Ciberseguridad de actuadores de válvulas: una lista de verificación para compradores basada en IEC 62443

La automatización de válvulas conecta órdenes de control con movimiento físico. Por lo tanto, una orden no deseada, un ajuste modificado o un enlace de comunicación perdido pueden afectar algo más que los datos. Pueden interrumpir el control del flujo y el funcionamiento de la planta. Un actuador de válvula digital puede ofrecer útiles funciones de configuración y diagnóstico. No obstante, los compradores también deben entender cómo se protegen dichas funciones y cómo encaja el actuador en el diseño de seguridad de la planta. Un proceso de compra consciente de la norma IEC 62443 ayuda a convertir amplias cuestiones de seguridad en requisitos claros. El objetivo es seleccionar equipo adecuado, identificar controles faltantes y asignar responsabilidades antes de la instalación. Entender qué cubre la norma IEC 62443 La IEC 62443 es una serie de normas de seguridad para sistemas de automatización y control industrial. Sus distintas partes abordan diferentes responsabilidades: Parte de la norma Enfoque principal Pregunta del comprador IEC 62443-3-2 Evaluación del riesgo de seguridad del sistema ¿Qué riesgos y límites de red debe abordar el proyecto? IEC 62443-3-3 Requisitos de seguridad del sistema ¿Qué controles debe proporcionar el sistema instalado? IEC 62443-4-1 Ciclo de vida de desarrollo seguro de productos ¿Cómo desarrolla y mantiene el proveedor productos seguros? IEC 62443-4-2 Requisitos técnicos de seguridad para componentes ¿Qué capacidades de seguridad ofrece este componente específico? Estos son ámbitos relacionados, por lo que la evidencia para uno no debe tratarse como prueba de cumplimiento para los cuatro. Además, “consciente de la norma IEC 62443” describe un enfoque de compra. No establece que un producto esté certificado. 1. Identificar cada interfaz del actuador digital de válvula Empiece por el modelo exacto y las opciones suministradas. Términos como “inteligente” o “digital” no explican qué conexiones están presentes. Solicite una lista de interfaces que cubra, cuando proceda: Conexiones de fieldbus y Ethernet industrial. Puertos de configuración locales. Conexiones de servicio USB o serie. Funciones Bluetooth u otras inalámbricas. Software de configuración y herramientas de mantenimiento. Rutas de acceso remoto a través de controladores o pasarelas. Separe las funciones instaladas de las opcionales. Luego, confirme qué interfaces pueden desactivarse. Un actuador que utilice contactos secos o señales analógicas puede no tener conexión de red directa. Sin embargo, su controlador, pasarela o herramienta de servicio puede introducir igualmente rutas de acceso digital. 2. Definir el límite de seguridad para un actuador eléctrico con fieldbus Un actuador eléctrico con fieldbus debe evaluarse como parte de su red de control. Pregunte por el protocolo exacto, la versión, el módulo de comunicación y el plano de red. No suponga que un protocolo conocido incluye autenticación o cifrado en la configuración suministrada. La norma IEC 62443-3-2 aborda la división del sistema en zonas y conductos, evaluando sus riesgos y definiendo niveles de seguridad objetivo. En términos prácticos, los compradores necesitan saber qué activos pertenecen juntos y qué rutas de comunicación cruzan los límites de seguridad. Cuando el dispositivo de campo no pueda proporcionar un control requerido, documente las medidas de protección necesarias en otro lugar. Estas pueden incluir acceso restringido a la pasarela, segmentación de red y conexiones de mantenimiento controladas. Dichas medidas deben evaluarse a nivel de sistema; no convierten al actuador mismo en un componente certificado. 3. Controlar quién puede operar y configurar el actuador Operar una válvula y cambiar sus ajustes son privilegios distintos. Pregunte si el equipo suministrado puede distinguir acceso de visualización, operación, configuración y mantenimiento. Cuando existan cuentas o contraseñas, confirme cómo se establecen, cambian, recuperan y eliminan las credenciales. Preguntas útiles incluyen: ¿Hay credenciales predeterminadas compartidas? ¿Pueden desactivarse cuentas o servicios no utilizados? ¿Quién puede cambiar los límites de carrera o los modos de control? ¿Cómo se protege el control local? ¿El acceso remoto requiere autorización independiente? Si el actuador tiene controles de acceso limitados, identifique qué funciones deben protegerse mediante el PLC, la pasarela, la estación de trabajo o el cerramiento físico. Además, acuerde quién es el propietario de las credenciales tras la puesta en marcha. 