El reciente ciberataque contra el principal oleoducto de petróleo y gas de EE. UU. podría convertirse en uno de los ataques más costosos para una economía.
El 80 % de los altos responsables de ciberseguridad considera que el ransomware es una amenaza peligrosa y creciente que pone en riesgo nuestra seguridad pública.
Estos son seis principios para mejorar la ciberseguridad de la infraestructura crítica.
El reciente ciberataque contra el principal oleoducto de petróleo y gas de EE. UU. podría convertirse en uno de los ataques más costosos para una economía. También es el último recordatorio de que tanto la frecuencia como la gravedad de las perturbaciones digitales catastróficas en la infraestructura crítica están aumentando.
La creciente digitalización de sectores de infraestructura crítica, como el petróleo y el gas, y de los sistemas industriales asociados está cambiando la naturaleza de los riesgos cibernéticos. Mientras la digitalización impulsa el crecimiento y la transición hacia las emisiones netas cero, el ecosistema del sector energético se ha vuelto cada vez más descentralizado y complejo. Según el Informe sobre Riesgos Globales 2021, los fallos en ciberseguridad se encuentran entre las principales amenazas a medio plazo para el mundo.
El Foro Económico Mundial realizó recientemente una encuesta entre los miembros de nuestra Comunidad de Liderazgo en Ciberseguridad (que representan a unos 100 altos ejecutivos de ciberseguridad de todo el mundo), y comprobó que el 80 % considera que el ransomware es una amenaza peligrosa y creciente que pone en riesgo nuestra seguridad pública. Además, el 97 % de la comunidad expresó que la continuidad del negocio es el principal riesgo en lo que respecta a los ataques de ransomware.
Esto es exactamente lo que vimos en el ciberataque contra el oleoducto de la semana pasada.
Tras un ataque de ransomware el viernes, Colonial Pipeline, un operador estadounidense de oleoductos de combustible, cerró su red. En el momento de redactar este artículo, el oleoducto sigue prácticamente cerrado. Se estima que un cierre prolongado del oleoducto, que abastece casi la mitad del combustible de la Costa Este, provocaría subidas de precios en los surtidores de gasolina de todo el país.
Este incidente cibernético ha puesto de manifiesto que, cada vez más, los proveedores de servicios esenciales son más vulnerables a ciberamenazas de gran alcance. Por ello, la ciberseguridad se está convirtiendo en un desafío estratégico corporativo que exige el máximo nivel de supervisión en el complejo entorno industrial global.
Otros ciberataques recientes, como los dirigidos a una planta de agua de Florida y a un proveedor de software SolarWinds, subrayaron además que el éxito de estos incidentes dependerá de las deficiencias de las medidas vigentes para mitigar estas amenazas.
Para aprovechar el valor que ofrece la digitalización y mitigar los riesgos potenciales, las empresas y los gobiernos deben reimaginar cómo utilizamos y gestionamos nuestra infraestructura crítica. Esto implica comprender cómo nuestras acciones individuales afectan al conjunto y establecer marcos de responsabilidad compartida.
A menos que las prácticas de ciberseguridad se integren en la cultura corporativa u organizativa y en el ciclo de vida de los productos digitales, es probable que veamos más ataques frecuentes contra sistemas industriales como los oleoductos de petróleo y gas o las plantas de tratamiento de agua.
Los siguientes principios deberían orientar a las partes interesadas del sector industrial para definir un curso de acción responsable, basado en las recomendaciones elaboradas por el Foro Económico Mundial y una comunidad multilateral del sector del petróleo y el gas:
Establecer un modelo integral de gobernanza de la ciberseguridad
Promover una cultura de seguridad y resiliencia desde el diseño
Aumentar la visibilidad de la situación de riesgo de los terceros y considerar el impacto más amplio en el ecosistema
Implementar una gestión de riesgos holística y mecanismos de defensa con capacidades eficaces de prevención, monitorización, respuesta y recuperación.
Preparar y probar un plan de resiliencia basado en una lista de escenarios predefinidos para mitigar el impacto de un ataque.
Reforzar la colaboración público-privada internacional entre todas las partes interesadas del sector industrial
Lea más sobre nuestro proyecto de Ciberresiliencia en Petróleo y Gas aquí y sobre nuestra Alianza contra el Ciberdelito aquí.
