un debate celebrado en el foro CAST FORUM de Alemania se mantuvieron unánimes a la prohibición de estar conectados a Internet en los sistemas SCADA o las fábricas, argumentando que esto no sería útil, los beneficios son simplemente demasiado grandes.

La ausencia o la insuficiencia de los controles de acceso representan un riesgo de seguridad adicional. La BSI dijo al sitio Heise Security que esto se debe a la necesidad de que los sistemas sean operables durante todo el día. Una pieza de la maquinaria tiene que permanecer siendo administrable por décadas, aun cuando los miembros responsables lleguen y se vayan de la compañía. Según un portavoz de la BSI "Es por eso que muchos fabricantes tienen codificados los datos de acceso, con el fin de proporcionar un mecanismo para reajustarlos en el caso de que se pierdan y para garantizar el acceso a las máquinas." Esta posición de reserva también proporciona a los atacantes una ruta en estos sistemas.

ICS-CERT está asesorando a las empresas a auditar sus sistemas para detectar vulnerabilidades de seguridad. Los propietarios y operadores no deben tener miedo de usar Shodan y ERIPP para buscar sus propios dispositivos. Lo que también podría resultar en encontrar aquellos dispositivos que podrían asumir que no estaban conectados a Internet. En principio, estos sistemas solo deberían conectarse a la red cuando sea absolutamente necesario y deben estar protegidos con un firewall, además de tener contraseñas robustas. Los sistemas de control de redes y empresas de redes deben estar aislados unos de otros. Las empresas también deben tener sus sistemas de seguridad auditados externamente.

ICS-CERT forma parte del equipo de Estados Unidos de Respuesta a Incidentes de Seguridad en Cómputo (US-CERT), una agencia del Departamento de Seguridad Nacional, tiene la responsabilidad específica de la seguridad de los sistemas de control industrial. En Alemania, la Oficina Federal para la Seguridad de la Información (BSI) cumple un papel similar, que abarca, en particular, "la colaboración con los fabricantes, integradores y operadores."