A finales de noviembre, apenas unos días antes de que el pavo de Acción de Gracias llegue a la mesa, los piratas informáticos lanzarán un ataque coordinado contra la red eléctrica de América del Norte. Se centrarán en las centrales eléctricas, las torres de transmisión y las instalaciones de distribución, en una demostración de fuerza que dejará sin electricidad a millones de hogares y paralizará las infraestructuras.
El FBI, el Departamento de Seguridad Nacional y decenas de responsables de seguridad de la información (CISO) de las principales empresas de servicios públicos tendrán dificultades para responder y evitar que el ataque se extienda. Afortunadamente, tendrán contacto directo con los atacantes y comprenderán sus motivos: quieren protegernos.
Este escenario de ataque forma parte de una iniciativa a gran escala puesta en marcha por el organismo regulador de las empresas de servicios públicos más importante del país con el fin de someter a pruebas de resistencia la preparación de nuestro sistema energético, con el objetivo de identificar sus puntos fuertes y detectar sus puntos débiles ante un ataque digital o físico. La North American Electric Reliability Corporation (NERC), organismo regulador del sector, pondrá en marcha este ataque simulado contra cientos de empresas de suministro eléctrico los días 16 y 17 de noviembre.
Nunca ha habido tanto en juego. El año pasado, los ataques de ransomware , los ataques de tipo « » y los ataques a la cadena de suministro dirigidos contra las redes de servicios públicos se duplicaron con creces, según un estudio de la NERC . En los dos años transcurridos desde el último simulacro de la NERC, en el año 2019, se ha producido una pandemia mundial. Las redes de servicios públicos se han disparado con el teletrabajo, y se han abierto nuevos frentes de ataque para los piratas informáticos a medida que se ha multiplicado el número de dispositivos de los trabajadores que trabajan « » .
La NERC deja en manos de las empresas de servicios públicos la tarea de invitar a los desarrolladores de software a participar en el simulacro. Sin embargo, las empresas de servicios públicos no siempre lo hacen, y esto está haciendo saltar las alarmas. Los recientes ataques a la cadena de suministro que han afectado al proveedor de software , a Kaseya en julio y a SolarWinds el año pasado ponen de relieve la importancia que tienen los proveedores de software para muchos sectores, entre ellos las empresas de servicios públicos, los organismos federales y las instalaciones críticas del país.
Las pruebas de seguridad de las redes de servicios públicos no pueden considerarse completas sin la participación de los principales actores de dichas redes. Así lo afirman expertos como Tim Conway, del SANS Institute, una organización dedicada a la investigación y la formación en materia de ciberseguridad. El señor Conway es director técnico de los programas de sistemas de control industrial (ICS) y de control de supervisión y adquisición de datos (SCADA) de SANS. «Los desarrolladores de software desempeñan un papel muy importante en el mundo real como socios de sus clientes en la defensa y la detección continuas de incidentes potencialmente maliciosos», afirma. «Son imprescindibles para el funcionamiento».
Verdaderas señales de alarma
El ejercicio de seguridad de la red eléctrica « » ( , GridEx), como se denomina el simulacro de la NERC, se ha celebrado cada dos años desde 2011. En el primer simulacro participaron 24 empresas de servicios públicos. Los intrusos irrumpieron físicamente en subestaciones y centros de control de respaldo e instalaron software malicioso que interrumpió procesos operativos clave. En 2019, los ataques físicos simulados contra 254 empresas de servicios públicos participantes demostraron que podían interrumpir el suministro de combustible, alterar los sistemas de control energético y causar daños en las instalaciones de generación, transmisión y distribución.
«. Identificar cómo las brechas de seguridad en el software afectan a los sistemas es un aspecto fundamental para proteger nuestras redes.»Anne Marie Corbalis, responsable de relaciones con los medios de comunicación de Consolidated Edison de Nueva York
La simulación 2019 se dividió en cuatro segmentos. En la primera parte, el portal de información compartida sobre riesgos de ciberseguridad de la NERC —el Centro de Intercambio y Análisis de Información Eléctrica (E-ISAC)— alertó a las empresas de suministro eléctrico de una posible amenaza inminente contra la red eléctrica. A continuación, se facilitó información sobre una campaña de malware dirigida a los sistemas de control, y la red eléctrica comenzó a sufrir un déficit de generación.
El impacto máximo del ataque se produjo en la segunda fase, lo que provocó cortes de electricidad en 5 millones de hogares y afectó a las plantas de tratamiento de agua. En la segunda y tercera partes, las empresas de servicios públicos y el Gobierno pusieron en marcha planes de respuesta y coordinaron las medidas a adoptar para neutralizar el ataque. Los proveedores de sistemas de control industrial (ICS) lanzaron un parche de software necesario para reparar los sistemas dañados; las empresas de servicios públicos instalaron los parches y se restableció el suministro eléctrico de la red.
En la prueba 2019 , queda patente la dependencia de los proveedores para ayudar a las empresas de servicios públicos a restablecer el funcionamiento de la red eléctrica. Sin embargo, en el simulacro solo participaron tres proveedores importantes de la cadena de suministro. Y en la edición anterior de GridEx, en 2017, las empresas de servicios públicos no invitaron a ningún proveedor. En su informe «Lecciones aprendidas» , elaborado tras el simulacro 2019 , la NERC señaló que algunas empresas de servicios públicos «carecían de los recursos necesarios para coordinar las respuestas» al ataque simulado y concluyó que «corresponde a las organizaciones participantes incluir a los socios de la cadena de suministro en sus planes de respuesta».
