Mientras las Naciones Unidas celebran este viernes su Día Mundial del Agua anual con el fin de sensibilizar sobre los problemas mundiales relacionados con el agua, las autoridades estadounidenses advierten de una oleada de ciberataques contra los sistemas de abastecimiento de agua y de tratamiento de aguas residuales en todo el país, lo que reaviva la preocupación por la vulnerabilidad de este sector, a menudo pasado por alto y con una financiación insuficiente.
Una reunión extraordinaria de los responsables estatales de seguridad nacional celebrada el jueves, una carta conjunta de la Casa Blanca y la Agencia de Protección Medioambiental (EPA) emitida el martes, y una audiencia del Congreso celebrada en enero han puesto de relieve la necesidad de reforzar la ciberdefensa del sector del agua, todo ello después de que, en noviembre, los investigadores atribuyeran una serie de ataques a piratas informáticos respaldados por Irán y de que el FBI señalara las amenazas continuas procedentes de China.
Para tratarse de una parte tan fundamental de nuestra infraestructura, las medidas de protección son lamentablemente insuficientes.
«Los sistemas de agua potable y de aguas residuales constituyen un objetivo atractivo», escribieron el administrador de la EPA, Michael Regan, y el asesor de seguridad nacional, Jake Sullivan, en la carta enviada a los gobernadores estatales en la que les alertaban sobre los ataques informáticos iraníes y los posibles ataques futuros por parte de un grupo patrocinado por China. Según señalaron, en demasiadas instalaciones de abastecimiento de agua «ni siquiera se aplican las medidas básicas de ciberseguridad», lo que «puede marcar la diferencia entre la continuidad de la actividad habitual y un ciberataque que provoque una interrupción del servicio».
Analicemos las últimas cifras:
- 150,000 – El número de empresas de suministro de agua que proporcionan agua potable y dan servicio (junto con 16,000 sistemas públicos de tratamiento de aguas residuales) a hasta el 90 % de los estadounidenses (EPA, CISA)
- Menos del 25 % – El porcentaje de operadores de sistemas de abastecimiento de agua y de tratamiento de aguas residuales que realizan evaluaciones anuales de riesgos de ciberseguridad (EPA)
- 25 % – : el porcentaje estimado de sistemas de abastecimiento de agua a nivel mundial que probablemente habrán sufrido una brecha de ciberseguridad para el año 2025. (GHD)
- 98 % – El porcentaje de ciberataques que podrían evitarse o minimizarse con unas prácticas básicas de ciberseguridad (EPA)
Teniendo en cuenta estas estadísticas que invitan a la reflexión, le ofrecemos aquí una guía básica y concisa sobre la ciberseguridad en el sector del agua, que incluye un resumen de los ataques más recientes y de las audiencias gubernamentales, además de una gran cantidad de consejos y recursos procedentes de los archivos del punto focal de la Red de Seguridad de la Red de Agua de Estados Unidos ( , Focal Point) .
[Lea también: ¿Qué es la ciberresiliencia?] (se abre en una nueva pestaña)
En el ámbito del agua (y de las aguas residuales): piratas informáticos y sesiones de audiencia
El mes pasado, la Agencia de Seguridad Nacional de Estados Unidos ( ) impuso sanciones a seis funcionarios iraníes vinculados a un grupo de piratas informáticos que atacó a varias empresas de suministro de agua estadounidenses el pasado otoño, entre ellas la Autoridad Municipal del Agua de Aliquippa, en Pensilvania. Allí, unos piratas informáticos desactivaron los monitores digitales de presión del agua, lo que obligó a los responsables de la planta a pasar al control manual. Aunque el servicio se mantuvo sin interrupciones y la calidad del agua siguió siendo segura, se estuvo a punto de producir un incidente, sobre todo teniendo en cuenta que muchas autoridades responsables del suministro de agua no disponen de este tipo de sistemas de control manual.
«. El sector del agua, y en particular el de las aguas residuales, no es un ámbito glamuroso.»Rick Jeffares, presidente de la Asociación de Abastecimiento de Agua Rural de Georgia
En enero, Veolia North America, que gestiona los sistemas de agua y aguas residuales en 200 municipios de todo Estados Unidos, informó de un ataque de ransomware contra su división municipal de agua, que afectó a algunas de sus aplicaciones informáticas de gestión de cobros y que podría haber expuesto la información personal de un «número limitado» de personas.
