Sep 27 2014

OPC-UA: Unificar la mensajería electrónica de la planta

OPC Foundation LogoOPC-UA (Open Plattform Communications – Unified Architecture)

Desarrollado y patrocinado desde 2004 por la Fundación OPC y sus partners, con implementaciones desde 2008 y ostentando desde 2011 el código IEC 6541 (International Electric Commision), OPC-UA es un estándar de interoperabilidad independiente de suministradores que permite canalizar e integrar las comunicaciones de los diferentes dispositivos de la planta a fin de que puedan colaborar e intercambiar información de forma segura.

La incorporación de este instrumento permite resolver un grave problema en las plantas de fabricación: La práctica imposibilidad de coordinar (salvo que los dispositivos fueran manufacturados por el mismo proveedor) la actuación de los diversos sistemas que intervienen o tienen algo que decir (los correspondientes a la Gestión de la Planificación y la Logística – Nivel 4 de ISA-95, los que se habrían de ocupar de la Gestión de las Operaciones – Nivel 3, los de Supervisión y Control – Nivel 2) y los dispositivos de planta – PLCs y HMIs entre otros…) debido al empleo de diferentes protocolos y estándares de comunicación por parte de los diversos suministradores.

Imagen OPC-UA 2El Servidor OPC-UA se sitúa como una pasarela (ver el gráfico) entre las aplicaciones y los dispositivos, de forma que transmite a éstos en el dialecto que cada uno es capaz de entender, las instrucciones remitidas por sus sistemas de supervisión y control. A la vez, recoge, decodifica y transfiere a los sistemas superiores en un lenguaje que éstos sean capaces de entender, los mensajes procedentes de los periféricos que correspondan. OPC-UA se convierte, de esta forma, en un “intérprete políglota” de las instrucciones y las respuestas entre los instrumentos.

Las ventajas que un sistema así proporciona son claras:

  • Independencia de plataformas y sistemas operativos: Diseñado y construido de esta forma, OPC-UA puede ejecutarse sobre muy diversas arquitecturas hardware y software, y se ha abierto a los dispositivos móviles mediante el uso de Java, lo que ha permitido – por ejemplo – desarrollar clientes basados en Android o HMIs alojadas en tablets.
  • Sencillez de despliegue e instalación: La arquitectura necesaria para desplegarlo es muy simple, y pueden irse integrando los diversos módulos (idiomas y funcionalidades) progresivamente, en función de las necesidades. Ello permite una puesta en marcha paso a paso y muy segura sin necesidad de realizar cambios sobre los dispositivos afectados. Además, se han desarrollado diversos SDKs (Software Development Kits) para construir las funciones que pudieran ser necesarias adicionalmente. Esto hace de la solución un medio muy escalable en el que puede, muy sencillamente, incrementarse el ámbito o la funcionalidad.
  • Incremento de la seguridad de las comunicaciones de la planta: OPC-UA se encarga de realizar todas estas tareas según la configuración que se desee activar: Transporte, encriptación, firma de los mensajes, autenticación, validación de envíos y recepciones, control de usuarios y generación y mantenimiento de los registros de auditoría.
  • Al estar basado en un modelo de información muy estándar, puede ser empleado como protocolo de comunicaciones de datos e información entre diversos sistemas que utilicen también modelos estándares de información. Estandarizado por IEC, el protocolo puede ser examinado por cualquiera y ha sido validado por organizaciones neutrales.

Si desean información detallada, aquí podrán encontrar un e-book con los detalles que puedan estimar necesarios.

 

Permanent link to this article: http://www.ingelan.com/?p=4559

Sep 22 2014

Con Windows XP discontinuado: ¿Qué alternativas tengo para soportar los sistemas de la Planta de Producción?

Businessman with umbrellaDesde su lanzamiento al mercado en octubre de 2001, Windows XP ha sido uno de los sistemas operativos con más éxito de los producidos por Microsoft, tras los problemas surgidos con el lanzamiento de Windows 2000. En su momento se trató de una solución novedosa con mejoras tales como la nueva interfase gráfica, la posibilidad de trabajar desde escritorios remotos y un amplio abanico de posibilidades para conectar dispositivos.

