Trenes del metro detenidos en un túnel. Apagones. Una presa dañada. Telecomunicaciones interrumpidas. Estas y otras posibles consecuencias de las brechas de seguridad en la infraestructura crítica pueden, en el mejor de los casos, causar solo molestias; en el peor, pueden provocar muertes o destrucción a una escala aterradora. Los cortes de electricidad en Ucrania en 2015 y 2016 son dos ejemplos de ello.
En el mundo hiperconectado actual, esa infraestructura es más vulnerable que nunca a las amenazas de ciberseguridad, ya provengan de Estados nación con malas intenciones, organizaciones delictivas o particulares. Esta nueva vulnerabilidad deriva de cambios fundamentales en los sistemas tecnológicos que conforman la infraestructura crítica de las organizaciones. Estas organizaciones —proveedores de atención sanitaria, empresas de servicios públicos, productores de productos químicos, fabricantes, organismos de defensa, servicios de emergencia, bancos y sistemas de transporte— llevan mucho tiempo siendo propietarias y operando dos tipos de sistemas tecnológicos. Sus sistemas de tecnología de la información (TI) gestionan funciones básicas de oficina, como el correo electrónico, las nóminas y los sistemas de recursos humanos; mientras que sus sistemas de tecnología operativa (TO) controlan equipos físicos y personal esenciales para cumplir su misión, por ejemplo, generar y transmitir electricidad.
En el pasado, la TO consistía en sistemas independientes que utilizaban protocolos propios poco conocidos; su propia oscuridad los hacía seguros. Pero ahora los sistemas de TO funcionan con las mismas plataformas de software y hardware de uso común que los sistemas de TI. Los piratas informáticos conocen bien estos sistemas, por lo que son mucho menos seguros.
Una exposición sin precedentes
¿Qué ha impulsado esta convergencia de la TO con la TI? La creciente demanda de acceso fluido a la información, un acceso que depende del uso de tecnologías digitales «inteligentes», como sensores, cámaras y dispositivos vestibles. Por ejemplo, una empresa de servicios públicos recopila en línea datos sobre cortes de electricidad procedentes de contadores inteligentes para identificar rápidamente los lugares con problemas y restablecer el suministro a sus clientes. Una propietaria ajusta a distancia el termostato de su casa para bajar la temperatura mientras está de vacaciones. Un médico consulta desde el ordenador de su despacho el uso de insulina de sus pacientes. Las empresas supervisan a distancia el estado y la ubicación de trenes, autobuses y camiones; el flujo de petróleo y gas por los oleoductos; o el consumo de agua o electricidad para gestionar estos servicios de forma eficaz y eficiente.
Aunque las tecnologías de estos ejemplos mejoran nuestra vida y aportan eficiencias a la economía, también pueden hacernos más vulnerables. Cuando los clientes de tres empresas eléctricas ucranianas se quedaron sin suministro a causa de un incidente cibernético, esas empresas pudieron recurrir a operaciones manuales para restablecerlo. Esto no sería posible en varios países donde ya no existen operaciones manuales. Cuando un hospital de Los Ángeles sufrió un ataque de ransomware que bloqueó sus sistemas y los dejó inaccesibles, perdió temporalmente información sobre los medicamentos recetados a sus pacientes. Por fortuna, nadie murió por recibir un medicamento equivocado o por no recibir el medicamento adecuado.
A medida que aumenta el número de dispositivos interconectados, también crece el número de puntos de acceso potenciales que los piratas informáticos pueden aprovechar para interrumpir la infraestructura crítica. Todos estos dispositivos deben diseñarse, implementarse y desplegarse de manera que sean menos vulnerables a los ataques.
En resumen, nuestra dependencia de la tecnología es ahora crítica y aumenta exponencialmente. Cuando los atacantes arremeten contra los sistemas que utilizan esas tecnologías, sufrir molestias o irritación puede ser el menor de nuestros problemas.
Comprender los desafíos
Los altos niveles actuales de interconectividad y exposición también han generado graves desafíos para las organizaciones de infraestructura crítica, como explicamos recientemente a la Comisión Presidencial de Estados Unidos para el Fortalecimiento de la Ciberseguridad Nacional en un informe presentado al Instituto Nacional de Estándares y Tecnología (NIST). Veámoslo más de cerca.
La necesidad de proteger la infraestructura digital del futuro mientras aún evoluciona
Las ciudades inteligentes, la medicina posibilitada por la tecnología y los automóviles autónomos prometen vidas mejores, más seguras y productivas para todos. Sin embargo, para construir la infraestructura digital necesaria para cumplir esa promesa, las organizaciones de infraestructura crítica deben anticipar las necesidades futuras de dicha infraestructura.
