Los modernos sistemas de medición que supervisan el consumo energético y los parámetros operativos de los trenes son dispositivos autónomos que se comunican fuera de las redes de comunicación internas del vehículo. Sin embargo, la transmisión segura de los datos medidos a los servidores administrativos de los proveedores de energía de tracción plantea exigencias muy estrictas en materia de ciberresiliencia, tanto en lo que se refiere a la seguridad de los datos como a la continuidad operativa. Výzkumný Ústav Železniční a.s. (VUZ) ofrece una verificación profesional de la ciberresiliencia y emite un certificado sin el cual el equipo no puede ofrecerse a los clientes.
Este paso permite a VUZ ampliar su cartera de servicios para incluir pruebas de penetración exhaustivas de sistemas, unidades de material rodante e infraestructura. Un ejemplo reciente es el sistema de medición del consumo de energía eléctrica a bordo CEGM-3000 con un contador de energía integrado del tipo EGM-3000 fabricado por POLL, s.r.o., parte del grupo ŠKODA TRANSPORTATION a.s. El objetivo de las pruebas no es solo identificar debilidades técnicas específicas, sino sobre todo verificar la resiliencia general del dispositivo frente a los riesgos cibernéticos en un entorno realista a bordo. La prueba se realizó basándose en las interfaces y servicios disponibles, principalmente puertos Ethernet (ETH0-ETH2), USB, Wi-Fi y la interfaz web. El objetivo era identificar los servicios activos, validar el comportamiento bajo carga y evaluar los puntos de entrada básicos de la aplicación .
Por qué las pruebas de penetración son fundamentales
1) Verificar la seguridad antes de la implementación.
Cada dispositivo de medición y sus interfaces de comunicación se prueban tanto en condiciones de laboratorio como en escenarios operativos simulados . Las pruebas abarcaron las interfaces disponibles (ETH0-ETH2), la interfaz de usuario web, los servicios de aplicación, los diagnósticos, las pruebas XXE básicas y los escenarios de carga DoS. El objetivo era evaluar la superficie de ataque, la resiliencia y el alcance de la fuga de información sin autenticación. Las interfaces examinadas suelen incluir puertos Ethernet, interfaces USB, módulos inalámbricos e interfaces web, lo que permite confirmar que el dispositivo cumple con los estándares de seguridad requeridos.
2) Identificación de posibles superficies de ataque
Las pruebas ayudan a revelar áreas en las que la disponibilidad o la integridad de los datos podrían estar en riesgo. Las pruebas de penetración simulan un comportamiento operativo realista, lo que permite estimar cómo responde el dispositivo al estrés y a condiciones operativas inesperadas.
3) Apoyo al cumplimiento y la certificación
Los resultados de las pruebas de penetración no solo sirven como información para mejorar la seguridad interna, sino también como documentación necesaria para cumplir con las normativas y estándares (por ejemplo, NIS2, ISO/IEC 27001 y EN/IEC 62443 para la ciberseguridad industrial). Para los fabricantes y operadores, esto se traduce en una mayor confianza en la seguridad y la resiliencia de los equipos instalados.
Metodología de pruebas
Las pruebas de penetración especializadas suelen incluir los siguientes pasos:
- Reconocimiento y documentación de interfaces: identificación de puertos, servicios y aplicaciones expuestos.
- Análisis de la superficie de ataque: evaluar qué elementos pueden ser explotables.
- Escaneo y simulación de ataques: realización de pruebas controladas en las capas de red y de aplicación.
- Evaluación de la resistencia bajo carga y escenarios operativos: validación de la estabilidad y disponibilidad de la telemetría y las funciones de gestión de dispositivos.
- Informe con recomendaciones: se elabora un documento claro para el fabricante u operador, que incluye propuestas para mejorar la seguridad y reforzar los dispositivos.
- Certificado que confirma la realización de pruebas de ciberseguridad: confirmación formal de que se ha realizado la prueba de ciberseguridad.
Ventajas para operadores y fabricantes
- Protección proactiva: Las pruebas de penetración descubren posibles debilidades antes de que puedan ser explotadas.
- Mayor confianza: los dispositivos probados proporcionan a los operadores la garantía de que los datos de medición y telemetría se procesan de forma segura.
- Compatibilidad con estándares: Los resultados de las pruebas facilitan el cumplimiento de los requisitos legislativos y técnicos de ciberseguridad .
- Optimización de la integración: Las pruebas aclaran cómo integrar correctamente el dispositivo en la red del vehículo, segmentar el acceso de forma adecuada y minimizar los riesgos.
El futuro de la ciberseguridad en los trenes
Con la digitalización en curso de los vehículos ferroviarios, las pruebas de ciberresiliencia se convertirán en una parte estándar tanto del desarrollo como de las operaciones. En este sentido, VUZ se posiciona como socio de operadores y fabricantes, ayudándoles a implementar tecnologías modernas de forma segura y con un alto grado de fiabilidad.
Las pruebas de penetración de los sistemas de medición a bordo ya no son una cuestión de «experimentación avanzada». Son una parte esencial de las operaciones ferroviarias modernas seguras y eficientes, en las que la tecnología digital y la ciberseguridad van de la mano.
Conclusión
Las pruebas de penetración del sistema de medición de energía eléctrica a bordo CEGM-3000 fabricado por POLL, s.r.o. (ŠKODA TRANSPORTATION a.s.) demostraron que, cuando se instala e integra correctamente en la red del vehículo, el dispositivo es técnicamente fiable y funciona correctamente. El análisis identificó áreas potenciales para mejorar la ciberresiliencia, lo que permite a los operadores y fabricantes implementar medidas preventivas, aumentar la seguridad de los datos y minimizar el riesgo de degradación operativa.
En general, las pruebas proporcionaron información valiosa para respaldar el funcionamiento seguro de los sistemas de medición, reforzar la confianza en su correcto funcionamiento y promover prácticas de seguridad estandarizadas a la hora de introducir nuevos equipos en los vehículos ferroviarios. Tal y como está instalado e integrado, el dispositivo cumple los requisitos operativos y de seguridad y está listo para su implementación en servicio real.
Preparado por: Jaroslav Brabec, VUZ
Equipo de POLL, s.r.o.