Además de ello, el nuevo OS aportó notables mejoras en la estabilidad y en el rendimiento de las plataformas de 32 y 64 bits, unificando en una única arquitectura las antiguas líneas de la compañía basadas por un lado en MS-DOS para los ordenadores domésticos y por otro en Windows NT para los de finalidad corporativa y empresarial.

La existencia de diferentes versiones (Home, Professional, Media Center, Tablet PC,…), adaptables a las necesidades de cada caso (con precios acordes), y especialmente la distribución de una variante (Embedded) destinada a su venta embutida en productos hardware OEM hizo de él un producto de venta masiva, utilizado por muchos fabricantes de software y dispositivos como base para desarrollar su offering. En Abril de 2014, Windows XP disponía aún de un market-share del 37,17% (con toda seguridad más alto en los sistemas de planta debido al bien conocido fenómeno de la prolongación del ciclo de vida de esas plataformas).

Windows XP se ganó, no obstante, fama de problemático, debido a los muy diversos problemas de seguridad que ha venido presentando. Son fruto de la existencia de una cuenta de administración con la posibilidad de acceder a cualquier rincón del sistema y a problemas de activación y restricciones de copia. Fácil de entender si pensamos que fue resultado de un diseño realizado en un momento histórico en el cual la apertura de los sistemas a internet era escasa y en el que la piratería de licencias era el pan nuestro de cada día.

Un dato que puede dar idea de su fragilidad es que en 2013, el 70% de los boletines de seguridad publicados por Microsoft se refirieron a este sistema operativo.

El 8 de Abril de 2014 cesó el soporte para este producto. No se publicarán más parches ni actualizaciones del producto y ya no se proporcionará asistencia técnica online. ¿Qué significa eso?

Los sistemas – naturalmente – continuarán funcionando como siempre lo han hecho, pero (según la propia Microsoft) pueden ser mucho más vulnerables a riesgos para la seguridad y a virus. Esto – pese a que las actualizaciones lo han podido mitigar – ya ha sucedido en el pasado, y no es previsible que esta tendencia cambie en el futuro. Lo mas probable es que, frente a un sistema muy conocido y francamente indefenso, se incremente la voracidad y eficacia de los hackers.

En las plantas de manufactura, el problema puede ser realmente serio, ya que en un buen número de ellas se emplean aplicaciones especializadas (nos podríamos sorprender de hasta qué nivel) construidas sobre ese sistema operativo. Sistemas de ingeniería, de planificación y control, de monitorización, maquinaria herramienta, aplicaciones de instrumentación (algunos de ellos empleandolo dentro de una “caja negra”) pueden verse afectados por esta nueva situación.

xp-logo¿Qué hacer?

Existen, esencialmente dos posturas claramente diferenciadas:

a) No hacer nada y confiar en el destino.

Usted está convencido de que: 1) Su infraestructura es estable y opina que es mejor no hacer nada. 2) Durante mucho tiempo no ha instalado actualizaciones y no ha tenido problemas por ello. 3) “Si funciona… no hay que tocarlo” y 4) Si los dispositivos están desconectados de la red, están a salvo (obviando que hay medios removibles tales como CDs o USBs a través de los que puede instalarse cualquier inquilino indeseable como Stuxnet o Dragonfly).

Es su decisión elegir esta opción. Piense, sin embargo en los riesgos que asume al hacerlo. Y en que los ciberataques a los sistemas industriales están en franco crecimiento. Y cada vez es mas probable que tengan éxito (es mucho más fácil atacar un blanco “fijo” que acertar en uno “móvil”, consecuencia de contrarrestar continuamente las deficiencias de seguridad).

b) Migrar a una nueva versión de Windows.

En el otro extremo, esta es una posibilidad sensata, pero compleja. Requiere tiempo porque, debido a problemas de continuidad de la producción, ha de ser cuidadosamente planificada y ejecutada. Y en coste, dado que la cosa no es tan sencilla ni elemental como reemplazar las instancias de XP por las del nuevo sistema operativo: Hay que tener muy en cuenta lo que se denomina el “efecto dominó”…

  • ¿Puede el nuevo OS funcionar sobre la misma plataforma que el anterior?¿Se requiere (y es probable que así sea) nuevo hardware o nuevos medios de automatización?
  • ¿Funciona la aplicación soportada sobre el nuevo sistema operativo?¿Hay que obtener una nueva versión de la misma? Puede, también, que si ocurre eso, conectarse con los dispositivos controlados requiera instalar nuevos drivers
  • Debido a no estamos hablando de sistemas aislados, sino de medios que trabajan de forma cooperativa… ¿Hay interrelaciones e interconexiones entre los sistemas que hayan de ser ajustadas o modificadas?¿Encajan todas las piezas de ese compejo “puzzle”?