Algunas de las tecnologías que la infraestructura tendrá que admitir aún no se han inventado. Es como construir un avión sin saber qué distancia tendrá que recorrer ni cuántas personas transportará. Para complicar aún más las cosas, los sistemas de TO de las organizaciones de infraestructura crítica se basan en tecnologías antiguas, diseñadas e implementadas antes de que la ciberseguridad estuviera en el radar de nadie. Como estos sistemas son críticos, a menudo no pueden desconectarse para rediseñarlos y repararlos. Además, sustituir la base instalada es costoso y lleva mucho tiempo. ¿Te imaginas cortar la electricidad de tu vecindario durante seis meses para realizar una actualización?
Déficit de talento en ciberseguridad
Asegurarse de que los dispositivos inteligentes se diseñen, implementen y mantengan teniendo en cuenta la seguridad no es fácil. Además, requiere conocimientos especializados cuya oferta es escasa en todo el mundo. El déficit mundial de conocimientos especializados en ciberseguridad está bien documentado. Es aún más difícil encontrar a personas que sepan proteger tanto los sistemas de TI como los de TO que necesita la infraestructura crítica.
Aunque la tecnología subyacente a ambos tipos de sistemas es ahora la misma, protegerlos exige prioridades y enfoques distintos. La diferencia entre las prioridades es marcada: ante todo, los sistemas de TO deben ser seguros y estar disponibles, mientras que los sistemas de TI deben proteger principalmente la confidencialidad de los datos que procesan y almacenan. Quienes desarrollan su carrera en entornos de TI o TO se guían por estas prioridades tan distintas, suelen tener formación académica diferente y, por consiguiente, mentalidades muy distintas. Encontrar personas capaces de trabajar en ciberseguridad tanto de TO como de TI no es nada fácil, y la formación cruzada resulta difícil, costosa y no siempre da resultado.
Desigualdad de recursos entre organizaciones grandes y pequeñas
La ciberseguridad es una disciplina compleja que abarca múltiples áreas de conocimiento. Hacerlo bien requiere diversos conocimientos especializados que las organizaciones pequeñas no pueden costear. Las grandes organizaciones de infraestructura crítica, con abundantes recursos, pueden contratar a sus propios especialistas y establecer programas sofisticados de ciberseguridad. Las más pequeñas —como los servicios de emergencia y las empresas de suministro de agua— deben gestionar los mismos riesgos con muchos menos recursos.
Dependencia de terceros para prestar capacidades críticas de forma segura
Las leyes de la economía impulsan a las empresas a centrarse en sus competencias principales y externalizar el resto. Por eso no sorprende que las empresas de transporte, las compañías de servicios públicos, los proveedores de atención sanitaria y de servicios financieros, así como innumerables sectores, dependan de numerosos socios para obtener desde software y hardware hasta servicios jurídicos o de consultoría. Esto incluye los componentes de hardware y software de la infraestructura crítica y la multitud de dispositivos inteligentes. Las empresas que se fusionan están mucho más integradas que antes, incluso conectan entre sí sus sistemas e intercambian información sumamente confidencial. Para complicar aún más las cosas, los proveedores tienen sus propios proveedores, subproveedores, y así sucesivamente.
Así, la cadena de suministro se ha convertido en una red de suministro: larga, extensa, compleja, multidimensional y multinacional. Esto crea un número casi infinito de puntos adicionales que pueden verse comprometidos. Mientras que los fabricantes tradicionales de TI llevan entre 20 y 30 años enfrentándose a las ciberamenazas, los fabricantes de dispositivos inteligentes y de sistemas de infraestructura crítica apenas han empezado a lidiar con el problema. La escasez de profesionales de ciberseguridad mencionada antes afecta considerablemente la capacidad de los proveedores para proteger sus dispositivos, incluidas sus propias cadenas de suministro. Los proveedores que antes fabricaban dispositivos de hardware operados manualmente y ahora producen dispositivos inteligentes controlados por software deben aprender rápidamente sobre ciberseguridad.
Pasar a la acción: nuestras recomendaciones a la Comisión Presidencial
El tiempo de internet avanza mucho más rápido que el tiempo de las personas. Es decir, los actores de amenazas se mueven al ritmo de internet, mientras que las personas piensan, analizan y se angustian ante las decisiones. Las organizaciones deben actuar ya para mitigar los desafíos de ciberseguridad a los que se enfrentan hoy. Hemos elaborado varias recomendaciones para contribuir a una acción colectiva eficaz.
