Las infraestructuras industriales están cada vez más conectadas y, en el proceso, son más inteligentes y eficientes. Junto con estas ventajas surge la necesidad de proteger los activos de infraestructura frente a los ciberataques. Un ciberataque de gran envergadura contra la red eléctrica de EE. UU., por ejemplo, podría costar hasta 1 billón de dólares, según un reciente informe de Lloyd’s y del Cambridge Centre for Risk Studies. Para analizar el estado de la ciberseguridad industrial y la mejor manera de avanzar en ella, Look ahead entrevistó a Ralph Langner, fundador de Langner Group y experto en ciberseguridad especializado en sistemas de control industrial. En 2010, dirigió al equipo que realizó la ingeniería inversa de Stuxnet, el primer malware diseñado para destruir activos físicos. Aquí comparte sus puntos de vista sobre lo que puede hacerse para proteger mejor los activos de infraestructura.
Usted es conocido por haber dirigido al equipo que realizó la ingeniería inversa de Stuxnet. ¿Cómo cambió Stuxnet la manera en que los gobiernos y la industria perciben la ciberseguridad?
Los gobiernos de todo el mundo han comprendido que el ámbito cibernético es un dominio militar, una doctrina que fue formulada y defendida sobre todo por el antiguo subsecretario de Defensa William Lynn y por el antiguo director de la CIA, el general Michael Hayden. Hoy en día se invierten miles de millones de dólares al año en capacidades militares ofensivas en el ámbito cibernético. Un efecto similar de transformación no se ha producido en el sector privado, que en este momento se encuentra mayoritariamente en un estado de negación. Muchos propietarios de activos se dejan llevar por la idea de que lo ocurrido con Stuxnet no afecta a su panorama de riesgos y de que, si un Estado nación decidiera atacarles con ciberataques, no podrían hacerle frente de todos modos, lo cual, por cierto, es claramente erróneo.
¿Qué tipo de infraestructura industrial diría que es actualmente la más vulnerable a los ciberataques?
Los sistemas digitales de control industrial son dispositivos genéricos que se encuentran en todos los sectores. También se utilizan para controlar cosas como ascensores, escaleras mecánicas o sistemas de aire acondicionado. Incluso el ejército emplea los mismos sistemas. Por esta sencilla razón, las vulnerabilidades no difieren mucho entre sectores, y los atacantes disponen de un amplio abanico entre el que elegir.
Aparentemente, los piratas informáticos parecen preferir el sector energético, como demuestra el mayor número de intrusiones. Esto no resulta realmente sorprendente, teniendo en cuenta las repercusiones de la energía para la seguridad nacional. Si un agresor logra controlar el suministro de gasolina o de electricidad de un adversario, se trata de una baza negociadora considerable, ya sea que se utilice como amenaza o como ataque real.
La respuesta habitual de los gobiernos ante las diversas intrusiones de alto perfil en el sector energético ha sido recurrir a la disuasión, una apuesta arriesgada, porque presupone a) una atribución fiable y b) un adversario racional. Si observamos a actores como Corea del Norte, que ya cuenta con capacidades ofensivas cibernéticas notables (piense en el ataque contra Sony), la segunda premisa puede ponerse en duda.
Aparentemente, los piratas informáticos parecen preferir el sector energético, como demuestra el mayor número de intrusiones. Esto no resulta realmente sorprendente, teniendo en cuenta las repercusiones de la energía para la seguridad nacional.
Sin entrar en detalles que puedan ayudar a los ciberpiratas, ¿a qué tipo de amenaza diría que son más vulnerables los activos de infraestructura?
La gran puerta abierta en este momento es la infiltración indirecta a través de contratistas por parte de actores de amenaza sofisticados. Pensábamos que, después de Stuxnet, prácticamente todo el mundo, hasta los taxistas, sería consciente de ello, pero lo cierto es que incluso hoy en día los responsables de plantas a cargo de instalaciones de máxima criticidad fantasean con estar protegidos por “air gaps”. Si alguien quiere atacar un objetivo de alto valor mediante ciberataques, la vía lógica es ir a por contratistas mal protegidos y simplemente esperar a que acudan a la planta para realizar el mantenimiento programado y conecten sus portátiles infectados con malware a las redes críticas. Es fácil de hacer, fácil de evitar y, sin embargo, a pocos les importa.
¿Cuáles son las mejores prácticas para proteger las infraestructuras críticas frente a los ciberataques?
El punto más importante es adoptar un enfoque estratégico y a largo plazo. Esto es bien conocido en el ámbito de las TI, pero rara vez se aplica en la tecnología operativa. Si se aborda el ciberriesgo como un proyecto o, aún peor, si se centra únicamente en temas técnicos [de red], nunca se logrará la sostenibilidad ni la rentabilidad. Se estará combatiendo los síntomas en lugar de la enfermedad.
El paso fundamental para reducir el ciberriesgo es comprometerse con un plan sólido de ciberseguridad que se aplique como un proceso continuo, que se apoye en verificaciones basadas en hechos [auditorías] y que disponga de los recursos necesarios para hacerlo realidad. Curiosamente, muchas organizaciones nunca comprueban realmente si sus esfuerzos en ciberseguridad tienen algún impacto real. La consiguiente imprecisión de la ciberseguridad es una de las razones por las que los directivos tienen ciertas reservas sobre el tema. Esto puede cambiar mediante la presentación de informes sólidos con buenas métricas.
