Resumen
Las bandas cibernéticas han amenazado las operaciones municipales de agua desde Maine hasta California, y tales ataques van en aumento a medida que más sistemas se digitalizan. ¿Es hora de descentralizar nuestros suministros de agua? Ese es el radical nuevo enfoque que podría proteger no solo el agua sino también otras infraestructuras críticas.
PRESENTADOR: Mike Curran, VP de talento global, Tanium
INVITADO: Riggs Eckelberry, CEO, OriginClear
Notas del programa
Consulta estos artículos en Focal Point, la nueva revista de noticias sobre ciberseguridad en línea de Tanium.
- La ciberguerra de Rusia apunta a la infraestructura crítica occidental
- Cómo se verá un ataque cibernético en nuestra red eléctrica
- Por qué los ciberdelincuentes apuntan a pequeñas empresas de servicios públicos
Transcripción
La siguiente entrevista se ha editado para mayor claridad.
Mike Curran: El presidente Biden anunció el Plan de Acción del Sector del Agua el pasado enero, ¿creo?
Riggs Eckelberry: Claro.
Curran: Y se planeó instalar protecciones cibernéticas en los sistemas de agua en 100 días. ¿Qué tan exitoso ha sido?
Eckelberry: Bueno, ¿dónde está el financiamiento? Quiero decir, es como, OK, ya saben, ¿el Rey Canuto hace una señal y las aguas retroceden? No, hay que financiar el plan de verdad y respaldarlo.
Curran: Sistemas de agua envejecidos, plagados durante mucho tiempo por tuberías en desintegración, ahora deben enfrentarse a otro peligro: En los últimos años, actores han amenazado las operaciones municipales de agua potable y aguas residuales en todo Estados Unidos, desde Maine hasta Florida, desde Maryland hasta California, y tales ataques van en aumento a medida que más sistemas se digitalizan.
Hola, soy Mike Curran, y hoy en Let's Converge, hablamos sobre la seguridad del agua y la infraestructura crítica.
Hoy me acompaña Riggs Eckelberry, el CEO de OriginClear, una startup que busca transformar la industria de servicios de agua, valorada en billones de dólares.
Riggs aborda el tema del agua desde el mundo de la alta tecnología. Como presidente y CEO de la empresa de software de seguridad Cyber Defender, llevó a esa firma a una OPI en el Nasdaq. Ahora busca crear un poderoso y rentable "Airbnb del agua", privatizando el tratamiento del agua y financiándolo con anualidades de agua respaldadas por activos y de alto rendimiento.
Entonces, Riggs, sabemos que los sistemas públicos de agua están subfinanciados, pero el problema que generalmente escuchamos derivado de esa falta de financiamiento es de índole sanitaria. Es decir, tuberías de plomo antiguas que filtran toxinas en los sistemas de agua, como en Flint, Michigan. Pero existe otra vulnerabilidad: el riesgo de un ciberataque. ¿Qué tan preocupado está usted por un ciberataque a nuestros suministros de agua?
Eckelberry: Bueno, Mike, es inevitable porque tenemos 150,000-plus sistemas de agua, lo que significa que hay muchos muy pequeños. Son sistemas rurales pequeños. Y como resultado, puedes encontrarte con el problema de simplemente no tener suficientes recursos para manejar el problema.
Este es un problema generalizado. Entonces, como mencionaste, los sistemas de agua generalmente están subfinanciados, en la cifra de $75 mil millones—negativos—cada año. Así que nos estamos cavando este enorme hoyo, y francamente, creo que la gente se preocupa menos por los ciberataques que por la calidad del agua. Y no puedo decir que estén equivocados.
Curran: Cuando dices "subfinanciados," ¿es simplemente que hay mejoras obvias que deben hacerse? ¿O simplemente no están votando bonos para financiar estos sistemas? Define "subfinanciados."
Eckelberry: Bueno, desde 1970s, la contribución del gobierno federal a los sistemas municipales de agua ha desaparecido por completo, casi totalmente. De hecho, pasó de subvenciones a préstamos. Así que el gobierno federal se retiró por completo del negocio del agua.
Las ciudades y condados, los distritos de agua que realizaban el trabajo, también se enfrentaron a exigencias crecientes en cuanto a los estándares del agua. Por ejemplo, digamos que los estándares de arsénico iban en aumento y eso creó una carga adicional. Y finalmente, hay poblaciones en crecimiento.