A medida que las empresas de servicios públicos se han ido digitalizando y conectando entre sí, sus posibles puntos vulnerables han aumentado. Estos espacios cuentan cada vez más con la participación de terceros, como los desarrolladores de software, cuyas actualizaciones de productos pueden constituir una puerta trasera para los piratas informáticos. La seguridad de las empresas de servicios públicos depende cada vez más de las defensas cibernéticas de las empresas con las que interactúan.
Estrategias para todo el año
La NERC sigue sosteniendo que no es responsabilidad del organismo regulador invitar a los promotores a la prueba. Aunque la NERC «recomienda encarecidamente» a las empresas de servicios públicos que incluyan a los proveedores, considera que «los propios participantes son quienes mejor pueden determinar qué proveedores son fundamentales para sus operaciones», afirma la portavoz de la NERC, Rachel Sherrard.
«. La seguridad de las empresas de servicios públicos depende cada vez más de las ciberdefensas de las empresas con las que interactúan.»
Según Sherrard, en la prueba de este año, la NERC permitirá que algunos proveedores asistan como observadores a la parte del ejercicio destinada a altos ejecutivos del sector y altos cargos del Gobierno. Esta sesión, a la que solo se puede asistir por invitación y que se conoce como «Executive Tabletop», está integrada por directores generales, directores de operaciones y altos cargos de organismos como el Departamento de Seguridad Nacional (DHS), el Departamento de Defensa, el FBI y el Consejo de Seguridad Nacional de la Casa Blanca. Su tarea consiste en decidir y aplicar las «medidas de alto nivel» necesarias para restablecer la red eléctrica tras el ciberataque simulado.
Así pues, en el simulacro de este año, algunos proveedores participarán a petición de la NERC, mientras que otros estarán presentes por invitación de empresas de suministro eléctrico concretas, y no está claro cuántos proveedores participarán. Teniendo esto en cuenta, resulta difícil imaginar cómo la simulación puede reproducir íntegramente un ciberataque real. Para algunos miembros del sector, eso no es suficiente.
«Determinar cómo afectan las brechas de seguridad en el software a los sistemas es un aspecto fundamental para proteger nuestras redes», afirma Anne Marie Corbalis, responsable de relaciones con los medios de comunicación de Consolidated Edison de Nueva York.
Cuando la NERC inició las pruebas, todo lo que las empresas de servicios públicos tenían implantado, incluido el software de ciberseguridad, se sometió a prueba durante los simulacros. En la actualidad, las redes del sector son más fluidas. En todo momento, hay diferentes terceros activos en sus plataformas en línea, desde desarrolladores de software hasta proveedores que prestan servicios externalizados, como recursos humanos, finanzas y auditoría. Las redes de servicios públicos no se quedan quietas, y todos estos elementos añadidos requieren una ciberseguridad sólida.
[Lea también: La ciberseguridad, principal motivo de preocupación para el regulador energético]
Conway afirma que las empresas de servicios públicos deberían identificar a los promotores que desempeñan un papel fundamental en sus sistemas de protección y invitarlos específicamente a los simulacros de GridEx. Esto ayudará a los desarrolladores y a otros proveedores a detectar las vulnerabilidades reales y a responder ante ellas.
Las empresas de servicios públicos necesitan una buena higiene cibernética
Independientemente de sus defectos, no cabe duda del valor que tiene la simulación bienal de ciberataques. Sin embargo, el carácter dinámico de las redes de servicios públicos implica que la supervisión, la revisión y la mejora continuas de las defensas cibernéticas revisten la misma importancia.
Una de las recomendaciones de la NERC al sector de las empresas de servicios públicos en su informe 2019 es la necesidad de contar con un plan de respuesta ante incidentes de seguridad informática ( ) cuidadosamente elaborado, lo cual resulta crucial para la higiene cibernética de una organización. Las empresas de servicios públicos deben coordinarse con las autoridades federales, estatales y provinciales en caso de que se produzca un ataque informático grave.
Durante la pandemia, el modelo de referencia para una interacción segura entre dispositivos finales ha sido el modelo «zero trust». Con este enfoque, cualquier punto final, dispositivo o usuario se considera no fiable hasta que se verifique, y el acceso de los trabajadores se basa en quién solicita dicho acceso, el contexto de la solicitud y el riesgo que supone para la red.
Otras prácticas de higiene cibernética también contribuyen en gran medida a reforzar las defensas. Entre ellos se encuentran:
- Inventario de todos los dispositivos finales Llevar un control de todos los activos —ordenadores portátiles, ordenadores de sobremesa, tabletas e incluso máquinas virtuales en la nube— le permite obtener una visibilidad completa de la red y supervisar los dispositivos finales en tiempo real, lo que le ayudará a detectar posibles vulnerabilidades y amenazas activas.
- Herramientas de gestión de software:, , . Estas herramientas le permiten mantenerse al día con las aplicaciones, los dispositivos, el software, las actualizaciones de software y la aplicación de parches. Una única plataforma puede ayudar a las empresas de servicios públicos a detectar, supervisar y proteger las aplicaciones empresariales desde una sola consola.
- Autenticación multifactorial El uso de varios métodos de autenticación, junto con una gestión rigurosa de las contrase s , puede proporcionar una defensa sencilla pero sólida frente a los piratas informáticos, lo que podría haber evitado la brecha de seguridad de Colonial Pipeline.
- Puntuación de riesgo cibernético Una puntuación de riesgo cibernético ayuda a evaluar la gestión de vulnerabilidades internas y la de los proveedores externos.
- Detección proactiva de amenazas La búsqueda de actividades inusuales le permite supervisar las plataformas, así como detectar y subsanar las amenazas antes de que los piratas informáticos tengan la oportunidad de causar ningún daño.
