Diseño de un modelo de ciberseguridad para la cadena productiva crítica de la industría flexográfica

Abstract

Esta tesis de maestría, titulada “Diseño de un modelo de ciberseguridad la cadena productiva crítica de la industria flexográfica”, responde a la necesidad de fortalecer la protección informática de la infraestructura TI de un sector esencial cuya producción se encuentra cada vez más digitalizada y automatizada. Este escenario ha incrementado los niveles de riesgo, exposición y vulnerabilidad frente a ciberataques, especialmente en las pequeñas y medianas empresas (PYMEs), que constituyen la mayor parte del sector y resultan altamente atractivas para los cibercriminales. Asimismo, estas organizaciones son susceptibles a otros tipos de incidentes como fallas técnicas, contingencias y desastres, lo que refuerza la urgencia de contar con un modelo de defensa cibernética sólido. Con el fin de garantizar la confidencialidad, integridad y disponibilidad de la información, así como la continuidad y resiliencia operativa de la industria, esta investigación propone el diseño de un modelo de ciberseguridad basado en estándares internacionales, como la las buenas prácticas de seguridad informática para la infraestructura TI asociada con la gestión, control y operación de la infraestructura OT de la cadena de producción crítica de la industria flexográfica. El objetivo es ofrecer un enfoque adaptable, práctico, eficaz y económicamente viable para la protección sectorial de la infraestructura IT (tecnologías informáticas) asociada a la gestión y operación de los sistemas OT de la cadena de producción crítica de la industria flexográfica. En este propósito, la estrategia metodológica desarrollada consistió en tres (3) fases principales: una primera etapa (fase 1) diagnóstico sectorial del estado y necesidades de la infraestructura TI respecto a seguridad informática mediante la aplicación de una encuesta, cuyo análisis permitió identificar vulnerabilidades, amenazas y realizar el respectivo análisis y evaluación del riesgo cibernético de los sistemas informáticos asociados a la cadena de producción; una segunda etapa (fase 2) de revisión y análisis de referentes internacionales para seleccionar y definir los controles adecuados que permitieran consolidar un prototipo cibernético de defensa funcional, flexible, adaptable y práctico de los activos TI para las empresas; y, finalmente, una última y tercera etapa (fase 3) de validación y verificación del modelo de ciberdefensa digital para la infraestructura TI asociada a la cadena de producción critica de la industria, asegurando su eficacia y efectividad en el contexto industrial real. Un interesante aporte para resaltar de esta tesis de maestría, es la expansión, complementación, adaptación, mejoramiento y actualización del cubo de McCumber de la seguridad informática, un marco conceptual de ciberseguridad, presentado, en 1991, en la conferencia de la NCSC/NSA e ideado por John R. McCumber, al cual se aplicó un proceso ingenieril de innovación derivado de una necesidad técnica y metodológica colateral que surgió del proceso investigativo, y que estribó en transmitir de manera sencilla y entendible los conceptos técnicos de ciberseguridad al personal no especializado de las compañías. Al efecto, el nuevo marco “Cubo Campanito de la Ciberseguridad Industrial” (CCCI) se creó como nuevo marco técnico de ciberprotección y como una herramienta metodológica, pedagógica y didáctica que, combina la tradición técnica y teórica de la seguridad informática con un enfoque contemporáneo orientado al sector industrial y de PYMEs, lo cual constituye un valor agregado relevante dentro de los resultados y productos logrados en esta tesis de maestría en seguridad informática.

This master's thesis, entitled "Design of a cybersecurity model for the critical production chain of the flexographic industry" responds to the need to strengthen cybersecurity protection of the TI systems that supports various OT processes in an essential sector whose production is increasingly digitalized and automated. This scenario has increased the levels of risk, exposure, and vulnerability to cyberattacks, especially in small and medium-sized enterprises (SMEs), which constitute most of the sector and are highly attractive objectives to cybercriminals. Furthermore, these organizations are susceptible to other types of incidents such as technical failures, contingencies, and disasters, reinforcing the urgency of having a robust cyber defense model. To ensure the confidentiality, integrity, and availability of information, as well as the continuity and operational resilience of the industry, this research proposes the design of a cybersecurity model based on international standards: ISO/IEC 27001, NIST 2.0 CSF framework, CIS Controls guidelines and cybersecurity best practices for the TI infrastructure associated with management of OT processes of the critical production chain of the flexographic industry. The objective is to offer an adaptable, practical, effective, and economically viable approach for the sector-specific protection of IT infrastructure associated with the management, control, and operation of the OT systems of the critical production chain without including the own OT infrastructure. For this purpose, the methodological strategy developed consisted of three (3) main phases: a first stage (phase 1) diagnosis of the status and needs of sectoral computer security through the application of a survey, whose analysis allowed to identify vulnerabilities, threats and carry out the respective analysis and evaluation of cyber risk; a second stage (phase 2) of review and analysis of international references to select and define the appropriate controls that would allow consolidating a functional, flexible, adaptable and practical cyber defense prototype for companies; and, finally, a last and third stage (phase 3) of validation and verification of the digital cyber defense model, ensuring its efficiency and effectiveness in the real industrial context. An interesting contribution to highlight from this master's thesis is the expansion, complementation, adaptation, improvement and updating of the McCumber cube of computer security, a framework presented, in 1991, at the NCSC/NSA conference and devised by John R. McCumber, to which an engineering innovation process was applied derived from a collateral technical and methodological need, which arose from the research process, and which consisted of transmitting cybersecurity concepts to companies in a simple and understandable way. To this goal, the Industrial Cybersecurity Tinker Bell Cube (ICTBC) is a new cyber protection framework and methodological and pedagogical tool that combines the technical and theoretical tradition of computer security with a contemporary approach oriented to the industrial and SME sectors, which constitutes a relevant added value within the results and products of this research.