Y aquí está el factor más reciente, que es que hay poblaciones que se trasladan desde las megaciudades hacia los lugares remotos. Entonces, es genial que nos hayamos mudado al condado de Bergen. Pero el condado de Bergen puede no tener los recursos necesarios, como los tenían en Hoboken o Staten Island. Ese es el problema, que hay sistemas sobrecargados debido a la demanda, las regulaciones y la simple falta de financiamiento. Luxe Research ha cuantificado esto como un atraso de aproximadamente $75 mil millones que aumenta cada año.
Curran: Entonces el problema empeora año tras año.
Eckelberry: Pero volviendo al tema cibernético, al final del día, tendrá que ser el gobierno federal el que se involucre, porque ¿quién va a coordinarlo todo? ¿Quién va a tener estándares uniformes para las defensas en profundidad?
Yo venía de la industria del software de seguridad. Eso es lo que hice durante años. Llevé una empresa de software de seguridad a bolsa a principios de 2000s. Y la mejor defensa, por supuesto, son las defensas en capas y en profundidad. Bueno, tienes inicios de sesión con la contraseña siendo la palabra "password." Quiero decir, este no es un entorno seguro.
Curran: Mm. De acuerdo.
Eckelberry: Lo bueno es que hasta ahora los ciberataques que han ocurrido han sido derrotados por la vigilancia de los individuos. Entonces un individuo notó, Oye, qué está pasando aquí, y, ya sabes, cerró una válvula o lo que sea. Y esa es la ventaja de los sistemas relativamente heredados, ya que no son demasiado complicados; si las cosas van mal, se pueden detener. Pero, ya sabes, al final del día, tenemos que hacer algo.
Curran: Parece que está siendo notado. Quiero decir, el presidente Biden anunció el Plan de Acción del Sector del Agua en enero [2022], creo.
Eckelberry: Claro.
Curran: Y se planeó instalar protecciones cibernéticas en los sistemas de agua en 100 días. ¿Qué tan exitoso ha sido, Riggs?
Eckelberry: Bueno, ¿dónde está el financiamiento? Quiero decir, es como, OK, ya saben, ¿el Rey Canuto hace una señal y las aguas retroceden? No, hay que financiar el plan de verdad y respaldarlo.
Y mientras tanto, tienen los municipios. Quiero decir, está esa historia en Compton, California, hace tres, cuatro años, donde el agua empezó a salir marrón, y los residentes dijeron, ¿qué está pasando con esto? El distrito de agua dijo, bueno, es magnesio, pero no les hace daño. Y ellos dijeron, bueno, preferiríamos tener agua clara si no hay problema. Y el distrito de agua dijo, bueno, hubiera sido bueno que hubieran votado los fondos durante los últimos 10, 15 años, pero no lo hicieron.
Eso se resolvió simplemente siendo absorbido por el distrito metropolitano de la ciudad de Los Ángeles. Pero aun así, ilustra el problema, que es que las ciudades y los condados tienen muchas, muchas preocupaciones, y el agua tiende a ser "fuera de la vista, fuera de la mente."
Y el problema real, en mi opinión, y lo que convierte esto en un escándalo, es que 89% del uso del agua corresponde a la industria y la agricultura—en los Estados Unidos, en proporciones aproximadamente iguales. Entonces, ¿por qué las ciudades y los condados tienen que lidiar con toda esa carga empresarial e industrial cuando en realidad deberían dedicarse a abastecer a la población? A los residentes.
Curran: Así es, así es, así es. Absolutamente. Pero hablemos un poco sobre OriginClear. Su empresa tiene una idea bastante ambiciosa: entiendo que ofrecen estos pequeños sistemas modulares prefabricados de tratamiento de agua. Permiten que las empresas y los desarrollos habitacionales tengan su propio suministro de agua dedicado. ¿Cómo funciona exactamente eso, Riggs?
Eckelberry: En primer lugar, existe una tendencia, una tendencia orgánica, hacia los sistemas de agua fuera de la red. Porque, por ejemplo, si eres un promotor inmobiliario en una zona muy popular, como Florida, te estás quedando sin espacio. Es la ubicación, ubicación, ubicación. Y si quieres estar ubicado en un lugar bastante bueno, vas a buscar lugares que no tienen servicio de alcantarillado, y entonces te enfrentas a una gran factura para instalarlo.
Bueno, hoy en día existe la tecnología para desconectar estos lugares completamente de la red, y ahora tienes la oportunidad de crear comunidades habitacionales que sean verdaderamente autosuficientes. Y eso ya está ocurriendo.
Estamos trabajando, por ejemplo, con un desarrollo de "casas pequeñas" en Texas para personas sin hogar. Es un proyecto bastante fascinante. Y ya se han comprometido a realizar el tratamiento de agua para ese sitio, para encargarse de ello y no sobrecargar al municipio.
