SCADA y sistemas de control industrial: lo que seguridad publica debe entender

Aviso de independencia: RunBoard es una plataforma de operaciones independiente y no esta afiliada, respaldada ni patrocinada por ninguna empresa, producto, red o agencia mencionada en este articulo. Los nombres se usan solo con fines de identificacion y educacion.

Que son realmente SCADA e ICS

SCADA significa Supervisory Control And Data Acquisition (supervision, control y adquisicion de datos). Los sistemas de control industrial, o ICS, son la familia mas amplia de tecnologia a la que pertenece SCADA. Si se dejan de lado las siglas, queda una idea sencilla. Son los sistemas que permiten que un numero reducido de personas vigile y ajuste procesos fisicos grandes, repartidos en muchos kilometros, desde un solo cuarto de control, sin tener que ir hasta cada bomba, valvula, interruptor o compuerta de forma manual.

Antes de que estos sistemas existieran, un operador tenia que estar fisicamente presente en cada equipo para leer un medidor o girar una manija. SCADA e ICS recogen las lecturas de los equipos en el campo, llevan esa informacion de vuelta a una pantalla central para que una persona la observe, y le permiten a esa persona enviar instrucciones de regreso. La persona ve el estado de todo el sistema de un vistazo y puede hacer un cambio sin salir del cuarto.

Lo importante que un lider de seguridad publica debe tener presente es esto. No son computadoras de oficina que corren hojas de calculo. Son computadoras conectadas directamente al mundo fisico. Cuando una de ellas actua, sucede algo real. Una bomba arranca. Una valvula se abre. Una senal cambia. Ese vinculo directo entre una pantalla y un resultado fisico es justo lo que hace que estos sistemas sean tan utiles, y tambien por que importan tanto cuando algo sale mal.

La infraestructura que operan en silencio

Usted no vera estos sistemas, pero depende de lo que producen cada hora del dia. Estan detras de los servicios que su comunidad considera que simplemente siempre estan ahi. Entre los mas comunes:

• Agua y aguas residuales. Tratamiento, presion en el sistema de distribucion, niveles de almacenamiento y el movimiento de aguas negras y pluviales.
• Energia electrica. Generacion, transmision y la distribucion local que abastece a los barrios, hospitales y estaciones.
• Gas natural y oleoductos/gasoductos. El flujo, la presion y el trayecto seguro de combustibles y otros materiales a lo largo de grandes distancias.
• Sistemas de trafico. Tiempos de las senales, control de intersecciones y la coordinacion que mantiene los corredores en movimiento y despeja el paso para los respondedores.
• Otras obras publicas. Compuertas de control de inundaciones, estaciones de bombeo y equipos similares que protegen bienes y vidas.

Cada uno de estos se conecta con seguridad publica de forma evidente en cuanto uno se detiene a pensarlo. Combatir incendios depende de la presion del agua. Todo en una comunidad moderna depende de la energia electrica. La respuesta de emergencia depende de poder moverse por el trafico. Un oleoducto o un proceso de tratamiento que pierde el control puede generar por si solo un incidente de materiales peligrosos o ambiental. Estas no son preocupaciones abstractas de la empresa de servicios publicos. Son las condiciones fisicas dentro de las cuales trabajan sus unidades.

Como funcionan estos sistemas, en terminos generales

No hace falta ser ingeniero para planificar bien en este tema, y esta guia mantendra la descripcion general a proposito. En terminos generales, tres piezas trabajan juntas.

Primero, hay dispositivos en el campo. En terminos genericos son unidades remotas y controladores, piezas pequenas de hardware conectadas al equipo real. Leen condiciones como presion, nivel, flujo, voltaje o posicion, y pueden actuar sobre el equipo cuando se les indica.

Segundo, esa informacion del campo viaja de vuelta a una ubicacion central mediante algun tipo de enlace de comunicacion. Las lecturas llegan como telemetria, un flujo constante de datos que describe lo que el equipo esta haciendo en ese momento.

Tercero, en el centro, una persona se sienta frente a una pantalla que presenta todo en un solo lugar. Esa pantalla se llama de forma generica interfaz humano-maquina. El operador vigila el estado del sistema, nota cualquier valor fuera de rango y puede enviar instrucciones de vuelta al campo.

Aqui esta la parte que mas sorprende a quienes son ajenos a este campo. Muchos de estos sistemas se disenaron e instalaron hace decadas. Se construyeron para ser confiables y durar mucho tiempo en servicio, disenados para funcionar de forma continua durante veinte, treinta o mas anos sin interrupcion. Eso fue una fortaleza. Las empresas de servicios publicos no reemplazan este equipo a la ligera porque es costoso, disruptivo y a menudo funciona exactamente como se espera durante mucho tiempo. Pero tambien significa que gran parte de la infraestructura critica esta controlada por tecnologia de una epoca anterior a que alguien imaginara que estos sistemas algun dia estarian accesibles a traves de una red. Con los anos, por buenas razones operativas, muchos de ellos se han conectado a redes de todos modos. Esa combinacion de diseno antiguo y conectividad nueva es el trasfondo de todo lo que sigue.