4. Verificar la integridad del firmware y la configuración El firmware controla el comportamiento digital del actuador. La configuración determina cómo responde dentro del proceso. Pregunte al proveedor cómo se obtienen, comprueban, instalan y registran las actualizaciones. Solicite evidencia de verificaciones de autenticidad, como verificación de firma, cuando esté soportada. Además, confirme: Quién puede iniciar una actualización. Si la válvula permanece disponible durante la actualización. Qué ocurre si se corta la electricidad. Cómo se respaldan los ajustes aprobados. Cómo se realiza la recuperación tras una actualización fallida. Para un dispositivo simple sin firmware actualizable desde campo, documente esa limitación y sus implicaciones de mantenimiento. Estas preguntas respaldan la integridad del sistema, una de las siete áreas de requisitos fundamentales descritas en la IEC 62443-4-2. Otras áreas incluyen control de acceso, flujo de datos restringido, respuesta a eventos y disponibilidad. 5. Revisar la ciberseguridad del actuador eléctrico durante fallos Los controles de seguridad deben funcionar junto con las necesidades operativas de la planta. Defina qué debe ocurrir cuando falle la comunicación, se pierda la energía o el controlador envíe datos no válidos. La respuesta correcta puede ser mantener la posición, moverse a una posición definida o seguir otra estrategia aprobada. No existe una posición de válvula universalmente segura. La evaluación del riesgo del proceso debe determinar el comportamiento requerido, y la disposición del actuador seleccionada debe respaldarlo. Mantenga estos requisitos separados: Pérdida de comunicación. Pérdida de energía eléctrica. Cambios de configuración no autorizados. Fallos mecánicos o eléctricos del actuador. La ciberseguridad y la seguridad funcional tienen ámbitos distintos. La evidencia para una no reemplaza la evidencia para la otra. 6. Preguntar qué eventos pueden detectarse y registrarse Un dispositivo puede informar fallos sin mantener un registro de eventos de seguridad. Por lo tanto, pregunte exactamente qué registra. Los eventos relevantes pueden incluir cambios de configuración, actualizaciones de firmware, intentos de acceso fallidos y fallos de comunicación. Confirme si los registros incluyen marcas de tiempo, cuánto tiempo permanecen disponibles y si pueden exportarse. Si el actuador carece de estas funciones, decida qué debe registrar el sistema de control o las herramientas de mantenimiento en su lugar. Para la resolución de problemas, conserve el modelo, la versión de firmware, los ajustes aprobados y el registro de puesta en marcha. Estos detalles ayudan a distinguir un fallo del equipo de un cambio inesperado. 7. Verificar el soporte del proveedor y las reclamaciones de certificación Pida un contacto de seguridad, una vía de reporte de vulnerabilidades, una política de actualizaciones y un período esperado de soporte. Cuando sea relevante, solicite una lista de materiales de software o información sobre el software de terceros incluido. Además, acuerde cómo recibirán los compradores las notificaciones de seguridad. Si se reclama una certificación, compruebe: El organismo emisor y la referencia del certificado. La parte de la norma aplicable. El producto y las versiones de hardware cubiertos. Las versiones de firmware y las opciones de comunicación. La capacidad de seguridad reclamada y las condiciones indicadas. Los supuestos de instalación y operación requeridos. Un certificado de proceso de desarrollo seguro no certifica automáticamente las capacidades técnicas de cada producto. Del mismo modo, un certificado de componente no establece la seguridad de toda la planta. Aplicar la lista de verificación al adquirir de OMKEE El sitio web de OMKEE presenta actuadores de válvula eléctricos con varias disposiciones de control, incluyendo operación basada en contactos y control modulante analógico. Estas diferencias hacen importantes las comprobaciones de interfaz específicas del modelo. Para cualquier configuración digital o fieldbus propuesta, pida a OMKEE que confirme las características reales de comunicación y la evidencia de seguridad disponible. No infiera la certificación de ciberseguridad a partir de las clasificaciones de cerramiento, la protección contra explosiones, el marcado CE o las credenciales de gestión de calidad. Envíe a OMKEE un resumen del proyecto que incluya el servicio de la válvula, el par, la fuente de alimentación, la interfaz de control, la arquitectura de red, el comportamiento requerido ante fallos y las necesidades de documentación de seguridad. Finalmente, acuerde comprobaciones de aceptación con el proveedor y el integrador. Pruebe la configuración aprobada en un entorno controlado antes de la puesta en marcha, y registre qué protecciones pertenecen al actuador y cuáles pertenecen al sistema de control más amplio.