Así que eso ya está ocurriendo. Ahora estamos elevando un poco el nivel al convertirlo en agua como servicio, porque mi opinión es que, claro, algunas personas tienen todo el dinero que necesitan, pero la mayoría no. Y entonces si estás tratando de, digamos, administrar una cervecería, y de repente tienes que gestionar el agua, bueno, en general, no tienes financiamiento para gestionar el agua. En general, se te financia para hacer cerveza.
Entonces lo que decimos es, mira, simplemente reemplazaremos a la ciudad. Seguirás pagando por el medidor, pero nos pagarás a nosotros. Y nosotros instalaremos el sistema de agua a nuestra costa. Lo mantendremos. Solo pagas por galón. Y eso es lo que se llama genéricamente agua como servicio.
Nosotros lo llamamos "agua a demanda." Y lo que es único en nuestro programa es que está abierto a inversores regulares para que entren y obtengan una inversión basada en activos. Es muy parecido a estas sociedades limitadas maestras en petróleo y gas donde puedes invertir en un pozo de petróleo: tú y yo podemos hacerlo. Es una inversión sofisticada, pero es algo que cualquiera puede hacer. Y creemos que ese es el futuro del agua como servicio, que es involucrar a inversores regulares.
Curran: Mm. De acuerdo. Digamos que soy dueño de esta cervecería. ¿Por qué querría obtener agua como servicio en lugar de recurrir a la empresa de servicios públicos?
Eckelberry: Bueno, en primer lugar, las tarifas del agua están aumentando rápidamente, a veces a tasas insostenibles, 65% más altas que la inflación ordinaria. En segundo lugar, si tratas tu propia agua, puedes obtener más de un uso de ella, lo cual es atractivo desde el punto de vista empresarial.
Curran: Sí. Me encanta la idea del reciclaje.
Eckelberry: No lo hacemos suficientemente en este país.
Curran: No lo hacemos, no lo hacemos.
Eckelberry: Has escuchado las estadísticas. Quiero decir, es una locura. Ya sabes, Israel logra obtener casi 90% de reciclaje, pero tienen una economía dirigida; básicamente pueden decir: "Que así sea." Tenemos un sistema muy fragmentado. Como resultado, no hay mucha acción; las ciudades tienen dificultades para hacerlo. Acabo de ver que el Concejo Municipal de Tampa rechazó un programa de reutilización del agua, comúnmente llamado "Del inodoro al grifo", que no es una gran manera de comercializarlo. [Risas.].
Curran: Sí. [Risas.].
Eckelberry: Así que a la gente simplemente no le gusta, por lo que no va a suceder de manera centralizada; va a ocurrir en los márgenes.
Curran: Hmm. De acuerdo. Hablemos de descentralizar el suministro de agua. ¿Por qué es una buena idea? ¿Por qué nos mantendrá más seguros?
Eckelberry: Lo que estás planteando es, ¿qué pasa con el agua dulce contaminada a través de algún ciberataque? La vieja historia del LSD en el depósito de agua del ’60s. Y eso es un problema. No hay duda de que es un gran agujero enorme.
Es, ya sabes, es curioso, no se ve que ocurra mucho. Incluso ahora, estoy más o menos vigilando lo que está pasando en Ucrania. No he oído que nadie haya envenenado los embalses. Creo que eso sería un acto de guerra bastante agresivo. Es una posibilidad bastante remota.
Lo que creo que es más probable que ocurra es que la maquinaria de la ciudad se interrumpa de alguna manera a través de un ciberataque, y entonces no puedan entregar el agua físicamente—las bombas se averían, o se dan órdenes contrarias en el sistema, y de repente la presión del agua desaparece.
Creo que eso es más probable que la contaminación del agua. Y creo que tiene sentido. Si estuviera preparándome ahora mismo, estaría pensando en una fuente de agua alternativa. Tendría mi fuente de pozo configurada como respaldo. Y creo que las empresas necesitarán empezar a pensar en su riesgo hídrico de esa manera.
Pero aún vas a depender de la ciudad para ello, de la misma manera que yo dependo de la red eléctrica para mi energía, pero tengo una batería de respaldo. Aún obtienes tu agua de la ciudad, y luego si las cosas fallan, deberías tener un recurso alternativo del acuífero. Pero desafortunadamente, es mucho dinero para gastar en una póliza de seguro.
Curran: La idea de la descentralización, ¿puede abordar los riesgos cibernéticos en otros servicios públicos, como la red eléctrica?
