Para ANDRITZ, proveedor líder de plantas, equipos y soluciones industriales, mantenerse al día con las amenazas cibernéticas se había vuelto cada vez más difícil. Una de los motivos era que su entorno de TI incluía una variedad de sistemas y políticas de seguridad que complicaban las iniciativas de seguridad. Pero un problema mayor era la inmensidad del perímetro de seguridad y la superficie de ataque de la empresa: ANDRITZ cuenta con más de 280 centros de producción y organizaciones de servicio/ventas en todo el mundo. Aproximadamente el 50 % de sus 27 000 empleados viajan y utilizan las opciones de red y conectividad remota de la empresa para acceder automáticamente a los recursos de TI. Una gran cantidad de contratistas e ingenieros externos también tienen acceso a los sistemas clave de TI.

Klaus Glatz, director digital de ANDRITZ, reconoció los riesgos. “Tenemos todas estas conexiones remotas con nuestro equipo. No solo son empleados de ANDRITZ, también son muchas empresas externas. Por eso se trata de transparencia, visibilidad y obtener una comprensión holística de lo que está sucediendo. No puedes arriesgar las operaciones de un cliente”.

Los clientes de ANDRITZ operan centrales hidroeléctricas, fábricas de celulosa y papel, plantas químicas y fábricas metalúrgicas que dependen de las plantas, el equipo y los sistemas de la empresa para funcionar. Potencialmente, una violación de seguridad o vulnerabilidad en TI podría proporcionar abrir una vía hacia algo de mayor alcance o más catastrófico, especialmente si las intenciones de un actor de amenazas van más allá de robar datos.

Desde el principio, ANDRITZ tenía un objetivo claro y bien definido que fue más allá de simplemente implementar una colección de herramientas de seguridad cibernética operadas por un tercero. La empresa necesitaba una organización de servicios que comprendiera sus requisitos y pudiera complementar el equipo y la configuración existentes.

En julio de 2020, después de investigar a varios proveedores, ANDRITZ reemplazó su antiguo MSSP por MSS. IBM diseñó y desplegó una solución integral en menos de seis meses, incluida la integración del software, la implementación de los servicios de seguridad y la finalización de un despliegue mundial para demostrar los beneficios del modelo de software como servicio (SaaS). Como la pandemia COVID-19 no permitió a los equipos mundiales reunirse en persona, todo el trabajo se realizó a distancia y mediante reuniones virtuales. Esto exigió aún más profesionalismo y confianza de ambas partes.

“Lo primero que pensamos fue que IBM era una empresa demasiado grande, demasiado burocrática y probablemente no encajaba bien con nosotros”, admite Strieder. “Pero después de trabajar juntos, tuvimos que reajustar nuestras ideas. IBM hizo exactamente lo que esperábamos. Fueron súper flexibles. Escucharon nuestras solicitudes. Y se les ocurrieron las soluciones adecuadas”.

Para la gestión de eventos e información de seguridad (SIEM), ANDRITZ eligió la tecnología IBM Security QRadar® on Cloud desplegada como SaaS. La plataforma ayuda al centro de operaciones de seguridad (SOC) de ANDRITZ, con sede en Polonia, a centrarse en la detección y corrección de amenazas, mientras que los profesionales de IBM Security proporcionan una gestión de la infraestructura las 24 horas del día. La SIEM consume datos y registra eventos de varias fuentes en toda la red. Al aplicar analytics avanzados y correlaciones entre los tipos de datos (red, endpoint, activos, vulnerabilidad, datos de amenazas y más), el SOC obtiene un panorama integral de la seguridad.

Cuando el sistema detecta actividad o patrones sospechosos, como múltiples intentos fallidos de inicio de sesión, activa una alerta automática. Dependiendo del nivel de gravedad, el equipo de IBM Security crea un ticket o trabaja directamente con el SOC para brindar recomendaciones de respuesta. ANDRITZ también puede recurrir al equipo de IBM Incident Response Services para llevar a cabo una investigación directa.

“La solución garantiza que estemos protegidos adecuadamente”, afirma Glatz. “Tenemos mucha más información y transparencia. Por lo general, tenemos millones de eventos al día, por lo que es importante que nuestro personal comprenda y seleccione los 25 o 30 eventos más críticos que podrían ser de alto riesgo para el entorno”.

El servicio SIEM se complementa con dos servicios adicionales: IBM X-Force® Red Vulnerability Management Services más soporte de clasificación y corrección, e IBM Managed Detection and Response Services, que se integra con la tecnología antivirus CrowdStrike Falcon Prevent para acelerar la detección y corrección de amenazas.

Los servicios de gestión de vulnerabilidades X-Force Red analizan los sistemas de ANDRITZ y evalúan las vulnerabilidades de seguridad. Cada análisis produce un informe que clasifica las vulnerabilidades por gravedad con el sistema común de puntuación de vulnerabilidades (CVSS). Esto ayuda a ANDRITZ a priorizar la respuesta ante incidentes.

“Para nosotros, el componente proactivo aquí es la gestión de vulnerabilidades”, explica Strieder. “Con la gestión de vulnerabilidades se pueden hacer muchas cosas mal. Necesitábamos a alguien que trabajara con nosotros a través de estas vulnerabilidades y priorizara lo que debemos solucionar primero. Es un esfuerzo conjunto”.

Managed Detection and Response Service emite alertas que el servicio SIEM atiende. Utiliza el aprendizaje automático y la IA para evaluar las actividades que tienen lugar en las computadoras portátiles, los teléfonos celulares y otras interfaces de los empleados. Si detecta un comportamiento anómalo, puede bloquear los sistemas, lo que le da tiempo a ANDRITZ para investigar.

A fin de aumentar las capacidades de su SIEM y su programa de seguridad, ANDRITZ se beneficia de IBM Security X-Force Threat Management Services, una oferta completa que integra capacidades de insights de amenazas, protección, detección, respuesta y recuperación.