… Y todo ello, sin contar que ….

  • Los sistemas (una buena parte de ellos de misión crítica) han de ser exhaustivamente probados y – en caso de tratarse de manufactura regulada – proceder, antes de su entrada en producción, a su validación conforme a la normativa correspondiente.
  • Han de desplegarse las nuevas aplicaciones y la nueva arquitectura procurando una mínima afectación sobre la producción, coordinando y compatibilizando la actividad con otras iniciativas de Ingeniería o de Mantenimiento que puedan estar en marcha (ampliaciones, ajustes, mejoras, …)
  • Será necesario suministrar (y ello supone un coste añadido) a los equipos técnicos la formación y el soporte necesario para operar con la nueva infraestructura.

No será extraño en un ambiente de complejidad media (y puede constituir una sorpresa encontrarse instancias en los dispositivos más insospechados) plantearse proyectos de entre 12 y 24 meses, con la posibilidad de haber destinado a la conclusión del proyecto entre 3 y 5 veces el tiempo estimado al principio.

¿No le convence ni la una ni la otra? Bien… podemos plantearle una “tercera vía” que estimamos mucho más simple que la segunda y menos peligrosa que la primera..

c) Mitigar los riesgos segmentando la red y empleando firewalls industriales.

¿En qué consiste la solución?: En dejar los sistemas tal como están hasta que deban ser renovados por cuestiones de su ciclo de vida natural pero, para protegerlos, aislarlos al máximo e instalar cortafuegos en los puntos de acceso que impidan la entrada de cualquier tipo de intruso.

Los firewalls industriales pueden configurarse de forma muy sencilla para bloquear tráfico indeseable o sospechoso que pueda constituir un peligro para los sistemas y aplicaciones basados en XP. Y permiten que puedan seguir funcionando sin ningún tipo de interrupción en las mismas condiciones que lo harían si todo siguiera exactamente igual. Además:

  • Al no ser necesario actualizar plataformas (es un simple tema de direccionamiento dentro de la red), estos dispositivos pueden desplegarse sin interrumpir la producción.
  • Son simples de instalar y configurar, y pueden actualizarse de forma automática para contrarrestar nuevos riesgos, virus o bloquear tráfico cuyas pautas resulten sospechosas.
  • Si han de ser instalados en la planta, pueden estar convenientemente reforzados (y certificados) para resistir las condiciones ambientales adversas.
  • No es necesario realizar ninguna acción sobre los sistemas afectados.

En resumen y para las opciones expuestas:

Impacto de la solución No hacer nada Actualizar a nueva versión Firewalls industriales
Riesgo asumido Elevado Elevado hasta completar la actualización Escaso
Tiempo de implementación No lo hay – Hasta el momento en que se produzca un incidente Largo (meses/años) Poco (dias)
Impacto en la productividad Ninguno – Hasta el momento en que se produzca un incidente Elevado Escaso o nulo
Coste Cero – Hasta el momento en que se produzca un incidente Alto (directa e indirectamente) Asequible

Si se siente afectado por este problema … ¿Qué alternativa prefiere?

Permanent link to this article: http://www.ingelan.com/?p=4568

Sep 15 2014

Presupuestación de la seguridad de los activos digitales

BudgettingSe aproxima final de año. Epoca de realizar y justificar presupuestos e inversiones para el siguiente año. Comienza un camino en el que se deben recoger necesidades, analizarlas, valorar su impacto económico, priorizar y filtrar, descartando lo que puede considerarse prescindible o de menor importancia. Y finalmente negociar la viabilidad contrastando las propuestas que puedan elevarse con las que realicen otras áreas de la corporación.

