La escala y el impacto de los ciberataques crecen de forma exponencial debido a una red cada vez más amplia de plataformas digitales.
Sin estrategias preventivas adecuadas, el sector energético es vulnerable a amenazas futuras.
Un nuevo manual de actuación del Foro Económico Mundial define un conjunto de directrices sectoriales para propiciar un futuro digital sostenible y resiliente.
Imagine que un ciberataque deja fuera de servicio un importante oleoducto de Norteamérica que abastece la costa este de EE. UU. durante una de las semanas comerciales más intensas del año. O bien, que los piratas informáticos accedan a los sistemas de distribución de gas durante una de las olas de frío más intensas registradas en la historia de Europa occidental, lo que interrumpe la calefacción de unos 100 millones de hogares. O que ciberdelincuentes penetren en el sistema informático de una plataforma marina y provoquen el mal funcionamiento de los sensores de presión, paralizando la producción y poniendo en riesgo una evacuación completa.
Aunque todos estos son escenarios hipotéticos del peor caso que los equipos de prevención de crisis analizan una y otra vez, la realidad más inquietante es que no se trata de si alguna de estas situaciones se producirá, – sino de cuándo.
Vivimos en una época en la que la digitalización crece de forma exponencial. Y a medida que las plataformas digitales conectan una red virtual en constante expansión de hogares, vehículos, oficinas, fábricas, redes energéticas y plataformas petrolíferas, observamos un número cada vez mayor de intentos de ciberataque como estos.
Si bien los ataques en línea no son nada nuevo, lo que cambia ahora es la escala del riesgo y de su impacto, directamente relacionada con la escala de la conectividad digital y con los profundos cambios en el ecosistema derivados de la digitalización, la descentralización y la transición energética. Nuestros adversarios cibernéticos son más ágiles y sofisticados en su capacidad para causar grandes estragos a distancia y con poco o ningún riesgo. Esta situación debe cambiar.
Antes de poder avanzar de forma significativa frente a estos desafíos, debemos plantearnos primero algunas preguntas importantes.
¿Tenemos la comprensión, la resiliencia digital y la capacidad general necesarias para aplicar un enfoque sistemático al nuevo panorama de amenazas y riesgos en nuestras empresas e instituciones?
¿Qué se necesita para actuar desde una posición de fortaleza?
Cómo evitar adoptar una postura defensiva
El panorama de amenazas y riesgos en los sectores de activos pesados, en particular en el de petróleo y gas, evoluciona a una velocidad vertiginosa, con una complejidad creciente, agravada por la reducción de la conciencia situacional.
Si no actuamos, muy pronto nos quedará poca opción salvo intentar cerrar las brechas y jugar desde una posición de debilidad. En lugar de mitigar proactivamente las vulnerabilidades y anticiparnos a los ataques, reaccionaremos a la defensiva. Existen oportunidades y fortalezas inherentes a estos sectores que pueden evitar este resultado, y aún tenemos tiempo para aprovecharlas plenamente.
Mientras una de las industrias más sofisticadas y complejas del mundo lleva a cabo una transición multifacética —de lo analógico a lo digital, de lo centralizado a lo distribuido y de lo basado en combustibles fósiles a lo bajo en carbono—, la gestión del ciberriesgo y la prevención de las ciberamenazas se están convirtiendo rápidamente en elementos críticos para las cadenas de valor de las empresas.
Resiliencia cibernética en la industria del petróleo y el gas: manual de actuación para consejos de administración y directivos corporativos. Libro blanco, Foro Económico Mundial, 2021.
Un siglo de experiencia desplegada a la velocidad de la luz
La primera categoría de fortalezas y oportunidades reside en los siglos de experiencia que las empresas industriales han acumulado como operadoras de activos de gran visibilidad, alto valor y complejidad física, así como en su saber hacer para mantener esas infraestructuras físicamente seguras y protegidas.
