Después de que unos ciberdelincuentes piratearan el gasoducto más grande de Estados Unidos, provocando su cierre durante varios días y poniendo en vilo a los mercados energéticos y a los consumidores, una cosa estaba clara: la infraestructura crítica del país —y las tecnologías que la protegen y la mantienen en funcionamiento— presenta graves deficiencias.
El ataque de ransomware contra Colonial Pipeline, que obligó a la empresa a cerrar sus 5,500 millas de oleoducto durante varios días, provocó un repunte en los precios de la gasolina, llevó a 17 estados a declarar el estado de emergencia y provocó que los habitantes del sureste se lanzaran a una compra compulsiva de gasolina .
El presidente Biden ha promulgado recientemente un decreto ejecutivo muy esperado, titulado « » ( ), con el fin de reforzar las defensas de ciberseguridad del Gobierno federal. Incluía nuevas normas de seguridad para los proveedores de software federales y la creación de una comisión federal de análisis de incidentes cibernéticos.
El ataque a Colonial Pipeline no es más que el último de una serie de ataques dirigidos contra empresas de servicios públicos, hospitales y administraciones locales y federales de Estados Unidos. El problema, según Matthew Masterson, investigador en políticas del Observatorio de Internet de Stanford de la Universidad de California en Berkeley ( ) y antiguo asesor principal de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) del Departamento de Seguridad Nacional, es que estas entidades son objetivos fáciles.
«Los sistemas y el software que sustentan la infraestructura crítica de nuestra nación necesitan una actualización en muchos aspectos», afirma Masterson. Su consejo: «Ya se trate de sistemas informáticos a nivel estatal y federal, de servidores en pequeñas empresas que prestan apoyo a las fuerzas del orden o de software destinado a los hospitales, ahora es el momento de invertir».
«Los sistemas y el software que sustentan la infraestructura crítica de nuestra nación necesitan una actualización en muchos aspectos.»Matthew Masterson, Observatorio de Internet de Stanford
Los expertos en seguridad informática consideran que estas deficiencias en la infraestructura digital se están agravando. Esto deja más margen a los ciberdelincuentes para acceder a estos sistemas críticos, sustraer o alterar información y secuestrar o bloquear las operaciones. Más allá de una simple alteración de la vida cotidiana, estas infracciones pueden acarrear consecuencias graves e incluso de vida o muerte.
Considere estos ataques recientes. En abril, unos piratas informáticos atacaron al Departamento de Policía de Washington, D.C., con un ataque de ransomware de tipo « », amenazando con revelar las identidades de los informantes encubiertos. En febrero, unos piratas informáticos atacaron una planta de tratamiento de agua de Florida e intentaron envenenar el suministro de agua. En los últimos dos años, los piratas informáticos han atacado al menos ocho ciudades, entre ellas Atlanta, Baltimore y Nueva Orleans, lo que ha provocado el cierre de servicios e instalaciones y ha supuesto un coste de millones de dólares para su reparación.
«El uso generalizado y destructivo del ransomware en el ámbito estatal, comarcal y municipal ha servido como una llamada de atención para invertir en infraestructuras de ciberseguridad», afirma Masterson, quien señala que muchas comunidades carecen de los recursos necesarios para llevar a cabo mejoras digitales o han pospuesto esta cuestión en favor de otros proyectos de gasto.
«: Los delincuentes se están desplazando hacia zonas menos protegidas para atacar las infraestructuras de las pequeñas localidades.»
Los ciberdelincuentes, por su parte, siguen la corriente y se desplazan río abajo para atacar las infraestructuras de las pequeñas localidades. Y saben reconocer a una víctima fácil en cuanto la ven. «Los piratas informáticos atacarán estos lugares “en repetidas ocasiones, sabiendo que probablemente les pagarán una y otra vez”», afirma Masterson. Afortunadamente, existen medidas que los directores de sistemas de información (CIO) pueden adoptar hoy mismo para prevenir o mitigar los ataques del futuro.
Subsanar la falta de cualificación
Las tecnologías digitales han aportado numerosos beneficios a las infraestructuras del país. El software ha mejorado la fiabilidad del suministro energético gracias al equilibrio de carga automatizado. La inteligencia artificial ha mejorado el rendimiento de las presas hidroeléctricas de . La automatización ha incrementado la productividad y ha permitido que los trabajadores esenciales —desde el sector sanitario hasta el manufacturero— se centren en tareas de mayor nivel que aumentan la satisfacción laboral de los empleados e impulsan los resultados empresariales.
Sin embargo, la digitalización tiene un precio. Jim McKenney, director técnico de la consultora de seguridad informática NCC Group, afirma que, a medida que aumenta la automatización, los trabajadores necesarios para gestionar sistemas de gran envergadura, complejos y críticos para la misión se quedan atrás. «Los conocimientos y las habilidades necesarios para realizar tareas básicas, como la resolución de problemas o el mantenimiento de la infraestructura, independientemente de la tecnología, están quedando obsoletos ante la promesa de la transformación digital», afirma McKenney.
[Lea también: La próxima generación de la ciberseguridad]
No es ningún secreto que Estados Unidos se ve lastrado por un déficit de competencias en ciberseguridad que provocará que este año queden sin cubrir 500,000 puestos de trabajo en el sector tecnológico, según afirma el Instituto Aspen « ». Si bien la contratación para estos puestos es muy activa en las universidades de cuatro años, las organizaciones más consolidadas que dan prioridad a la seguridad están ampliando su horizonte y recurriendo a trabajadores de «nuevo perfil» que poseen competencias básicas, a los que forman para convertirlos en futuros talentos cibernéticos.