Todo esto fue uno de los temas principales tratados en una reciente audiencia de la Comisión de Energía y Comercio de la Cámara de Representantes ( ) , en la que los responsables de las asociaciones sectoriales instaron al Congreso a aprobar una ley o a conceder financiación para ayudar a las empresas de suministro de agua a acceder a formación en ciberseguridad y a actualizaciones de software. La legislación anterior, como la Ley 2002’s contra el bioterrorismo y la Ley 2018’s de infraestructuras hidráulicas, ofrecía financiación para identificar vulnerabilidades, pero apenas preveía medidas para llevar a cabo las reparaciones necesarias. «Oiga, hemos detectado un problema; ¿dónde están los recursos para resolverlo?» Así lo declaró Cathy Tucker-Vogel, jefa de la sección de abastecimiento público de agua del Departamento de Salud y Medio Ambiente de Kansas y expresidenta de la Asociación Estatal de Administradores de Agua Potable.
Desde la audiencia, la Asociación Americana de Abastecimiento de Agua (American Water Works Association), una asociación sectorial que cuenta con unos 50,000 miembros, se ha reunido con responsables políticos para impulsar la autorización de un modelo regulador colaborativo diseñado por expertos del sector del agua, que estaría supervisado por la EPA. En lugar de una normativa única para todos, esto ofrecería un marco por niveles que reconociera la naturaleza diversa (y las capacidades) de las empresas de suministro de agua, señala Kevin M. Morley, responsable de relaciones federales de la AWWA, en una entrevista exclusiva con « » Focal Point.
«[Necesitamos] requisitos de ciberseguridad razonables que se centren en soluciones prácticas, protectoras y aplicables», afirma Morley. «Tenemos la esperanza de que se presente una propuesta legislativa en los próximos meses».
Lo que está en juego no podría ser más importante, y recae sobre una población activa que envejece.
«Cuando me compro un móvil nuevo, necesito que mi nieta me lo configure», admitió Rick Jeffares, presidente de la Asociación de Agua Rural de Georgia, al declarar ante el Congreso. No es que todos los que trabajan en una empresa de suministro de agua se sientan desorientados ante la tecnología, pero no se puede negar que la plantilla de las empresas de suministro de agua está envejeciendo. «La edad media de los operarios del servicio de agua en Georgia es de 58 años», afirmó Jeffares. Además, en todo el sector del agua de EE. UU., los trabajadores suelen ser de más edad que en otros sectores, y miles de ellos cumplirán los requisitos para jubilarse en los próximos años, según un informe de la EPA de 2020 .
Este problema demográfico subyacente limita en gran medida las políticas. Además, los presupuestos ajustados limitan la posibilidad de ofrecer salarios competitivos que puedan atraer a nuevos talentos.
Y luego, por supuesto, está el factor «asqueroso».
«El sector del agua, y en particular el de las aguas residuales, no es un ámbito glamuroso», reconoció Jeffares.
Estos problemas tan evidentes en materia de contratación llevaron a la NRWA a colaborar con el Departamento de Trabajo de los Estados Unidos en un programa de formación profesional. La próxima generación de profesionales del sector del agua tendrá, sin duda, mayores conocimientos sobre ciberseguridad, pero, mientras tanto, es esencial apostar por programas de formación integrales y una ciberseguridad adecuada , insistió.
The IT and OT of H2O
El agua se está volviendo cada vez más tecnológica. La convergencia entre las tecnologías de la información (TI) y las tecnologías operativas (TO) ha permitido que el personal de las empresas de servicios públicos, cada vez más reducido, gestione de forma remota una infraestructura crítica . La automatización ha salvado, por tanto, al sector, pero también lo deja cada vez más vulnerable a los ciberataques.
