Para ANDRITZ, proveedor líder de plantas, equipos y soluciones industriales, mantenerse al día de las ciberamenazas era cada vez más difícil. Una de las razones era que su entorno informático incluía una variedad de sistemas y políticas de seguridad que complicaban los avances en materia de seguridad. Pero un problema mayor era la amplitud del perímetro de seguridad de la empresa y la superficie de ataque: ANDRITZ cuenta con más de 280 centros de producción y organizaciones de servicios y ventas en todo el mundo. Aproximadamente el 50% de sus 27.000 empleados viajan y utilizan la red de la empresa y las opciones de conectividad remota para acceder automáticamente a los recursos informáticos. Además, numerosos contratistas e ingenieros tienen acceso a los principales sistemas informáticos.

Klaus Glatz, director digital de ANDRITZ, se percató de los riesgos. "Con tantas conexiones remotas a nuestros equipos no se trata sólo de los empleados de ANDRITZ, sino también de muchas empresas externas. Por eso se trata de transparencia, visibilidad y comprensión holística de lo que ocurre. No se puede poner en riesgo la operación de un cliente".

Los clientes de ANDRITZ operan centrales hidroeléctricas, fábricas de pasta y papel, plantas químicas y fábricas metalúrgicas que dependen de las plantas, equipos y sistemas de la empresa para funcionar. Una violación de seguridad o una vulnerabilidad en las TI podría dar pie a algo mucho más grave o catastrófico, sobre todo si las intenciones de un actor de la amenaza van más allá del robo de datos.

Desde el principio, ANDRITZ tuvo un objetivo claro y bien definido que iba más allá de la simple implementación de una colección de herramientas de ciberseguridad operadas por un tercero. La empresa necesitaba una organización de servicios que comprendiera sus necesidades y pudiera complementar el equipo y la estructura existentes.

En julio de 2020, tras investigar a varios proveedores, ANDRITZ sustituyó su anterior MSSP por MSS. IBM diseñó y desplegó una solución completa en menos de seis meses, incluyendo la integración del software, la implantación de los servicios de seguridad y la finalización de un despliegue mundial para demostrar las ventajas del modelo de software como servicio (SaaS). Como la pandemia COVID-19 no permitió a los equipos mundiales reunirse en persona, todo el trabajo se realizó a distancia y mediante reuniones virtuales. Esto exigía aún más profesionalidad y confianza de ambas partes.

"Lo primero que pensamos fue que IBM era una empresa demasiado grande y demasiado burocrática, y que probablemente no encajaba bien con nosotros", admite Strieder. "Pero después de trabajar juntos, nos vimos obligados a replantearnos las cosas. IBM hizo exactamente lo que esperábamos. Fueron superflexibles. Escucharon nuestras necesidades, y dieron con las soluciones adecuadas."

Para la gestión de eventos e información de seguridad (SIEM), ANDRITZ eligió la tecnología IBM® Security QRadar on Cloud implementada como SaaS. La plataforma ayuda al centro de operaciones de seguridad (SOC) de ANDRITZ, con sede en Polonia, a centrarse en la detección y corrección de amenazas, mientras que los profesionales de IBM Security se encargan de la gestión de la infraestructura las 24 horas del día. El SIEM ingiere datos y eventos de registro de múltiples fuentes a través de la red. Mediante la aplicación de análisis avanzados y correlaciones entre distintos tipos de datos (redes, endpoints, activos, vulnerabilidades, amenazas, etc.), el SOC obtiene una visión holística de la seguridad.

Cuando el sistema detecta actividades o patrones sospechosos, como múltiples intentos fallidos de inicio de sesión, activa una alerta automática. Dependiendo del nivel de gravedad, el equipo de IBM Security abre una incidencia o trabaja directamente con el SOC para proporcionar recomendaciones de respuesta. ANDRITZ también puede recurrir al equipo de IBM Incident Response Services para que lleve a cabo una investigación directa.

"La solución nos garantiza una protección adecuada", afirma Glatz. "Tenemos mucha más información y transparencia. Normalmente, se producen millones de incidentes al día, por lo que es importante que nuestro personal comprenda y seleccione los 25 o 30 más críticos, esos que podrían suponer un alto riesgo para el entorno".

El servicio SIEM se complementa con dos servicios adicionales: IBM® X-Force Red Vulnerability Management Services más soporte de clasificación y reparación, e IBM Managed Detection and Response Services, que se integra con la tecnología antivirus CrowdStrike Falcon Prevent para acelerar la detección y corrección de amenazas.

X-Force Red Vulnerability Management Services analiza los sistemas de ANDRITZ y evalúa las vulnerabilidades de seguridad. Cada análisis genera un informe que puntúa las vulnerabilidades por gravedad mediante el sistema común de puntuación de vulnerabilidades (CVSS). Esto ayuda a ANDRITZ a priorizar la respuesta ante incidentes.

"Para nosotros, el componente proactivo es la gestión de vulnerabilidades", explica Strieder. "Con la gestión de la vulnerabilidad se pueden hacer muchas cosas mal. Necesitábamos a alguien que nos ayudara a superar estos puntos débiles y a priorizar lo primero que debíamos atender. Es un esfuerzo conjunto".

Managed Detection and Response Services emite alertas que son recogidas por el servicio SIEM. Utiliza el machine learning y la IA para evaluar las actividades que tienen lugar en los ordenadores portátiles, teléfonos móviles y otras interfaces de los empleados. Si detecta un comportamiento anómalo, puede bloquear los sistemas, dando tiempo a ANDRITZ para investigar.

Para aumentar las capacidades de su SIEM y su programa de seguridad, ANDRITZ aprovecha IBM Security X-Force Threat Management Services, una oferta completa que integra capacidades de conocimiento de amenazas, protección, detección, respuesta y recuperación.