Riesgo ciberfísico: Cómo las fallas de IoT pueden desencadenar incendios eléctricos en redes industriales

En una planta industrial, el riesgo de incendio asociado al IoT proviene de cuatro fuentes principales, y solo una de ellas involucra a un hacker. Las otras tres son mundanas: una alarma que nunca le llega a nadie, una terminación a la que nadie le dio el par de apriete y una carga nueva en un circuito sin margen disponible.

Los equipos de IoT industrial (IIoT) hacen un trabajo real. Los monitores remotos en los rectificadores de protección catódica ahorran viajes a campo, y los medidores en los tableros de distribución (switchgear) muestran una fase sobrecargada cuando todavía hay tiempo para corregirla. Pero cada dispositivo es también una instalación eléctrica, y muchos son una puerta de entrada a la red de control.

Los ciberataques pueden manipular los sistemas físicos y ponerlos en situaciones peligrosas.#

Los fabricantes son un blanco más atractivo que antes. El informe de amenazas 2021 de NTT registró un aumento del 300% en los ataques a la industria manufacturera en 2020. La industria manufacturera, la atención médica y las finanzas recibieron en conjunto el 62% de todos los ataques ese año.

El phishing y el ransomware acaparan los titulares. En materia de incendios, los ataques que importan son los que llegan a los Sistemas SCADA y a los dispositivos IIoT vinculados a ellos. Un controlador comprometido puede anular un límite de seguridad y, al mismo tiempo, reportar lecturas falsas de temperatura o voltaje. La pantalla muestra un proceso normal mientras el equipo se sobrecalienta.

Los atacantes ya han ido tras los sistemas de seguridad. En 2017, un malware conocido como TRITON llegó a los controladores de seguridad de una refinería de petróleo en Medio Oriente. Esos controladores existen para detener el proceso de forma segura cuando las condiciones se vuelven peligrosas. Un aviso de CISA de 2022 señala que el ataque dejó la refinería fuera de operación durante varios días.

Las brechas de integración dejan puntos ciegos peligrosos#

La mayoría de las instalaciones industriales operan con una combinación de sistemas eléctricos heredados y plataformas conectadas más recientes: monitoreo de la distribución, automatización de HVAC, control de iluminación, gestión de energía y control remoto de máquinas. Donde esos sistemas no comparten datos de forma limpia, se pierden señales y la respuesta a las fallas llega tarde. Esas brechas rara vez aparecen en un plano. Salen a la luz cuando alguien recorre el sitio, y esa es una de las razones por las que insistimos en las auditorías eléctricas periódicas.

Imagine una planta que instaló sensores inalámbricos de temperatura en sus tableros de distribución principales. Una unión de barras empieza a calentarse y el sensor lo reporta. Pero la puerta de enlace (gateway) perdió su conexión con el sistema de monitoreo tras un cambio en la red hace meses, y nadie lo notó. Una pantalla sin alarmas se ve igual que una pantalla sin problemas. La unión sigue calentándose hasta que falla.

Una instalación deficiente deja conexiones que se calientan#

Cada sensor cableado, gateway y medidor de tablero agrega terminaciones, y cada una es un punto donde puede acumularse calor si no se ejecuta correctamente. Una conexión que no se apretó al par especificado puede aflojarse, oxidarse y calentarse con una corriente perfectamente normal. El interruptor no ayudará. Un documento de la CPSC sobre interruptores contra fallas de arco explica que la corriente que pasa por una conexión floja está limitada por la carga. Por lo general queda muy por debajo de la capacidad nominal del interruptor, así que un interruptor estándar no se dispara.

Pida a un ingeniero electricista que revise el hardware de IIoT antes de instalarlo, no después. Empiece con un análisis de carga eléctrica de los circuitos involucrados. Luego confirme que cada terminación tenga el par de apriete correcto y esté marcada, y averigüe de dónde obtiene realmente su alimentación cada dispositivo. Los dispositivos “plug and play” son los que requieren más atención, porque suelen terminar conectados al contacto o al circuito de control que esté más cerca. Cuando hay un incendio, las conexiones del área de origen reciben una revisión minuciosa por parte de nuestros ingenieros forenses.

Sobrecarga y desbalance de carga por equipos adicionales#

Los beneficios de eficiencia del IIoT son reales. Una publicación del blog de GE Vernova sobre la manufactura conectada resume la idea. Los sensores en los equipos recopilan datos, los transmiten de forma inalámbrica y alimentan la analítica y el aprendizaje automático que actúan con base en ellos.