«: Las empresas de suministro de agua se encuentran atrapadas en un cañón digital.»Kevin M. Morley, responsable de relaciones federales de la AWWA
En la actualidad, las autoridades responsables del agua suelen gestionarse mediante sistemas de monitorización remota, que utilizan software, hardware y redes de datos para controlar bombas, válvulas, sensores y los procesos de distribución y tratamiento. Los piratas informáticos pueden apropiarse de dichos componentes para, por ejemplo, apagar las bombas que suministran agua potable (como ocurrió en Aliquippa en noviembre) o contaminar los suministros de agua (como en el infame ataque « 2021 » contra una planta de tratamiento de agua en Oldsmar, Florida, donde un pirata informático aún no identificado alteró el nivel de hidróxido de sodio —también conocido como lejía—, un incidente que fue rápidamente detectado y corregido por el personal de la planta, pero que suscitó gran preocupación entre los expertos en ciberseguridad).
Estos activos físicos plantean retos fiscales.
«Las empresas de suministro de agua se encuentran atrapadas en un cañón digital», afirmó Morley en su comparecencia ante el Congreso. El sistema operativo que gestiona las bombas y los motores, explicó, «no ha podido seguir el ritmo de los avances en los sistemas empresariales, que se actualizan a nuevas versiones a un ritmo mucho más rápido».
Las autoridades responsables del agua deben implementar herramientas integrales de gestión de terminales que les ayuden a mejorar la visibilidad de los puntos finales ( ), la gestión de parches (), la gestión de parches ( ), la gestión de actualizaciones ( ) y las medidas de cumplimiento normativo () ( ). En algunos casos, añadió Morley, las instalaciones de tecnología operativa (OT) obsoletas requerirán un proyecto de inversión que implique su «desmantelamiento y sustitución», lo cual resulta más costoso debido a que dichas instalaciones deben seguir funcionando mientras se llevan a cabo las mejoras.
«El agua como servicio»: una nueva solución comercial (y controvertida)
En los últimos años, algunos estados (Indiana, Misuri, California, Nueva Jersey y Tennessee) han aprobado leyes para reforzar las medidas de ciberseguridad de las redes de abastecimiento de agua. En otros estados (Pensilvania, Maryland) fracasó una legislación de tipo « » cuando los proyectos de ley respaldados por empresas privadas de suministro de agua provocaron la oposición de las autoridades públicas de abastecimiento de agua, quienes alegaron que dichos proyectos no eran más que intentos apenas disimulados de impulsar la privatización, lo que inevitablemente impondría tarifas más elevadas a los consumidores.
Aunque eso pueda ser cierto, la magnitud y el alcance de este problema sugieren que podría ser necesaria una solución combinada de iniciativas públicas y privadas. Y los sistemas de abastecimiento de agua autónomos están despertando cada vez más interés.
Así lo afirma Riggs Eckelberry, director ejecutivo de OriginClear, quien pretende crear un «Airbnb del agua» potente y rentable, privatizando el tratamiento del agua y financiándolo mediante rentas vitalicias relacionadas con el agua, respaldadas por activos y de alto rendimiento. Eckelberry participó el año pasado en el podcast complementario de « » de Focal Point, « », , así como en «Let’s Converge», , y sus opiniones parecen aún más pertinentes en medio de la creciente sensación de urgencia que se vive en la actualidad.
«En 2016, cuando empecé a hablar del agua descentralizada, la gente decía: “¿Eh?”.» «¿Qué?»» Eckelberry recordó. «Hoy en día, la gente lo está entendiendo. «Cada vez más personas son conscientes de que la autosuficiencia es sumamente importante».
Como presidente y director de operaciones de la empresa de software de seguridad CyberDefender, el señor Eckelberry llevó a la empresa a salir a bolsa en el NASDAQ. Ahora se muestra optimista respecto al modelo «agua como servicio» o «agua bajo demanda», una forma en que las urbanizaciones residenciales y las empresas, especialmente las pequeñas empresas, pueden tratar su propio agua. Esta mentalidad de disrupción basada en la alta tecnología es la razón por la que «Airbnb se impuso a los hoteles y Uber, a los taxis», afirma. «Y va a suceder en el agua».