En cuanto a las prioridades a corto plazo, el mejor consejo que puedo dar es abordar el riesgo de infección indirecta centrándose en el acceso remoto, los portátiles que se introducen físicamente en las instalaciones, las memorias USB y la transmisión de archivos (desde documentos técnicos hasta ejecutables) por correo electrónico. Sorprendentemente, muchos propietarios de activos no mantienen una lista completa y precisa de los contratistas, junto con sus funciones y responsabilidades. Otros no controlan el acceso remoto de forma estricta. Todas ellas son medidas de bajo esfuerzo y gran eficacia, si se tiene en cuenta que la vía de infiltración más prometedora hacia los objetivos de alto valor es a través de los contratistas.
Otra observación que hemos hecho es que las probabilidades de éxito son mayores si todo el esfuerzo lo dirige la OT [tecnología operativa] y no la TI. La experiencia demuestra que es más realista formar a los ingenieros de sistemas de control en ciberseguridad que formar a los profesionales de TI en PLC [controladores lógicos programables], buses de campo, relés de protección, requisitos de tiempo real o seguridad en general.
La idea que recomiendo encarecidamente olvidar es que cualquier artilugio técnico (da igual que se llame sistema de prevención de intrusiones, diodo de datos o cualquier otro nombre rimbombante) basta para que una instalación sea razonablemente segura. Resulta tentador creer que se puede eludir el ciberriesgo simplemente instalando el último dispositivo, pero nunca será suficiente. Una estrategia sólida de ciberseguridad siempre implica cambios de comportamiento y organizativos. Sin embargo, cada vez somos mejores para entender cómo hacer que estos cambios sean lo más fluidos y rentables posible.
El paso fundamental para reducir el ciberriesgo es comprometerse con un plan sólido de ciberseguridad que se aplique como un proceso continuo, que se apoye en verificaciones basadas en hechos [auditorías] y que disponga de los recursos necesarios para hacerlo realidad. … Una estrategia sólida de ciberseguridad siempre implica cambios de comportamiento y organizativos.
¿Qué papel ve usted para las asociaciones público-privadas en el desarrollo y la promoción de las mejores prácticas?
La idea de las asociaciones público-privadas suena bien y se viene promoviendo desde hace décadas, pero seguimos esperando ver resultados significativos. Lo que veo mucho más prometedor son las asociaciones privado-privadas, en las que los propietarios de activos, empezando por los del mismo sector, comparten información sobre formas rentables de mejorar la protección. En realidad, no necesitamos que el gobierno nos ayude [en] la protección de las instalaciones industriales. Creo firmemente, respaldado por la experiencia con nuestra base de clientes, que las asociaciones privadas en materia de ciberseguridad serán una de las tendencias más importantes en el futuro para hacer este esfuerzo más eficiente. Utilizamos las redes sociales y la nube para todo tipo de actividades de ocio triviales; deberíamos empezar a aprovechar la tecnología para compartir información sobre asuntos más serios.
Algunas organizaciones, y algunos gobiernos, han estudiado la posibilidad de desarrollar «capacidades de represalia». ¿Existe alguna evidencia de que esta estrategia sea eficaz para reducir el número o el impacto de los ciberataques?
Si existe alguna evidencia, yo no la he visto. Lo que sí vemos es que Stuxnet ha desencadenado una carrera armamentística cibernética en la que incluso el actor menos lógico se siente obligado a participar. A veces me pregunto si la idea de poder tomar represalias en el ciberespacio no es más que una extraña excusa para invertir en el nuevo dominio militar, que, en comparación con otros dominios, no solo resulta atractivo, sino también muy barato. En cuanto a las represalias, no hay que olvidar que algunos actores son prácticamente invulnerables, mientras que otros simplemente podrían no preocuparse.
Usted describió la sofisticación de la carga útil de Stuxnet como “ciencia de cohetes”. Como consultor de seguridad, ¿ha visto algo tan sofisticado como Stuxnet desde entonces?
No. Pero lo que vemos claramente son ataques posteriores a Stuxnet. Pensemos en campañas de ciberataque de alto perfil contra el sector energético, como Energetic Bear o Black Energy. Aunque estas campañas no han destruido ni degradado intencionadamente el equipo industrial hasta ahora, uno de sus objetivos parece ser situarse en posición de hacerlo, de modo que, llegado el momento, los atacantes puedan dejar fuera de servicio partes significativas de la infraestructura energética. Y si cree que las actualizaciones esporádicas de firmas antivirus y los parches de seguridad anuales bastan para resolver el problema, sin duda vive en un mundo anterior a Stuxnet.
Mirando hacia el futuro, ¿cómo será el entorno de la ciberseguridad en 2030 y en qué se diferenciará del entorno de ciberseguridad al que nos enfrentamos hoy?
Según mi bola de cristal, el mundo parece mucho menos seguro desde el punto de vista cibernético en 2030 que hoy. Con la actual manía de conectar todo, desde los aviones de pasajeros hasta los asientos de inodoro, a Internet, va a resultar extremadamente difícil, y en algunos casos quizá incluso imposible, dar marcha atrás y regresar a arquitecturas menos complejas que realmente comprendamos y logremos asegurar.
Este artículo se publica en colaboración con GE Lookahead. La publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Para mantenerse al día con Agenda suscríbase a nuestro boletín semanal.
Autor: Clint Witchalls es redactor de GE Lookahead.
Imagen: Un hombre escribe en el teclado de un ordenador. REUTERS/Kacper Pempel/Files.
