En 2019, la ciberguerra llegó a la pequeña ciudad de Wisconsin Rapids, en Wisconsin, donde vive Matt Stormoen.
Ese año, unos piratas informáticos malintencionados llevaron a cabo una oleada de ataques de tipo « » contra más de una docena de pequeñas empresas de servicios públicos con escasa protección en 18 estados. Los atacantes, cuya procedencia se ha rastreado hasta Hong Kong, habían elegido sus objetivos debido a su proximidad a infraestructuras críticas de Estados Unidos, entre las que se incluyen importantes presas y líneas de transmisión federales, esclusas de navegación fundamentales para las importaciones de las acerías y centros de distribución de energía a escala de red.
«Intentaron burlar nuestro cortafuegos», afirma Stormoen, responsable de TI en la Comisión de Abastecimiento de Agua y Alumbrado de , en Wisconsin Rapids (), que suministra electricidad a unos 15,000 clientes. Aunque su red no sufrió ninguna intrusión, Stormoen afirma: «Hemos tenido que estar constantemente al tanto de las amenazas».
El FBI y el Departamento de Seguridad Nacional llevan mucho tiempo advirtiendo de que el sector energético de EE. UU. es un objetivo para los piratas informáticos. En abril, el exitoso ataque con el ransomware « » contra Colonial Pipeline lo demostró, al paralizar un importante oleoducto y obligar a la empresa a desembolsar 4.4 millones de dólares.
Si bien las grandes empresas de servicios públicos de EE. UU. disponen de amplios recursos económicos para reforzar la ciberseguridad —con el fin de proteger sus redes y los miles de dispositivos finales que se conectan a ellas—, las empresas de servicios públicos y los proveedores de energía de menor tamaño suelen carecer de los presupuestos necesarios para hacer lo mismo.
«Gran parte de la infraestructura que soporta la tecnología en las empresas de servicios públicos más pequeñas es demasiado antigua para las herramientas cibernéticas modernas, lo que redobla la preocupación», afirma Tyler Costello , de , director de cuentas estratégicas de Tanium, quien colabora con varias instalaciones de infraestructura crítica y con uno de los mayores proveedores de electricidad y gas natural del país. «Las empresas de servicios públicos más pequeñas tienen que hacer frente a sistemas obsoletos, restricciones presupuestarias y recursos limitados».
Presupuestos reducidos, escasa experiencia
Al igual que otras empresas del sector, la empresa de servicios públicos de Wisconsin Rapids está digitalizando sus operaciones mediante tecnologías como (contadores inteligentes), el pago en línea , los portales y , así como la computación en la nube y las plataformas . Sin embargo, toda esta conexión a Internet tiene un coste. Llama la atención de los ciberdelincuentes.
Las pequeñas empresas de servicios públicos, aquellas que prestan servicio a unos pocos miles de clientes o menos, son especialmente vulnerables. Sienten la necesidad de modernizarse, en parte para defenderse de los intentos de adquisición por parte de empresas de servicios públicos más grandes, pero a menudo se muestran reacios a (o simplemente no pueden) subir las tarifas o los impuestos locales para financiar las mejoras. Como consecuencia, estas empresas de servicios públicos a menudo no pueden permitirse contar con un profesional de TI in situ.
«Por lo tanto, es posible que el técnico informático tenga que encargarse de la atención al cliente». «Es posible que también tenga que ocuparse del marketing», afirma Carter Manucy, director de ciberseguridad de la Agencia de Energía Municipal de Florida ( , FMPA) , una coalición de 32 empresas de servicios públicos de todo el estado y miembro de la Asociación Americana de Energía Pública.
«. Las empresas de servicios públicos más pequeñas tienen que hacer frente a sistemas obsoletos, restricciones presupuestarias y recursos limitados.»Tyler Costello, director de cuentas estratégicas de Tanium
Las empresas de servicios públicos de titularidad municipal y las cooperativas rurales también se enfrentan a otro reto al que no se enfrentan las grandes empresas de servicios públicos. Operan al margen de la supervisión y la protección de la Corporación Norteamericana para la Fiabilidad Eléctrica (NAERC). Este organismo del sector supervisa a los propietarios, operadores y usuarios de la red eléctrica a gran escala, y puede imponer multas en caso de incumplimiento de la normativa. Esto significa que las grandes empresas tienen un interés económico en cumplir las normas, y se les ofrece orientación útil sobre cómo hacerlo.
Existe un grave problema de percepción. Dado que las pequeñas empresas de suministro eléctrico no están sometidas a una supervisión tan estricta, «los piratas informáticos pueden considerar que son una presa más fácil», afirma Nicholas Abi-Samra, profesor adjunto de la Universidad de California en San Diego, que imparte clases sobre sistemas eléctricos y presta servicios de consultoría al sector eléctrico. «Pero se enfrentan al mismo tipo de amenazas».
Vuelta a lo básico
Reforzar la ciberseguridad de una empresa de servicios públicos —lo que podría incluir la instalación de nuevos servidores y software de seguridad, la formación de los trabajadores y la puesta en marcha de un centro de operaciones de seguridad— podría suponer un coste de varios millones de dólares. Recaudar esa cantidad de dinero supone un gran esfuerzo para las pequeñas empresas de servicios públicos rurales, que a menudo prestan servicio a familias con bajos ingresos que no pueden permitirse las facturas de energía más elevadas que serían necesarias para sufragar la inversión.