El desarrollo de profesionales de ciberseguridad en TI/TO es un ejemplo concreto. Aunque los programas de desarrollo de la fuerza laboral en ciberseguridad financiados por el Gobierno federal son un paso en la dirección correcta, se centran en la formación general en ciberseguridad, no en los entornos de TI/TO. Por ello, no responden plenamente a las necesidades de las organizaciones de infraestructura crítica de sectores como la manufactura, el transporte y los servicios públicos, ni a las de sus ecosistemas de proveedores. Para ayudar a cerrar esta brecha, las organizaciones pueden apoyar la creación de una gama más amplia de opciones formativas, incluidos títulos universitarios, programas de aprendizaje y formación en seguridad de TI/TO para los empleados actuales.
Otra recomendación es fomentar la mentoría entre organizaciones y la transferencia de conocimientos. Las organizaciones con menos experiencia en ciberseguridad o equipos más pequeños pueden aprender de sus pares más experimentados. Las organizaciones grandes también deberían alentar a sus especialistas a participar en asociaciones sectoriales, alianzas público-privadas y organizaciones regionales, que ofrecen oportunidades para formalizar la mentoría entre organizaciones y la transferencia de conocimientos. Las organizaciones pequeñas deberían fomentar una participación similar. A corto plazo, estos grupos de trabajo restan tiempo a las tareas cotidianas. Pero, en el mundo interconectado actual, las organizaciones se beneficiarán a largo plazo, porque la transferencia de conocimientos mejorará la seguridad de la infraestructura que las conecta.
Integrar la ciberseguridad en la cultura y la estrategia de la organización
Además de las recomendaciones descritas, las organizaciones de infraestructura crítica deben incorporar la ciberseguridad a su cultura y a la planificación estratégica. Al igual que los programas de seguridad y calidad, estos esfuerzos exigirán un cambio transformador a gran escala. Las organizaciones no pueden limitarse a adoptar soluciones tecnológicas de ciberseguridad. Deben establecer los incentivos, la gestión del desempeño, la formación, los procesos, los procedimientos y otros sistemas adecuados para arraigar la mentalidad, el comportamiento y las prácticas que exige la ciberseguridad. Esto incluye utilizar eficazmente las tecnologías existentes y hacer cumplir las nuevas políticas. En el día a día y con mayor detalle, los directivos deben predicar con el ejemplo y mostrar el criterio, las acciones y los valores que quieren que los demás miembros de la organización emulen.
En resumen, la forma más eficaz de aumentar la resiliencia en materia de ciberseguridad consiste en cambiar la manera en que las personas utilizan la tecnología, en lugar de añadir tecnología para compensar el uso inadecuado de otras tecnologías. La mayoría de las categorías del Marco de Ciberseguridad del NIST no son técnicas, lo que respalda esta idea. Por ello, recomendamos las siguientes prácticas, inspiradas en nuestro trabajo con el MIT, el Foro Económico Mundial y empresas de todo el mundo, como elementos fundamentales para integrar la ciberseguridad en la cultura y la planificación estratégica de una organización:
Empodere a sus principales responsables de ciberseguridad otorgándoles autoridad, presupuesto y acceso periódico al consejo de administración de su organización.
Obtenga el apoyo experto adecuado, tanto interno como externo.
Defina su tolerancia al ciberriesgo de acuerdo con su estrategia empresarial y su apetito de riesgo.
Apoye las inversiones en ciberseguridad que maximicen el impacto empresarial.
Exija informes con información viable que respalde una toma de decisiones eficaz y basada en prioridades.
Establezca canales de comunicación claros y mecanismos de rendición de cuentas para fomentar la colaboración en toda la empresa.
Apoye la colaboración y el intercambio de información en materia de ciberseguridad con terceros, incluidos clientes, proveedores, socios comerciales y competidores.
En definitiva, las organizaciones que integren la ciberseguridad en su cultura y planificación estratégica serán las más resilientes. Todas las personas de la organización comprenderán qué significa la ciberseguridad; por qué es importante para su organización, para la sociedad en general, para sus empleos y para sus familias; y cómo, mediante su trabajo e interacciones cotidianos, pueden contribuir a proteger toda la infraestructura crítica de la nación. ¿Es mucho trabajo? Sin duda. Pero ninguna organización de infraestructura crítica puede permitirse eludirlo.
