• El reciente ataque de ransomware contra un importante propietario de oleoductos en EE. UU. pone de manifiesto la vulnerabilidad de las infraestructuras críticas.
• El sector energético no puede esperar a que los gobiernos regulen la ciberseguridad.
• Debe prepararse para ciberataques frecuentes y sofisticados como la nueva normalidad.
Una ciberseguridad sólida requiere un enfoque colaborativo. En el sector del petróleo y el gas, las cadenas de suministro están interconectadas e son interdependientes, por lo que es importante avanzar como comunidad en la madurez de la ciberseguridad.
El reciente ataque de ransomware contra Colonial Pipeline, un importante propietario y operador de oleoductos responsable del transporte de casi la mitad del combustible para el transporte hacia el este de Estados Unidos, debería ser una lección alarmante sobre la vulnerabilidad de las infraestructuras críticas frente a los ciberriesgos. Los suministros energéticos fiables dependen de que la ciberseguridad se gestione bien, ahora y en el futuro.
Guste o no, los gobiernos y las empresas deben adaptarse a un panorama de amenazas en escalada continua. Mientras los gobiernos lidian con la geopolítica de los ciberataques, cabe esperar que muchos exploren nuevas regulaciones, una cooperación ampliada entre los gobiernos y el sector privado y protecciones tecnológicas reforzadas para las infraestructuras críticas. Sin embargo, los directivos del sector del petróleo y el gas no pueden esperar a que el gobierno avance en la ardua tarea de reducir los ciberriesgos en sus organizaciones, amplias y complejas.
La intensa presión del mercado sigue impulsando una revolución digital en el sector del petróleo y el gas. La pandemia de COVID-19 añadió un aumento de los acuerdos de trabajo remoto a la creciente ola de sistemas digitalizados e interconectados que maximizan la eficiencia y minimizan las emisiones. Las claras ventajas competitivas de los activos digitales implican que la revolución digital continuará. Cada vez más procesos industriales fundamentales para el sector del petróleo y el gas dependerán de equipos conectados y controlados digitalmente. Sin embargo, la propia naturaleza de los equipos digitalizados aumenta los ciberriesgos. Las mismas herramientas que ayudan a que la infraestructura de petróleo y gas funcione de manera eficiente y permiten la operación remota son posibles puntos de exposición a ciberataques.
En parte debido a la superficie de ataque ampliada y modificada que ofrecen los equipos digitalizados, la frecuencia y la sofisticación de los ataques siguen aumentando y han cambiado de foco. Mientras que los ataques anteriores se centraban en las tecnologías de la información (TI), los ataques a las tecnologías operativas (TO) son ahora habituales.
Este entorno de amenazas es la nueva normalidad para la infraestructura de petróleo y gas. Tanto si los atacantes son delincuentes motivados por el beneficio económico como si son actores estatales que juegan con la geopolítica, la infraestructura digitalizada de petróleo y gas constituye un objetivo tentador. Los miembros de los consejos de administración, y los responsables de seguridad de la información de los que son responsables, deberían prepararse para que los ataques frecuentes y sofisticados se conviertan en un riesgo operativo permanente.
Incluso para los líderes del sector que conocen bien los riesgos y las tendencias que afronta la industria del petróleo y el gas, construir una ciberseguridad robusta puede ser un desafío enorme.
El Libro Blanco del Foro Económico Mundial Ciberresiliencia en la industria del petróleo y el gas: Guía práctica para consejos de administración y directivos corporativos ofrece un nuevo modelo para proteger las infraestructuras críticas, con el fin de ayudar a los líderes de la industria del petróleo y el gas a abordar los ciberriesgos e implementar recomendaciones clave en sus organizaciones, así como a defender estándares en todo el ecosistema energético. Esta nueva guía es fruto de los debates y la colaboración de la comunidad de socios de la industria del petróleo y el gas del Foro Económico Mundial, que incluye a Siemens Energy y Saudi Aramco, y que impulsó y elaboró una guía para ayudar a los líderes de la industria del petróleo y el gas a abordar los ciberriesgos e implementar recomendaciones clave en sus organizaciones, así como a defender estándares en todo el ecosistema energético.
El grupo de trabajo del WEF combinó experiencias para desarrollar un conjunto de seis principios específicos para la industria que ayuden a los consejos de administración de las empresas de petróleo y gas a gobernar los ciberriesgos y reforzar la ciberresiliencia de sus organizaciones:
1. Gobernanza de la ciberresiliencia
Los esfuerzos en ciberseguridad dependen de una participación amplia dentro de la organización. Alinear los esfuerzos y establecer una rendición de cuentas clara son fundamentales para el éxito.
2. Resiliencia desde el diseño
Incluir la ciberseguridad como parámetro de diseño y como parte de la cultura corporativa ayuda a mejorar los resultados.
3. Responsabilidad corporativa en materia de resiliencia
Dado que es probable que las amenazas sofisticadas y frecuentes continúen o aumenten, las organizaciones deben examinar sus ciberriesgos y asumir la responsabilidad de gestionarlos.
4. Enfoque holístico de la gestión de riesgos
Al igual que otros riesgos, la gestión de los ciberriesgos requiere un mandato, fondos, recursos y rendición de cuentas. En el sector del petróleo y el gas, es especialmente importante detectar y mitigar los riesgos en todas las partes de la cadena de valor, para que un eslabón débil no paralice la producción.
5. Colaboración en todo el ecosistema
Los eslabones débiles en las defensas pueden encontrarse fuera de la organización. Los esfuerzos deliberados para compartir información sobre ciberamenazas, buenas prácticas y mejorar la madurez en ciberseguridad en todo el sector contribuyen a la estabilidad de toda la industria.
6. Planes de ciberresiliencia en todo el ecosistema
Dado que los ciberataques seguirán produciéndose, elaborar planes de resiliencia ayuda a mitigar los daños de los que tienen éxito, total o parcialmente. Los ejercicios de ciberseguridad permiten a los defensores probar y mejorar sus defensas, incluido el modo en que cooperarán con otros socios de la industria.
Para ayudar a los miembros de los consejos de administración y a los directivos corporativos a visualizar estos principios en la práctica, la guía expone ejemplos concretos de buenas prácticas, junto con estrategias de implementación. La adopción de estos principios respaldará a la industria en sus esfuerzos por seguir suministrando energía segura, asequible y baja en carbono durante las próximas décadas.
Qué hace el Foro Económico Mundial en materia de ciberseguridad
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los ciberriesgos cambiantes y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a reforzar la ciberresiliencia y a afrontar retos que requieren respuestas colectivas.
Solo juntos podemos construir un ecosistema de petróleo y gas estable, eficiente y fiable que proteja nuestro futuro común frente a las ciberamenazas en curso.