En esas condiciones, prácticamente nunca las inversiones en seguridad salen victoriosas frente a otras que puedan demostrar una positiva aportación a los resultados empresariales o un retorno de la inversión en términos razonables. Porque las inversiones en seguridad previenen, y – mientras no se presenten circunstancias adversas – es complejo apreciar su valor. Si las medidas funcionan nadie (o casi nadie) se entera, con lo que es también difícil – salvo que se esté metido de lleno en el asunto – su valía.

La elaboración del presupuesto de seguridad ha venido realizándose de forma casi intuitiva, basada en los riesgos que se perciben, en las experiencias acumuladas y/o en las tendencias observadas en el sector (a las cuales no son ajenos los correspondientes proveedores potenciales de soluciones). Si consideramos una instalación tipo, podremos – con toda seguridad – hallar componentes sobreprotegidos y otros, quizá más relevantes, dotados de poca o nula defensa. En contadas ocasiones podremos afrontar una proporción entre el valor objetivo de los sistemas y la información y los montos económicos dedicados a mantenerlos fuera de peligro.

El modelo que proponemos dentro del conjunto de Best Practices que propugnamos está basado en la atribución a cada uno de los activos digitales que podamos identificar, de un valor en función de la aportación que realice a los resultados empresariales. Mediante un breve análisis de riesgos y en un segundo paso, podremos cuantificar el perjuicio ocasionado a la cuenta de explotación por la ocurrencia de diversos tipos de incidentes, lo que posibilitará, como consecuencia, determinar o estimar las inversiones necesarias.

Puede descargar la guía pulsando aquí.

Permanent link to this article: http://www.ingelan.com/?p=4479

Sep 08 2014

13 Criterios para decidir qué llevar al Cloud (Post 3 de 3)

Objetivados el valor, los riesgos y la adecuación técnica de una aplicación para llevarla a la nube, únicamente queda tomar las decisiones adeciadas. En este artículo – último de la serie – facilitaremos algunas directrices que permitan establecer las prioridades del proceso. No tome nuestras sugerencias como la Biblia, y aporte al proceso sus propias sensaciones: Es Vd. quien mejor conoce su negocio, su entorno y lo que necesita para soportarlo.

cloud-computing_2Ponderados y objetivados mediante el método descrito en el post anterior los valores para los ejes según las puntuaciones otorgadas a cada uno de los 13 criterios (que pueden desglosarse en subcriterios para mayor nivel de detalle), nos sería posible establecer resultados definitivos:

 

Eje p>7.5 7.5>p>5 5>p>2.5 2.5>p
Valor Muy Alto Alto Medio Escaso
Riesgos Muy Elevados Elevados Medios Pocos
Adecuación Tecnológica Muy Alta Alta Media Poca

… y clasificar a partir de esto nuestra cartera de sistemas y aplicaciones.

Y bien…. ¿Como proceder entonces?

Aquí tiene nuestras recomendaciones:

 

Num Valor Adecuación Riesgos Comentarios
 1 Muy Alto Muy Alta Pocos Los sistemas y aplicaciones con estos niveles de puntuación deberían ser los primeros candidatos en la lista ya que – presumiblemente – pueden presentar un alto retorno de la inversión en plazos razonables y con mínimos riesgos.
 2 Alto o Muy Alto Alta o Media Pocos Este grupo podría constituir el segundo pelotón. Las condiciones son similares a las anteriores si bien pueden presentarse dificultades de ajuste. Quizá valga la pena realizar un replanteamiento y sustituirlo por un soporte adecuado a la nube
 3 Otros Otras Otros  Zona de claroscuros. No nos atrevemos a proporcionar ningún criterio en ella y dependerá de las especiales circunstancias de cada uno de los casos para que pueda añadirse como candidato a una u otra acción.
 n Escaso  Poca Elevados o Muy Elevados  Sistemas o aplicaciones sujetos a este tipo de calificaciones es mejor conservarlas en el estado en que se encuentren. Probablemente sería suicida abordar su migración a la nube.

Obviamente y puesto que la estrategia no se debería delegar, el resultado habría de pasar el filtro de la razón y tener en cuenta los condicionantes marcados por otras variables no consideradas.

 

Permanent link to this article: http://www.ingelan.com/?p=4446

Página 1 de 3012345...102030...Última »