Mes Nacional de la Seguridad y la Resiliencia de las Infraestructuras Críticas
Noviembre es el Mes Nacional de la Seguridad y la Resiliencia de las Infraestructuras Críticas, y no hay mejor momento para destacar la importancia de garantizar la seguridad de una de las infraestructuras más críticas de nuestra nación: el sector energético.
Aunque a menudo lo damos por sentado, nuestro modo de vida depende de la seguridad y la estabilidad del sector energético de nuestro país. Las recientes noticias sobre ciberataques a infraestructuras energéticas en todo el mundo, entre las que se incluyen la red eléctrica de Ucrania (se abre en una nueva pestaña) y una central nuclear en Alemania (se abre en una nueva pestaña), ponen de relieve el riesgo al que se enfrenta nuestro sector energético: las brechas de seguridad podrían provocar no solo el robo de datos, sino también daños físicos.
Nuestra infraestructura energética estadounidense se encuentra en una situación especialmente delicada. Por un lado, la mayor parte de nuestra red eléctrica sigue basándose en tecnologías obsoletas. La Sociedad Americana de Ingenieros Civiles ha informado (se abre en una nueva pestaña) de que el 70 % de las líneas de transmisión de nuestro país tienen más de 25 años. Por otro lado, la tecnología está transformando el funcionamiento de todo el sector energético. Los dispositivos energéticos de nuestros hogares y edificios, los sistemas de control de las centrales eléctricas y los sistemas que gestionan los oleoductos y gasoductos están cada vez más conectados a Internet, a menudo sin las medidas de seguridad necesarias para protegerlos y gestionarlos. Más de 89,000 sistemas de control industrial son accesibles públicamente a través de Internet, muchos de los cuales cuentan con controles de seguridad mínimos. Debido a la naturaleza interconectada del sector energético y a la rapidez viral de las redes sociales, la paralización de uno solo de estos sistemas podría provocar pánico entre la población y suscitar inquietudes sobre la resiliencia de la red eléctrica.
Clave para reducir el riesgo
La clave para reducir este riesgo reside en la colaboración entre las empresas energéticas y las organizaciones gubernamentales, más allá de los límites establecidos por la Corporación Norteamericana para la Fiabilidad Eléctrica — Protección de Infraestructuras Críticas (NERC-CIP). Afortunadamente, estamos observando indicios en todo el sector de que se están adoptando las medidas necesarias para reforzar la colaboración internacional.
Ocho grandes empresas energéticas internacionales, entre las que se encuentran Shell y la noruega Statoil, se han asociado con el organismo de certificación del sector DNV GL para elaborar unas directrices de ciberseguridad específicas para el sector. En concreto, elaborarán una guía de buenas prácticas para los sistemas de automatización y control industrial, que podría convertirse en una norma del sector en el plazo de un año. Esta colaboración es una buena señal para el sector, y animo a más empresas a que se sumen a esta iniciativa.
Sin embargo, para mejorar realmente la ciberseguridad, es necesario que se produzca un cambio cultural más amplio en las empresas del sector energético, y ese cambio debe comenzar en la sala de juntas (se abre en una nueva pestaña). Los miembros del consejo de administración y los directores generales deben comprender los riesgos cibernéticos a los que se enfrentan y qué medidas pueden adoptar para mitigarlos. Hay algunos indicios iniciales que apuntan a que esto está ocurriendo. Un informe reciente del Consejo Mundial de la Energía, « » «», «The Road to Resilience – Managing Cyber Risk» (se abre en una nueva pestaña), señala que las empresas del sector energético reconocen cada vez más los ciberataques como una amenaza fundamental para su actividad.
Conclusión
Si bien este cambio cultural debería iniciarse dentro de cada organización, una vez más, las empresas y el Gobierno pueden contribuir en gran medida a reducir su riesgo cibernético compartiendo entre sí información sobre amenazas. Se podrían evitar muchos ataques si las empresas (y los organismos públicos) contaran con directrices que especificaran exactamente qué información deben compartir y con quién deben compartirla. Sin embargo, las empresas suelen temer que se emprendan acciones legales contra ellas si notifican una violación de la seguridad; o, lo que es peor, son incapaces de tomar medidas a partir de la información o los indicadores facilitados debido a que su infraestructura y sus herramientas están obsoletas. Se trata de una cuestión que la próxima Administración debería abordar para fomentar una mayor colaboración entre el sector público y el privado.
Nos encontramos en un momento crucial, en el que nuestra red eléctrica está cambiando rápidamente y se van a incorporar cada vez más dispositivos energéticos conectados a Internet. Meanwhile, the oil and gas industries are expected to spend $1.87 billion (opens in a new tab) on cybersecurity annually by 2018—a sign that they are taking the threat seriously. Sin embargo, el gasto no es la solución definitiva. Por el contrario, una combinación de colaboración y un cambio en nuestra cultura que nos impulse a comprometernos a actualizar la tecnología obsoleta contribuirá mucho más a mejorar nuestra seguridad.
Acerca del autor,: En su cargo de director de seguridad en Tanium, Andre McGregor se dedica a la ciberseguridad. Posee un profundo conocimiento de las técnicas cibernéticas de carácter delictivo y de contrainteligencia que se utilizan para atacar las redes informáticas y las infraestructuras de Estados Unidos. Antes de incorporarse a Tanium, Andre trabajó como agente especial cibernético del FBI en la ciudad de Nueva York, y posteriormente fue ascendido a agente especial supervisor en la sede central del FBI. En el FBI, el señor McGregor fue agente técnico de alto rango y responsable principal de la respuesta ante incidentes en varios casos de intrusiones informáticas a gran escala. Además, desempeñó el cargo de enlace cibernético del FBI ante las Naciones Unidas y de enlace cibernético del FBI ante el DHS, el US-CERT y el ICS-CERT. Antes de incorporarse al FBI, McGregor estudió en la Universidad de Brown, comenzó su carrera profesional en Goldman Sachs y, posteriormente, ocupó el cargo de director de TI en Advogent (Cardinal Health), donde supervisaba todas las operaciones de TI a nivel nacional. En su tiempo libre, Andre también ejerce de asesor técnico y en materia del FBI para la serie «Mr. Robot».