Los sensores en sí consumen muy poco. La carga proviene de lo que llega con ellos: switches de red, inyectores PoE, computadoras de borde (edge), unidades UPS, calefactores y ventiladores para gabinetes. Ese equipo a menudo se conecta a circuitos de 120 volts trazados hace años para otra cosa, a veces todos en una sola fase. Sus fuentes de alimentación electrónicas también agregan corrientes armónicas, que se acumulan en neutros compartidos que nunca se dimensionaron para ello. Si se agregan unas cuantas piezas a la vez durante algunos años, un circuito derivado o un tablero termina llevando más carga de la que nadie planeó. Un análisis de carga eléctrica periódico lo detecta mientras la solución todavía es económica.

Puntos de falla más comunes del IIoT#

Lo que funciona en una planta de conversión de residuos en energía en Houston no siempre aplica a una planta de reciclaje en Maine. Aun así, los mismos puntos de falla aparecen una y otra vez:

• Lecturas de sensores que se desvían, se congelan o se marcan como de mala calidad
• Falla de control con PLCs o controladores que no cuentan con una fuente de energía de respaldo
• Falla en la comunicación de control debido a errores en la comunicación de red.
• Firmware y software sin parches durante meses o años
• Circuitos defectuosos o sobrecargados
• Instalación y mantenimiento deficientes.
• Equipo envejecido o dañado
• Los ciberataques toman el control de entornos industriales conectados
• Calor, polvo, humedad y vibración dentro de los gabinetes
• Negligencia grave por formación y supervisión inadecuadas.

Bien implementado, el IIoT reduce el riesgo de incendio. Un sensor de temperatura en una unión de barras detectará el tipo de conexión floja que un interruptor nunca ve. El monitoreo de corriente muestra cuando un circuito se acerca poco a poco a su límite. Algunos sistemas incluso pueden deslastrar carga o aislar una falla por sí solos. Todo depende de que la red realmente entregue los datos y de que haya alguien que sepa qué hacer cuando llega una alarma.

Mejores prácticas para equipos de ingeniería y administradores de instalaciones#

En Dreiym Engineering, no queremos ir a sus instalaciones para una consultoría en ingeniería forense después de un incendio. Si estamos ahí, significa que ocurrió algo realmente grave y usted necesita un experto. Preferimos mil veces ayudarle a evitar cualquier daño desde el principio. Esto es lo que haríamos en su lugar:

• Programe un análisis de carga eléctrica periódico para que el desbalance de carga y el esfuerzo en los circuitos no pasen desapercibidos, y realice uno antes de cualquier implementación grande de IIoT.
• Recurra a equipos internos o a consultores externos para realizar auditorías ciberfísicas que revisen cómo interactúan sus sistemas digitales con el equipo físico, especialmente los tableros de distribución (switchgear) y los cuartos de control.
• Limite quién y qué puede acceder a los dispositivos SCADA e IIoT, y cambie las contraseñas y configuraciones predeterminadas antes de poner cualquier cosa en operación. La Guía de seguridad de tecnología operativa (OT) del NIST explica los detalles.
• Integre sus sistemas de monitoreo (HVAC, eléctrico, energía de respaldo, agua) en un solo panel de monitoreo (dashboard) que sus gerentes realmente consulten. Configúrelo para que genere una alarma cuando dejen de llegar datos, no solo cuando una lectura salga de rango.
• Haga escanear los tableros y las terminaciones con una cámara térmica bajo carga después de instalar equipo nuevo y, a partir de entonces, de forma periódica.

Por último, pida a una persona calificada que revise cada instalación antes de ponerla en operación. No le encargue la instalación de sensores a un practicante que no ha recibido capacitación para ello. La persona adecuada pone el sistema en marcha y deja a su equipo sabiendo cómo mantenerlo y cómo se ve una falla incipiente.

No dejes que los dispositivos inteligentes provoquen incendios tontos#

Cada sensor o controlador que agrega aporta más visibilidad y una cosa más que puede fallar. Trate la seguridad ciberfísica como parte de la seguridad contra incendios, no como un proyecto de TI aparte, y ese balance seguirá a su favor.

Si está incorporando equipos conectados, o ya los tiene y no está seguro de a qué están conectados, hable con nuestro equipo en Dreiym Engineering. Realizamos auditorías eléctricas, balanceo de cargas, pruebas de puesta a tierra y análisis de cortocircuito. Si ocurre lo peor, también ofrecemos investigación de incendios industriales para propietarios, aseguradoras y abogados.