[Escuche más: Ep. 5: La verdad sobre los hackers y (sí) su inodoro]
Cómo las contraseñas y las medidas básicas de seguridad cibernética pueden ayudar a los sistemas de abastecimiento de agua y de tratamiento de aguas residuales
Las infracciones básicas, como una seguridad deficiente de las contraseñas y sistemas operativos obsoletos, han influido en muchos de estos ataques. En Aliquippa, los investigadores de la CISA descubrieron que la empresa de suministro de agua seguía utilizando un programa informático con la contraseña predeterminada del fabricante, « “1111” ».
Es el momento de llevarse las manos a la cabeza.
Es un buen recordatorio para los responsables de empresas de cualquier lugar de que nunca está de más insistir en la importancia de las medidas básicas de seguridad cibernética.
Es cierto que no se trata únicamente de un problema de los empleados. Los trabajadores toman atajos por una razón. Los engorrosos procedimientos de inicio de sesión y otros trámites relacionados con la red incitan al personal a buscar soluciones alternativas. ¿Cuál es la solución? Los responsables de las empresas deben mejorar la experiencia digital de sus empleados , una estrategia que puede contribuir a que una plantilla híbrida sea más productiva y a que el servicio de asistencia informática esté menos sobrecargado.
Pero volviendo al tema de las contraseñas… es fundamental encontrar el equilibrio adecuado entre seguridad y comodidad. Eche un vistazo a estos cuatro mitos clave sobre las contraseñas que conviene desmentir.
[Siga leyendo: Los expertos de Tanium desmontan los mitos más comunes sobre las contraseñas]
Financiación para el agua y las aguas residuales: los trucos para conseguirla
, de Focal Point, abordó los aspectos básicos sobre cómo solicitar una parte de los 1.000 millones de dólares del Programa Estatal y Local de Subvenciones para la Ciberseguridad en un artículo destacado de «» ( in 2022 ) y en un episodio del podcast «Let’s Converge» () el año pasado. La competencia por la financiación del tercer año está a punto de endurecerse, por lo que los profesionales del sector del agua deberían empezar a planificarlo ya. Establecer canales de comunicación con los dirigentes del condado es un buen primer paso.
Si desea obtener más consejos sobre cómo abordar el proceso de solicitud, así como un análisis de cómo ha transcurrido la puesta en marcha del programa hasta la fecha, consulte nuestra actualización sobre el SLCGP de enero.
Para informar de un incidente:
Todas las organizaciones deben notificar cualquier incidente de ciberseguridad, ya sea real o presunto, a…
- CISA – . Para ponerse en contacto con el Centro de Operaciones 24/7 de la agencia, envíe un correo electrónico a , report@cisa.govo , o llame al 888-282-0870.
- FBI – . Póngase en contacto con la oficina local del FBI más cercana a través de , , o envíe cualquier información a , tips.fbi.gov o.
Para obtener más recursos sobre ciberseguridad en el sector del agua y de las aguas residuales
El subdirector ejecutivo de ciberseguridad de la CISA, Eric Goldstein, califica al sector del agua y de las aguas residuales de «rico en objetivos, pero pobre en ciberseguridad». Es cierto… por ahora. Sin embargo, existe una gran variedad de recursos y herramientas que pueden ayudar a cambiar la situación. Considere cualquiera de las siguientes opciones:
Agencia de Protección del Medio Ambiente (EPA)
- Evaluación de ciberseguridad y asistencia técnica – La EPA ofrece evaluaciones de ciberseguridad y asistencia técnica gratuitas y confidenciales, en colaboración con Horsley Witten Group, una empresa de ingeniería y consultoría medioambiental.
- Ejercicio de simulación de ciberseguridad (TTX) – Esta guía paso a paso describe cómo las empresas de suministro de agua y de gestión de aguas residuales pueden diseñar su propio ejercicio de simulación.
- Lista de comprobación para la gestión de incidentes de ciberseguridad – Ante todo, un plan de respuesta ante incidentes sólido como una roca requiere rapidez. Este PDF ofrece precisamente eso: diseñado para «facilitar su uso sobre la marcha», divide las instrucciones en tres secciones «listas para usar» para cuando se produzcan incidentes cibernéticos en instalaciones de agua y aguas residuales. Incluso hay espacio para añadir sus propias notas y datos de contacto. (También puede encontrar listas de comprobación sobre el agua y las aguas residuales para incendios forestales, inundaciones, tornados y otras situaciones de crisis en , aquí:.)