Este conocimiento y esta experiencia forman parte del ADN industrial y abarcan todo el ecosistema. Seguirán desempeñando un papel importante como trampolín hacia la ciberseguridad industrial, pero por sí solos no son suficientes.
Las defensas necesarias para el futuro deben combinar el conocimiento industrial con el poder de las capacidades digitales.
"Cuanto más sudes en la paz, menos sangrarás en la guerra"
Si una organización ya cuenta con experiencia industrial en la protección de activos físicos de gran envergadura, junto con plataformas digitales revolucionarias, software de seguridad y equipos de expertos en tecnología, ¿qué más puede hacer para ser ciberresiliente?
Las guerras, incluida esta nueva forma de guerra cibernética, no se ganan únicamente con estrategas militares brillantes, los soldados mejor entrenados y el personal de operaciones especiales más experimentado. Para vencer, se necesitan líneas de suministro seguras, las mejores operaciones de inteligencia, aliados comprometidos y ciudadanos informados y comprometidos.
Por tanto, establecer una cultura diversa, dinámica, orientada a la sostenibilidad y que priorice la seguridad y la protección es fundamental no solo para desarrollar la ciberresiliencia, sino también para facilitar la digitalización de la industria. Poner en marcha programas de concienciación pertinentes, actualizados y atractivos crea capas defensivas sólidas. Los esfuerzos en materia de cultura y concienciación no deben considerarse ni pequeños ni sencillos. Bien podrían ser lo que incline la balanza a nuestro favor.
Qué hace el Foro Económico Mundial en materia de ciberseguridad
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender la evolución de los ciberriesgos y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
La creciente importancia de la cultura y la concienciación puede ayudarnos hoy y, lo que es más importante, crear las capacidades organizativas necesarias para el mañana. Debemos preparar a los consejos de administración para que traten el nuevo panorama de riesgos como una cuestión fundamental para la empresa. Debemos dotar a los expertos en la materia y a los trabajadores remotos de primera línea de una comprensión más profunda de la nueva realidad híbrida y de los riesgos asociados en los que operan nuestros sectores, junto con sus partes interesadas y dependencias, en constante cambio.
No es una tarea sencilla pero, como reza el viejo adagio de tiempos de guerra: “Cuanto más sudes en la paz, menos sangrarás en la guerra.”
Tenemos que hacer el trabajo arduo de construir una cultura en la que todas las capas trabajen juntas, compartiendo conocimientos e información. Debemos transformar nuestra función de seguridad, pasando de un modelo centralizado y poco escalable a una estructura defensiva distribuida, preparada para apoyar y proteger a las personas, el medioambiente y los activos.
Construir un futuro resiliente
Existe una creciente comprensión de los enormes cambios en curso y de los riesgos sistémicos que estos conllevan. El nuevo panorama de riesgos exigirá un enfoque distinto de la seguridad y la protección, más holístico e integrado, adaptado a los desafíos que tenemos por delante.
El Foro Económico Mundial ha invitado a algunos de los principales expertos y empresas a trabajar en la forma de abordar nuestros desafíos e identificar nuestras oportunidades. El libro blanco Resiliencia cibernética en la industria del petróleo y el gas: manual de actuación para consejos de administración y directivos corporativos, tiene como objetivo sentar las bases mediante la definición de principios, el uso de ejemplos reales y, por último, pero no menos importante, directrices de implementación.
El éxito de cualquier trabajo de este tipo depende de la adopción organizativa y de la amplitud, el alcance y la sostenibilidad de los programas de seguridad y protección.
En el futuro, y para actuar desde una posición de fortaleza, será de vital importancia que los líderes del sector aprovechen la oportunidad actual para establecer expectativas y objetivos claros en materia de seguridad y protección del futuro industrial digital.
Un futuro sostenible impulsado por los datos y los algoritmos, fundamentado en siglos de conocimiento industrial y construido sobre una sólida cultura de seguridad, medioambiente y activos críticos. Un futuro en el que el intercambio de conocimientos y competencias se utilice para desarrollar la cultura y aumentar la resiliencia.