Eckelberry: En el caso de la red eléctrica, hay personas que generan su propia energía principalmente a través de la energía solar. Y eso es realmente bueno porque pueden recurrir a sus propios recursos.
Soy lo suficientemente mayor como para haber vivido el gran apagón de Nueva York que ocurrió en los años sesenta. Así que cada vez más personas tienen energía solar. Pero creo que las cosas van a tener que empeorar mucho, mucho, mucho para que la gente empiece a pensar seriamente en esto. Y creo que esa es la actitud de la mayoría de las personas. Es como, es algo de lo que alguien se encarga, y solo me preocupa si de repente no hay agua.
Curran: Sí, ciertamente la energía solar ha avanzado bastante. Estoy a mitad de camino. Tengo paneles solares en mi techo, pero no tengo las baterías en el garaje. Así que todavía dependo de la red eléctrica. Pero simplemente no se escuchan las conversaciones. Y supongo que ese es uno de los principales problemas con las infraestructuras: el financiamiento. Quiero decir, ¿cómo superamos los problemas de financiamiento?
Eckelberry: Bueno, me he embarcado en una misión: hay un lado de justicia social en esto, que es que tenemos poblaciones como la que acabamos de ver en Jackson, Misisipi, que están siendo perjudicadas en su salud. Plomo en las tuberías, agua marrón, todo eso. Es un escándalo.
Y si lo planteamos como: "Oye, esto es importante, y por cierto, no tienes que recaudar $3 mil millones para resolver el problema; simplemente descarga a los usuarios comerciales y agrícolas a través de lo que ahora es un sistema descentralizado muy maduro." Ese es un mensaje que estamos gritando.
Creo que simplemente tenemos que empezar a través de estos podcasts, a través de la prensa, a través de diversos medios, hacer que la gente piense en, ¿qué pasaría si simplemente apostáramos por la autosuficiencia? ¿Qué hay de eso? ¿Por qué no ser autosuficientes?
Curran: Volvamos un poco a la descentralización. Estás excepcionalmente calificado, habiendo llevado a CyberDefender a una OPI como empresa de software de ciberseguridad. Entonces, ¿cuáles son los riesgos? ¿Y desde una perspectiva de ciberseguridad, cuál es la ventaja? Porque obviamente la descentralización está expandiendo la superficie de ataque. ¿No es eso un problema?
Eckelberry: Bueno, estás creando menos puntos de fallo, ¿verdad? Internet fue diseñado originalmente para ser una red a prueba de fallos. Ya no lo es, pero originalmente se configuró sobre la base de estos nodos independientes que funcionarían en un sistema de almacenamiento y reenvío. Era un diseño eficaz. Y era descentralizado.
Internet originalmente era descentralizado. Hoy, podríamos hacer lo mismo con el agua. Se reducen los puntos de fallo. …Ahora estás pensando, bueno, sí, pero alguna cervecería podría infectarse. Bien. Entonces la cervecería se infecta, pero no infecta toda la red, ¿verdad? Entonces estás reduciendo la cantidad de problemas, y es como un apagón de una gran red de energía. Si hay mucha redundancia incorporada a través de la energía solar, etcétera, entonces no va a caer tan rápido.
Entonces, en general, la descentralización es algo bueno. Y dado que conocemos la naturaleza humana, habrá vulnerabilidades, ¿sabes? ¿Alguna vez escuchaste la historia de cómo los mongoles finalmente conquistaron la Gran Muralla China? Simplemente sobornaron a uno de los comandantes de las torres. [Risas.]
Curran: [Risas.].
Eckelberry: Eso fue todo.
Curran: [Risas.]. Estaba esperando algo un poco más elaborado que eso.
Eckelberry: Simplemente entraron. En otras palabras, el factor humano es la gran debilidad.
Curran: Sí.
Eckelberry: Puedes tener todos los sistemas que quieras, pero al final del día, las personas son quienes están a cargo. Y ese es realmente el problema: el eslabón humano va a causar problemas. Y no vas a poder escapar de eso. No vas a deshacerte de repente del factor humano. Esa es su naturaleza.
Entonces, cuando descentralizas, ¿qué estás haciendo? Estás instalando sistemas más nuevos, estás modernizando la red. Por ejemplo, compré un Tesla. Así que por lo tanto me modernizé. ¿Esta pequeña plataforma que tengo? Es un auto inteligente; tiene todo tipo de características de seguridad. He mejorado toda mi experiencia de conducción con el Tesla.
