La inteligencia artificial está innovando y transformando rápidamente el panorama de ciberamenazas para las infraestructuras críticas del sector energético.
Los líderes del sector energético deben esperar más vulnerabilidades, más parches y una oleada de servicios obsoletos que amenazarán sus sistemas.
Los directores de seguridad de la información (CISO) deben intensificar el ritmo de su mantenimiento de ciberseguridad para hacer frente a estos riesgos.
La inteligencia artificial (IA) está innovando y transformando rápidamente el panorama de amenazas para las infraestructuras críticas. A medida que estos sistemas se vuelven más inteligentes, los sistemas energéticos se enfrentan a una prueba sin precedentes de su resiliencia, ante la que los líderes deben actuar con urgencia.
Solo en el último año, las capacidades de programación de la IA han avanzado de forma tan notable que la empresa de IA Anthropic retuvo su modelo más reciente y organizó esfuerzos para cerrar las vulnerabilidades que el modelo descubrió en todo el sector tecnológico.
Las barreras de seguridad diseñadas para evitar ataques asistidos por IA contra infraestructuras críticas subrayan la gravedad de la amenaza que supondrían los modelos plenamente potentes. Sigue sin estar claro si dichas barreras resistirán, o con qué rapidez los modelos de pesos abiertos con menor supervisión alcanzarán las mismas capacidades.
Pero una cosa está muy clara: las empresas energéticas tienen un tiempo limitado para prepararse para una nueva normalidad en la que la IA puede descubrir y explotar rápidamente vulnerabilidades en los sistemas digitales.
Riesgos de la IA para el sector energético
La infraestructura energética está controlada digitalmente, tiene una larga vida útil y es compleja. Los ciberataques, desde el ransomware hasta la infiltración de economías rivales por parte de Estados, ya tienen como objetivo las infraestructuras críticas.
Sin embargo, cuando se les pregunta, solo el 46 % de los profesionales de la ciberseguridad afirma que su propia organización cuenta con una protección adecuada en sus entornos de tecnología operativa (OT). Incluso el mercado estadounidense, relativamente sofisticado, ofrece ejemplos de empresas energéticas que desconocían compromisos prolongados de sus infraestructuras.
Muchas empresas de servicios públicos del sector eléctrico son pequeñas organizaciones con presupuestos limitados, pero deben defenderse frente a amenazas de nivel estatal. La incorporación de IA recién capacitada que puede descubrir y explotar vulnerabilidades agravará el desajuste existente entre la velocidad de actuación de los atacantes y la de los defensores.
Los defensores de OT típicos tardan más de un mes en detectar una brecha de ciberseguridad y más de siete meses en recuperarse, y ahora deben enfrentarse a agentes de IA que pueden descubrir y explotar vulnerabilidades en un plazo de 15 minutos.
Mantener la ciberseguridad en una era de mayor velocidad
Los operadores de infraestructuras energéticas se enfrentan ahora a una realidad abrumadora. Deben operar con vulnerabilidades conocidas en sus sistemas, mientras la IA escudriña código y redes en busca de otras nuevas. Mientras tanto, los ataques contra el sector energético siguen aumentando.
El phishing, el vishing y los ataques de ingeniería social, respaldados o ejecutados por agentes de IA y Estados, siguen atacando y, en ocasiones, comprometiendo cuentas válidas. Este no es el futuro; es el presente.
Los operadores deben prever estas duras condiciones y diseñar sus sistemas para afrontarlas. La defensa en profundidad, la segmentación de redes y los principios de mínimo privilegio seguirán siendo fundamentales para construir y mantener defensas sólidas.
Las mismas capacidades de IA que descubren y explotan rápidamente fallos deberían permitir a los proveedores de software acelerar el desarrollo de parches. Los nuevos parches no surtirán efecto hasta que se implementen, por lo que los directores de seguridad de la información (CISO) deben acelerar cada paso bajo su control.
Los flujos de trabajo destinados a reforzar periódicamente las prácticas de ciberseguridad, como las auditorías de configuración, tendrán que realizarse con más frecuencia. En particular, Apple citó recientemente el uso malintencionado de la IA como motivo para cambiar su filosofía de publicación de parches, de larga tradición, lo que supone una señal clara de que una aplicación más rápida de parches será importante para sobrevivir en la era de la IA.
Los operadores energéticos se enfrentan a más vulnerabilidades
Los operadores deben prepararse para una retirada temprana del software. Cuando empecemos a ver agentes de IA explotando software en el entorno real, muchos proveedores se centrarán en proteger las iteraciones actuales y futuras del software, dejando las versiones antiguas sin parches y vulnerables.
Casi nadie tiene el presupuesto ni la capacidad operativa para actualizar todo a la vez. Los CISO del sector energético deberán elegir qué elementos esenciales actualizar cuanto antes a versiones actuales y qué versiones sin soporte pueden rodearse de controles compensatorios.
Además de controles compensatorios como el endurecimiento de activos, las listas blancas, los cortafuegos y los diodos de datos, los defensores deben crear visibilidad en sus entornos de tecnología operativa. Rastrear anomalías en sistemas digitales y físicos ayuda a los defensores a comprender lo que ocurre y cuándo intervenir.
La calidad de la información de la que dispondrán los consejos de administración y los directivos para tomar decisiones en situaciones de crisis dependerá de que se cree visibilidad antes de que surja la crisis. Bien hecha, la visibilidad puede incluso permitir a los defensores confirmar retroactivamente si las vulnerabilidades recién descubiertas existen y se explotaron previamente en sus redes.
En Europa, Estados Unidos y muchos mercados de Oriente Medio, las normativas de ciberseguridad exigen cada vez más que las infraestructuras críticas incluyan capacidades de monitorización de ciberseguridad.
Aprovechar la automatización para la ciberseguridad
La automatización ayudará a los defensores a gestionar el ritmo más acelerado que trae consigo la nueva normalidad. Ya hoy, la automatización puede asumir tareas rutinarias, buscar vulnerabilidades y responder a presuntas brechas de ciberseguridad con una velocidad similar a la de las máquinas. Añadir una IA más capaz a la caja de herramientas aumentará las cargas de trabajo que pueden automatizarse de forma fiable. Tratar la IA como un multiplicador de fuerza, no como un sustituto completo, parece prometedor.
A corto plazo, la automatización debería liberar a las personas para otras tareas. El inventario de activos, el descubrimiento de vulnerabilidades y la monitorización de redes ya pueden automatizarse. El aprendizaje automático y la IA facilitan detectar anomalías con precisión y priorizar la atención humana sobre los ataques probables, protegiendo al mismo tiempo a los analistas de una avalancha de falsos positivos.
Capturar y almacenar de forma segura y periódica una imagen de referencia de los sistemas clave puede ayudar a minimizar los costes de recuperación en caso de brecha, al garantizar que existan copias de seguridad de estado conocido y seguro. A más largo plazo, los CISO del sector energético deberán evaluar las compensaciones entre las ganancias de productividad y de seguridad que aporta la automatización basada en IA, frente a los riesgos que conlleva su mayor complejidad.
Los líderes del sector energético deben reconocer que la inacción en la era de la IA supone un riesgo no nulo. Un CISO que se queda quieto no solo renuncia a los beneficios de la automatización, sino que acumula un número creciente de tecnologías obsoletas y vulnerables que amenazan a todo el sector.