- Buenas prácticas de ciberseguridad para el sector del agua – Esta galería ofrece una gran cantidad de información y enlaces a recursos sobre el agua y las aguas residuales que abordan la financiación, la formación y la planificación en materia de ciberseguridad, entre otros temas.
Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA)
- Centro de recursos sobre ciberseguridad en el sector del agua y las aguas residuales – Esta galería de enlaces ofrece información actualizada sobre oportunidades de financiación, así como las últimas noticias sobre el ransomware « », el phishing « » y otras cuestiones.
- Guía de respuesta ante incidentes en los sectores del agua y las aguas residuales – Publicada en enero en colaboración con el FBI y la EPA, esta nueva guía explicativa, que abarca todos los aspectos, guía a los operadores de los sectores del agua y las aguas residuales a lo largo de las cuatro fases de la respuesta ante incidentes. Y lo mejor de todo es que está escrito en un lenguaje sencillo, sin necesidad de conocimientos técnicos.
- Objetivos de rendimiento en materia de ciberseguridad : un conjunto de medidas de protección intersectoriales destinadas a las entidades de infraestructuras críticas, tanto grandes como pequeñas, con el fin de reducir la probabilidad y el impacto de las amenazas cibernéticas. Incluye un conjunto básico de buenas prácticas en materia de ciberseguridad y un punto de referencia para medir y potenciar la madurez cibernética.
- Análisis de vulnerabilidades de «Cyber Hygiene» – Este servicio, que se ofrece de forma gratuita a cualquier sistema que se registre, está prácticamente automatizado y realiza análisis e informes semanales, señalando configuraciones deficientes y vulnerabilidades conocidas.
Instituto Nacional de Normas y Tecnología (NIST)
- Centro de Recursos de Seguridad Informática (se abre en una nueva pestaña) – Esta es la página principal, con información y enlaces a los proyectos de ciberseguridad del NIST, publicaciones, noticias y eventos, además de un glosario de términos (lo necesitará).
- El Marco de Ciberseguridad (CSF) del NIST 2.0 (se abre en una nueva pestaña) – Esta última revisión, publicada el mes pasado, ofrece instrucciones exhaustivas y recursos complementarios para ayudar a las organizaciones a comprender, evaluar, priorizar y comunicar los riesgos de ciberseguridad. El marco del NIST sirve de base para los Objetivos de Rendimiento en Ciberseguridad (CPG) de la CISA y está diseñado para empresas de todos los sectores.
- Controles de seguridad y privacidad para sistemas de información y organizaciones (se abre en una nueva pestaña) – Una publicación sobre seguridad con las últimas actualizaciones, plantillas, hojas de cálculo y otros recursos diseñados para ofrecer un plan personalizable de gestión de riesgos.
Asociación Americana de Abastecimiento de Agua (AWWA)
- Página de inicio de «Ciberseguridad y orientación»: (se abre en una nueva pestaña) – Un centro de recursos en línea sobre ciberseguridad con abundante información para sistemas de abastecimiento de agua, incluida la herramienta de orientación y evaluación de ciberseguridad « » de la AWWA:: Lanzada por primera vez en 2014, esta herramienta interactiva, que se actualiza periódicamente, plantea a las empresas de servicios públicos preguntas sobre la tecnología específica que utilizan y genera una lista personalizada y priorizada de controles.
- Guía sobre la gestión de riesgos de ciberseguridad en el sector del agua para sistemas de pequeño tamaño (se abre en una nueva pestaña) – Elaborada en colaboración con el Departamento de Agricultura de los Estados Unidos, esta «guía de introducción» ayuda a las pequeñas empresas de servicios públicos rurales a evaluar y aplicar las mejores prácticas en materia de ciberseguridad.
- Marco normativo propuesto (se abre en una nueva pestaña) – La AWWA ha abogado por un marco normativo similar al del sector eléctrico, en el que una organización de empresas de suministro de agua elaboraría normas que serían supervisadas y auditadas por la EPA.