Por que seguridad publica y gestion de emergencias deben prestarles atencion

El marco mas util para un lider de seguridad publica es este. Una falla o compromiso de un sistema de control no es un problema de tecnologia de la informacion que se queda dentro de la empresa de servicios publicos. Se convierte en un incidente real de seguridad publica, y le corresponde a usted manejarlo.

Repasemos que significa esto en terminos practicos:

• Perdida de presion de agua para combatir incendios. Si un sistema de distribucion pierde la capacidad de mantener la presion, los hidrantes pueden entregar mucho menos de lo que las unidades esperan, o nada en absoluto, en plena atencion de un incendio activo.
• Cortes de energia electrica. La perdida del servicio electrico afecta hospitales, centros de cuidado, control de trafico, comunicaciones y residentes que dependen de equipo medico electrico en casa.
• Perdida del control de trafico. Semaforos apagados o congelados retrasan cada respuesta, elevan el riesgo de colisiones en las intersecciones y complican las rutas de evacuacion.
• Liberacion ambiental. Un proceso de tratamiento, un oleoducto/gasoducto o un sistema de almacenamiento que pierde el control puede generar un derrame, una nube toxica o un evento de contaminacion que su agencia debe aislar, evacuar y manejar.

Ninguno de estos casos llega etiquetado como un evento del sistema de control. Llegan como llamados. Un incendio estructural donde los hidrantes estan debiles. Un corte generalizado durante una emergencia por calor. Un llamado de materiales peligrosos en un sitio industrial. El origen puede ser una falla tecnica dentro de un sistema que usted nunca ve, pero la respuesta es trabajo ordinario de seguridad publica, hecho mas dificil por la perdida de la infraestructura misma en la que usted normalmente se apoyaria.

Por eso este tema debe estar en su radar aunque su agencia no opere estos sistemas. Las consecuencias caen sobre usted, y el momento de entenderlas es antes del incidente, no durante este.

Categorias de riesgo para planificar

Esta seccion trata sobre concienciacion, no sobre metodo. El objetivo es nombrar las categorias de riesgo para que usted pueda planificar alrededor de ellas, de la misma forma en que planifica alrededor del clima, el terreno o el personal disponible. Son condiciones que hay que tener presentes, no vulnerabilidades que explorar.

• Equipo envejecido. Como se menciono antes, gran parte de esta infraestructura se construyo para durar mucho tiempo en servicio en una epoca anterior. Los sistemas mas antiguos pueden ser mas dificiles de actualizar, mas dificiles de conseguirles repuestos y personal experto, y menos tolerantes cuando ocurre algo inesperado. Desde el punto de vista de la planificacion, considere la antiguedad de los sistemas criticos de su comunidad como un factor en que tan rapido podria restablecerse el servicio despues de cualquier interrupcion.
• Conectividad creciente. Sistemas que antes funcionaban de forma aislada estan cada vez mas conectados a redes por razones operativas legitimas, como el monitoreo remoto y la buena administracion de recursos. Mas conexiones significan mas formas en que un problema puede iniciarse o propagarse, y una superficie mas amplia por proteger. Esto es una realidad que hay que tener en cuenta, no un hecho sobre el cual actuar.
• Acceso remoto. La capacidad de vigilar y ajustar estos sistemas a distancia es genuinamente valiosa, en especial para empresas de servicios publicos que cubren areas de servicio grandes con personal limitado. Tambien significa que el control del equipo fisico ya no esta confinado a un cuarto con llave. Entender que existe el acceso remoto ayuda a comprender por que una interrupcion puede aparecer de repente y desde lejos.
• Convergencia de tecnologia operativa y tecnologia de la informacion. Durante decadas, la tecnologia que opera los procesos fisicos y la tecnologia que opera las oficinas vivieron en mundos separados. Esos mundos se estan uniendo poco a poco. Esa convergencia trae beneficios reales en visibilidad y coordinacion, y tambien significa que una alteracion en un area puede afectar a la otra. Estar al tanto de esta mezcla ayuda a explicar por que un evento en una parte de una organizacion puede afectar la prestacion del servicio.
• Fuerte dependencia de la comunidad. Quizas la categoria mas importante, y la menos tecnica. Las comunidades modernas tienen muy poca tolerancia a la perdida de agua, energia electrica o control de trafico, y muy pocos respaldos manuales. Esa dependencia es en si misma un riesgo para el cual planificar, porque significa que incluso una interrupcion corta produce un gran impacto publico.

Efectos en cadena y dependencia de la comunidad

La razon por la que los gestores de emergencias le dan a este tema un peso real es que estos sistemas no fallan de forma aislada. Fallan unos dentro de otros. Entender los efectos en cadena es una de las cosas mas valiosas que un lider de seguridad publica puede aportar.