Muchas empresas también buscan diversificar su plantilla y recurren a organizaciones como « », «Black Girls Code» (), « », «The Diana Initiative» () y el « Executive Women’s Forum» ( ) para identificar y formar a un grupo diverso de trabajadores cualificados. Hay quienes se fijan en el otro extremo de la escala corporativa y contratan a trabajadores de más edad que han dejado atrás sus profesiones y a los que se les puede volver a formar. Invertir en programas de formación profesional y de tutoría puede permitir que esos trabajadores menos habituales se pongan al día rápidamente.
Gaste de forma proactiva
Siempre que ocurre algo malo, hay un dicho que reza: «Siga el rastro del dinero». En lo que respecta a los ciberataques, la regla debería ser: siga el rastro de la falta de dinero. Con demasiada frecuencia, los proyectos de TI y seguridad quedan relegados a un segundo plano frente a otras iniciativas que todos pueden ver y con las que todos están de acuerdo. «La financiación siempre es un problema», afirma el abogado Michael Bahar, antiguo asesor jurídico adjunto del Consejo de Seguridad Nacional de la Casa Blanca y codirector del departamento de ciberseguridad y protección de datos a nivel mundial de Eversheds Sutherland.
Muchos directores de sistemas de información (CIO) y directores de seguridad de la información (CISO) vienen de un año de logros sin precedentes a la hora de facilitar y proteger el trabajo a distancia de sus plantillas. Sin embargo, muchas de ellas también se enfrentan a recortes presupuestarios, sobre todo en los organismos públicos y de infraestructuras. Para adelantarse a los delincuentes, las organizaciones deben encontrar formas de invertir en aquellas iniciativas y tecnologías que protejan su infraestructura digital. Entre esos proyectos destaca, sobre todo, la inversión en la gestión de activos en plataformas híbridas de nube pública y privada.
«La financiación de las tecnologías de la información y la seguridad siempre es un problema.»Michael Bahar, del departamento de ciberseguridad de Eversheds Sutherland
En general, la infraestructura adolece de una falta de visibilidad, y el hecho de tener que gestionar múltiples plataformas en la nube complica aún más una situación que ya de por sí resulta confusa: las organizaciones no pueden proteger lo que no ven. Podrán obtener una visión más clara gracias a las plataformas de detección y respuesta en puntos finales de , así como a las capacidades de supervisión.
[Lea también: Es hora de dejar de conformarse con datos de mala calidad]
Sin embargo, según Bahar, la ciberseguridad no tiene por qué ser siempre costosa ni requerir una partida presupuestaria nueva. Las empresas que gestionan infraestructuras críticas —ya sea en los sectores de la energía, la sanidad, la banca o el agua— deben dedicar tiempo a realizar sus propias evaluaciones de riesgos y vulnerabilidades. Esto incluye evaluar a los proveedores con los que trabajan, así como participar en un intercambio significativo de información sobre ciberamenazas.
«A menudo», añade, «la solución a los problemas de alta tecnología es de muy baja tecnología». A modo de ejemplo, Bahar señala que se sabe que los piratas informáticos han atacado las luces de las salas de control energético para interrumpir las operaciones. La solución económica: linternas que funcionan con pilas, para que los trabajadores de la sala de control no se queden (en sentido literal y figurado) a oscuras.
Adopte buenas prácticas de seguridad informática
Las investigaciones revelan que la falta de buenas prácticas de ciberseguridad hace que el 90 % de las empresas sean vulnerables a los ataques informáticos. Mediante la implantación de prácticas de higiene digital, como abandonar los sistemas obsoletos y aplicar regularmente parches de seguridad al software, los operadores de infraestructuras pueden reducir el riesgo de sufrir una filtración de datos.
Otras medidas esenciales son la creación de contraseñas seguras para los usuarios, el uso de la autenticación multifactorial y la adopción de un modelo de «confianza cero», en el que cada dispositivo debe verificar su autenticidad cada vez que intente conectarse a su red.
Asimismo, resulta fundamental obtener visibilidad y control sobre su red, lo que incluye los miles de dispositivos y puntos finales —desde ordenadores personales hasta máquinas virtuales en la nube— que se conectan a su sistema. Masterson recomienda llevar a cabo un seguimiento preciso del rendimiento y una gestión adecuada de la configuración de todos los dispositivos finales. Asimismo, sugiere «garantizar la segmentación de la red e invertir en la capacidad de respuesta». Ha sido testigo de primera mano de las consecuencias de no hacer estas cosas. Según él, cuando sus equipos de la CISA realizaban pruebas de penetración para entidades estatales y locales, «este era el tipo de vulnerabilidades que observábamos que se aprovechaban».
Invierta en las relaciones, no solo en la tecnología
La infraestructura digital de Estados Unidos está compuesta por algunas de las tecnologías más avanzadas del mundo. Lamentablemente, según el abogado especializado en ciberseguridad Bahar, son «vulnerables y las consecuencias son enormes».
Por ese motivo, él y otras personas consideran que los directores de sistemas de información (CIO) de los sectores público y privado deben colaborar, algo que pretende lograr el decreto presidencial del presidente Biden sobre ciberseguridad, con el fin de ayudar a identificar las vulnerabilidades del software de forma temprana y lo más rápidamente posible. Solo así podrán contribuir a evitar el tipo de interrupciones que afectan a sistemas vitales como el Colonial Pipeline.
«Es necesario que las organizaciones civiles, los organismos gubernamentales y el sector de la ciberseguridad aúnen esfuerzos», afirma Om Moolchandani, director de seguridad de la información (CISO) y responsable de investigación de Accurics, una empresa de seguridad en la nube . Solo si logramos eso, afirma, podremos evitar ataques a las redes eléctricas, los colegios, las instalaciones de tratamiento de aguas y otras infraestructuras críticas.