Entonces el agua como servicio, lo que llamamos agua bajo demanda, es probablemente la mejor solución al problema. Y simplemente vamos a tener que presionar por mejoras centralizadas. Pero recuerda, cuanto más hagamos la descentralización, más fácil será la vida para todos esos proveedores municipales.
Curran: Riggs, mencionaste el LSD en el agua en el ’60s. Pero hubo un hackeo en Oldsmar, Florida, en la planta de tratamiento de agua de allí. Ese fue un ejemplo de una intrusión. ¿Dirías que la infraestructura crítica está en la mira de actores maliciosos en estados nacionales en este momento?
Eckelberry: Infraestructura crítica, sí. Creo que están más enfocados en el poder, francamente.
Curran: OK. ¿Por qué es eso?
Eckelberry: Es más dramático, ¿verdad? Puedes causar mucho más daño más rápido. Derribar la red eléctrica. Todo el mundo te nota, ¿verdad?
Curran: Sí.
Eckelberry: De un segundo al otro. Muchas gracias.
Curran: Todavía recuerdas el apagón en Nueva York, así que quiero decir, tiene efectos duraderos, supongo.
Eckelberry: Hubo un gran aumento de nacimientos justo después de eso, ¿verdad?
Curran: [Risas.]. Así es.
Eckelberry: [Risas.].
Curran: Exactamente.
Eckelberry: La gente pasaba 12 horas en un ascensor. Eventualmente algo sucede.
Curran: Sí. [Risas.] Tengo curiosidad. Riggs, has tenido una carrera increíble. ¿Por qué enfocarse en los sistemas de agua y la ciberseguridad necesaria para protegerlos en esta etapa de tu carrera?
Eckelberry: Es cierto que no elegí estar en el sector del agua. Vengo de la alta tecnología y luego el primer comienzo de esta empresa fue en un reemplazo de biocombustible llamado Algas. Fascinante. Me estaba divirtiendo mucho. Pero de alguna manera, uno se siente atraído por las cosas que más te necesitan, yo diría.
Así que, sin quererlo, me encontré inicialmente librando una batalla cuesta arriba. Les digo, en 2016 cuando empecé a hablar sobre el agua descentralizada, la gente decía, ¿eh? ¿Qué? Hoy en día, la gente lo está entendiendo, ¿saben? Cada vez más personas son conscientes de que la autosuficiencia es muy importante. Así que creo que la alta tecnología está migrando a todas las industrias. Sí.
La mentalidad de disrupción de la alta tecnología y todo el ciclo de vida de la alta tecnología, que es un ciclo de vida continuo, es algo que está llegando a los mercados tradicionales. Por eso Airbnb se apoderó de los hoteles y Uber se apoderó de los taxis. Y va a suceder en el agua.
Ya está ocurriendo. Así que realmente siento que estoy en el lugar correcto para hacer esto. Me encanta. Sabes, es tan único. Y déjame decirte cuánta gente dice, oh, estás trabajando con el agua. Gracias a Dios, gracias, lo aprecio mucho. La gente es consciente de que hay un problema. Realmente lo son.
Curran: Mm-hmm. Si tuvieras algún consejo para los proveedores centrales, ¿cómo pueden protegernos mejor a nosotros, los ciudadanos?
Eckelberry: Bueno, en primer lugar, tomemos un paso a la vez. Número uno, promovamos la descentralización. Cuanto más lo hagamos, más robusto será el sistema. Y eso tenderá a fomentar el reciclaje y demás.
Número dos, intentemos llevar el problema a la atención de los responsables políticos. Como, oye, tenemos un problema, hagamos algo. Sigamos adelante.
Curran: Puedo escuchar la pasión en tu voz, Riggs, así que agradezco el tiempo de hoy.
Eckelberry: Un placer, Mike. Ha sido un placer hablar de esto. Espero que difundas el mensaje. Es un podcast a la vez.
Curran: He estado hablando con Riggs Eckelberry, CEO de OriginClear.
Si desea leer más sobre las crecientes amenazas a la infraestructura crítica y las formas innovadoras de defenderla, consulte la nueva revista de noticias cibernéticas en línea de Tanium en Tanium.com. Para escuchar más conversaciones con los principales líderes empresariales y expertos en seguridad de hoy, asegúrese de suscribirse a Let's Converge en su aplicación de podcast favorita, como Apple Podcasts y Spotify. Si le gustó este episodio, por favor denos una calificación de cinco estrellas.
Gracias por escucharnos. Esperamos compartir más perspectivas cibernéticas en el próximo episodio de Let's Converge.