Piense en como una perdida arrastra a otras. La perdida de energia electrica puede apagar el equipo que mantiene la presion del agua, porque las bombas necesitan electricidad. La presion de agua debilitada reduce la capacidad de combatir incendios justo en el momento en que la demanda puede estar aumentando. Un corte de energia tambien apaga los semaforos, lo que retrasa cada respuesta y complica cualquier evacuacion. La infraestructura de comunicaciones a menudo tambien depende de la energia electrica, asi que las herramientas que usted usaria para coordinar la respuesta pueden verse debilitadas tambien. Cada falla aumenta la dificultad de manejar la siguiente.

Aqui es donde la parte de la dependencia de la comunidad se vuelve concreta. Una generacion atras, mas de estas funciones tenian respaldos manuales o locales. Hoy la redundancia es menor y la expectativa publica es mayor. La gente asume el agua, la energia electrica y las vias despejadas de la misma forma en que asume la gravedad. Cuando ese supuesto se rompe, las llamadas de servicio aumentan, la paciencia baja y el incidente crece mas alla de la falla tecnica original.

Para efectos de planificacion, la conclusion es mapear las dependencias antes de necesitarlas. Sepa cuales de sus capacidades centrales de respuesta dependen de que piezas de infraestructura. Sepa que pierden sus unidades primero, luego segundo y luego tercero, cuando un sistema determinado se apaga. Ese mapa vale mas en la primera hora de un incidente de infraestructura que cualquier cantidad de detalle tecnico sobre el sistema mismo.

Que puede hacer un departamento y una agencia de gestion de emergencias

La buena noticia es que las acciones mas valiosas aqui son acciones de relacion y de planificacion, cosas que seguridad publica ya hace bien. Usted no tiene que convertirse en experto en sistemas de control. Tiene que convertirse en un buen aliado y un buen planificador.

• Construya relaciones con los operadores de las empresas de servicios publicos antes de la emergencia. Sepa quien opera el agua, la energia electrica, el gas y los sistemas de trafico en su area. Tenga sus contactos de emergencia en su plan, no en un buscador al que no puede acceder durante un corte. Una relacion de trabajo construida en tiempos de calma es la inversion de mayor valor que puede hacer en este tema. Pregunteles como se veria una interrupcion desde su lado y como le avisarian a usted.
• Incluya estos escenarios en su planificacion y ejercicios de emergencia. Agregue escenarios de perdida de presion de agua, corte de energia prolongado, perdida de control de trafico y liberacion ambiental a sus ejercicios de mesa y ejercicios a escala completa. Practicar la coordinacion cuando lo que esta en juego es bajo es la manera de encontrar los vacios.
• Entienda y documente los efectos en cadena. Construya el mapa de dependencias descrito arriba. Hagalo parte de sus documentos de planificacion para que un nuevo comandante de incidente no tenga que reconstruirlo bajo presion.
• Planifique la coordinacion y las comunicaciones para un incidente de infraestructura. Decida por adelantado como usted y la empresa de servicios publicos compartiran conciencia situacional, como se comunicaran entre si si las comunicaciones normales estan degradadas y como se manejara el mensaje publico para que la comunidad reciba informacion consistente y tranquila.
• Incorpore esto en su planificacion de continuidad. Asegurese de que sus propias estaciones, unidades y comunicaciones tengan respaldos realistas para una perdida de energia electrica o agua, de modo que su agencia pueda seguir funcionando mientras maneja el incidente mas amplio.

Note que nada de esto requiere tocar los sistemas de una empresa de servicios publicos ni conocer sus detalles tecnicos internos. Requiere conocer a las personas, entender las consecuencias y ensayar la respuesta. Eso esta directamente al alcance de cualquier gestor de emergencias o jefe de departamento capaz.

Un tema delicado, y como lo manejamos

Este es un tema en el que la concienciacion responsable ayuda y el detalle innecesario no. El proposito de este articulo es ayudar a los lideres de seguridad publica a planificar para las consecuencias de una interrupcion de infraestructura, y nada mas. Es intencionalmente general sobre como se construyen y operan estos sistemas, y no dice nada sobre como podria interrumpirse ningun sistema, porque esa informacion no le serviria al lector y podria servirle a la audiencia equivocada.

Debido a que el tema es delicado, el autor, Todd Bowden, lo discutira con mas detalle solo con agencias de seguridad publica verificadas. Los representantes de agencias que deseen una conversacion mas detallada, orientada a la planificacion y coordinacion para su propia jurisdiccion, pueden solicitarla usando el formulario a continuacion. Por favor este preparado para verificar la afiliacion de su agencia. Las solicitudes que no puedan verificarse como provenientes de una agencia legitima de seguridad publica o gestion de emergencias no recibiran una respuesta sustantiva.

Aviso de independencia: RunBoard es una plataforma de operaciones independiente y no esta afiliada, respaldada ni patrocinada por ninguna empresa, producto, red o agencia mencionada en este articulo. Los nombres se usan solo con fines de identificacion y educacion.