La FMPA de Manucy ofrece a sus miembros formación en ciberseguridad a un coste reducido o de forma gratuita. Sin embargo, cada vez hay más conciencia de que eso no es suficiente. Afirma que se necesita ayuda federal para poner al día muchas de estas operaciones. Esto implicaría establecer múltiples líneas de defensa, empezando por la gestión básica de la identidad y el acceso a las aplicaciones y redes compartidas.
[Lea también: La proliferación de herramientas pone en peligro la seguridad tras la pandemia]
Esto podría incluir el uso de la autenticación de dos factores y la implantación de un modelo de acceso a la red de «confianza cero» . En ese modelo, cualquier punto final, dispositivo o usuario (incluso aquellos ya conocidos) se considera no fiable hasta que se verifique. Asimismo, es necesario conceder un acceso con el mínimo de privilegios en función de quién solicita dicho acceso, del contexto de la solicitud y del riesgo que presente el entorno de acceso.
Existen otras formas en que las empresas de servicios públicos pueden empezar a reforzar su ciberseguridad, concretamente volviendo a los principios básicos de una buena higiene de ciberseguridad en el ámbito de las tecnologías de la información y de los sistemas de gestión de energía ( ). Siguiendo el dicho «no se puede gestionar lo que no se ve», el primer paso consiste en localizar y realizar un inventario de todos los dispositivos finales —ordenadores portátiles, ordenadores de sobremesa, tabletas e incluso máquinas virtuales en la nube— que estén conectados a su red. Mediante la supervisión periódica de estos puntos finales, en tiempo real y de forma constante, podrá detectar posibles vulnerabilidades y amenazas activas.
[Lea también: 10 formas en las que Tanium mejora la gestión de la configuración]
Las empresas de servicios públicos más pequeñas también deben invertir en una plataforma de gestión de software de tipo « » () que les permita mantenerse al día con las aplicaciones, los dispositivos y el software que han proliferado durante la era del teletrabajo. Una única plataforma puede ayudar a cualquier empresa de servicios públicos pequeña o mediana a detectar, supervisar, actualizar y proteger las aplicaciones empresariales desde una sola consola, a gran escala. Del mismo modo, una plataforma puede ayudar a a gestionar y supervisar todos los dispositivos finales, lo que permite detectar y resolver problemas de seguridad en tiempo real.
Reforzar los cortafuegos
Después de que el FBI informara a Wisconsin Rapids de que unos atacantes habían sondeado sus sistemas en enero y en March 2019, el señor Stormoen dirigió una evaluación exhaustiva de las defensas cibernéticas de la empresa de servicios públicos. Esto incluyó una revisión exhaustiva de su estrategia de seguridad de terminales « » y de las políticas generales de seguridad de la empresa. Como consecuencia, Stormoen actualizó los cortafuegos e instaló un nuevo software de seguridad.
«. Las pequeñas empresas de servicios públicos [están] solicitando “contratar o alquilar” a un director de sistemas de información que pueda ofrecerles orientación.»
La empresa de servicios públicos también se ha convertido en miembro del Centro de Intercambio y Análisis de Información sobre Electricidad ( E-ISAC) y del Centro Multiestatal de Intercambio y Análisis de Información (MS-ISAC). Ambos organismos recopilan y difunden información y alertas sobre ciberataques. En la actualidad, Stormoen recibe informes diarios que le ayudan a identificar amenazas y a garantizar la seguridad de sus defensas.
Por supuesto, no todas las pequeñas empresas de servicios públicos cuentan con un Matt Stormoen a tiempo completo que se encargue de vigilar la primera línea. Sin embargo, son muchos los que están probando un enfoque novedoso. Manucy, de la FMPA, ha observado un aumento en el número de pequeñas empresas de servicios públicos que solicitan «» o «» contratar a un director de sistemas de información que pueda asesorarles sobre sus sistemas. Esto se debe, en parte, a que las aseguradoras especializadas en ciberseguridad exigen contar con conocimientos técnicos internos antes de emitir una póliza. Muchos de los casi tres docenas de miembros de su coalición de empresas de servicios públicos le han preguntado: «¿Cómo puedo recibir formación?». «Mi compañía de seguros me lo está preguntando».
Para las pequeñas empresas de servicios públicos, lo que está en juego no podría ser más importante ni más desmesurado. La red eléctrica de Estados Unidos es un sistema increíblemente complejo e interconectado. La interrupción del funcionamiento de un solo nodo puede provocar un efecto en cadena. Basta con pensar en el apagón de la 2003 Northeast, que dejó a 50 millones de personas a oscuras tras el fallo de una única herramienta de monitorización en una sala de control energético de Ohio.
Sin embargo, incluso si una brecha cibernética se limita a la red de una pequeña empresa de servicios públicos y solo afecta a la población local, sus consecuencias podrían ser graves, afirma Stormoen. Podría dificultar la intervención de la policía y de los servicios de bomberos, así como la prestación de cuidados intensivos a domicilio. «Con uno solo bastaría para causar mucho daño».
