El aumento de los ciberataques contra los sistemas de tecnología operativa (TO) pone en peligro la infraestructura crítica en todo el mundo, afectando a la energía, el agua y la industria manufacturera.
Los directores ejecutivos deben distinguir entre la ciberseguridad de TI y de TO para proteger los datos y las operaciones industriales de manera eficaz.
Los controles de ciberseguridad de TO a medida, como los planes de respuesta a sistemas de control industrial (ICS) y las arquitecturas defendibles, pueden salvaguardar los sistemas críticos y garantizar la continuidad operativa.
La alta dirección y los consejos de administración de las organizaciones industriales son cada vez más conscientes de los riesgos cibernéticos y solicitan garantías de que sus empresas podrán resistir una era de amenazas cibernéticas en aumento por parte de actores estatales, hacktivistas y grupos criminales.
Entre los incidentes recientes figura una serie de ciberataques contra controladores lógicos programables utilizados por instalaciones de agua, plantas químicas y fabricantes que manejan fluidos. La amenaza de espionaje de Volt Typhoon sigue poniendo en riesgo la infraestructura de energía, agua, transporte y comunicaciones.
El malware FrostyGoop, descubierto recientemente, no solo interrumpió la calefacción de más de 600 edificios residenciales en Ucrania, sino que también se dirige a la tecnología utilizada por más de 46 000 dispositivos de sistemas de control industrial (ICS) conectados a internet en todo el mundo. Las organizaciones también están en alerta ante PIPEDREAM, el primer malware para ICS capaz de ampliar los ataques a través de sistemas y sectores.
Los directores ejecutivos y los miembros de los consejos de administración industriales suelen recibir métricas generadas por las herramientas de seguridad de tecnología de la información (TI) y por las asignaciones presupuestarias de ciberseguridad para demostrar el compromiso de su empresa.
Lamentablemente, este enfoque genera una falsa sensación de seguridad. La tecnología operativa (TO) que sustenta la parte generadora de ingresos del negocio sigue expuesta, porque la ciberseguridad de TI no puede protegerla adecuadamente.
Al comprender la diferencia entre TI y TO, así como los controles de ciberseguridad eficaces en estos entornos, los directores ejecutivos y los miembros de los consejos de administración pueden tomar decisiones más informadas y exigir mejor responsabilidades a sus equipos.
A continuación, se presenta una guía básica que aclara los conceptos y ayuda a fortalecer el enfoque organizativo de la ciberseguridad y la resiliencia.
Proteger los sistemas operativos que sustentan nuestro estilo de vida
La TO impulsa los sistemas industriales modernos y la infraestructura crítica, con un impacto significativo en muchos aspectos de nuestra vida. En 2022, la infraestructura crítica suministró electricidad al 91 % de la población mundial (7200 millones de personas) y agua potable al 74 % (5900 millones de personas).
El petróleo y el gas son esenciales para el transporte, la industria manufacturera y la generación de energía en todo el mundo. Según los Indicadores del Desarrollo Mundial 2023 del Banco Mundial, la industria manufacturera aporta más del 15 % del producto interior bruto mundial, emplea entre el 15 % y el 20 % de la fuerza laboral mundial y afecta prácticamente a todas las personas del planeta a través de los bienes y servicios que produce.
La ciberseguridad de TO ha evolucionado de forma inherente, con énfasis en la continuidad y la recuperación de las operaciones.
Cuando los sistemas de TO se ven interrumpidos, se producen cortes de suministro, escasez, riesgos para la seguridad, paralización de la producción y pérdidas económicas. Un ciberataque contra un sistema de agua puede hacer que el agua potable no sea segura o no esté disponible.
Los ataques contra la infraestructura energética pueden provocar cortes de suministro eléctrico y trastornos económicos. Las ciberamenazas contra las plantas de procesamiento de alimentos, los fabricantes de chips y las empresas farmacéuticas provocan escasez, deficiencias de calidad, amenazas para la salud y la vida, interrupciones en las cadenas de suministro mundiales y daños a la reputación corporativa y a la viabilidad empresarial.
Los directivos hacen bien en preguntar a sus directores de seguridad de la información si su empresa está protegida, pero deben profundizar más. Esto se debe a que: las inversiones en ciberseguridad empresarial suelen destinarse a proteger los datos y los sistemas de información, pero no los procesos industriales que funcionan a gran escala y cuentan con sistemas singulares con requisitos exigentes de disponibilidad.
Estos sistemas de TO están cada vez más conectados a través de iniciativas de transformación digital, pero a menudo incluyen tecnologías vulnerables que no se diseñaron teniendo en cuenta la ciberseguridad.
Implementación de la ciberseguridad adecuada
La ciberseguridad de TI tiene como objetivo proteger la información y evitar el acceso no autorizado. La TI se centra en gestionar y procesar datos para garantizar la disponibilidad, la confidencialidad y la integridad de la información. Los dispositivos de TI suelen ser estándar, tienen una vida útil más corta y son más fáciles de sustituir y mantener.
La ciberseguridad de TO, en cambio, protege los sistemas que garantizan el funcionamiento seguro y eficiente de los entornos industriales. La TO supervisa y controla los procesos físicos y los equipos, e interactúa con la maquinaria y la infraestructura física.
Los dispositivos utilizados en TO suelen estar diseñados específicamente para su función, tienen una vida útil prolongada y requieren un mantenimiento especializado. Tradicionalmente, las prioridades de seguridad de la TO han hecho hincapié en la seguridad, la fiabilidad y el rendimiento en tiempo real, centrándose en la protección de los procesos físicos y los equipos.
Las empresas deben utilizar una ciberseguridad específica para los entornos industriales a fin de proteger los sistemas de TO. Dado que orientarse entre la amplia gama de directrices puede resultar complejo, el Instituto SANS formuló los «cinco controles críticos» para la ciberseguridad de TO, con el fin de ayudar a las organizaciones a priorizar los controles más importantes y a construir un proceso eficaz de ciberseguridad.
Los controles incluyen:
Desarrollar un plan de respuesta a incidentes de ICS en preparación para un ataque.
Construir una arquitectura defendible.
Obtener visibilidad y supervisión de la red ICS.
Utilizar un acceso remoto seguro.
Llevar a cabo una gestión de vulnerabilidades basada en el riesgo que priorice y mitigue las vulnerabilidades adecuadas para entornos industriales de alta disponibilidad.
Según el documento técnico publicado recientemente por el Foro Económico Mundial, Unpacking Cyber Resilience, «las organizaciones deben priorizar la ciberresiliencia como una cuestión de liderazgo estratégico, lo que les permite proteger los objetivos empresariales fundamentales y promover el crecimiento a largo plazo».
Esto supone una buena noticia para los líderes empresariales industriales que sitúan a sus organizaciones en el camino correcto hacia la ciberseguridad de TO. Su ciberresiliencia aumenta de inmediato.
Aunque es una disciplina más reciente que la ciberseguridad de TI en cuanto a prácticas consolidadas y adopción generalizada, la ciberseguridad de TO ha evolucionado de forma inherente, con énfasis en la continuidad y la recuperación de las operaciones.
Siempre ha tenido que tener en cuenta los desafíos únicos y los altos riesgos asociados a la protección y el buen funcionamiento de la infraestructura crítica. Por lo tanto, la ciberseguridad de TO incorpora estrategias que protegen frente a las ciberamenazas y garantizan que los sistemas puedan resistir y recuperarse rápidamente de los incidentes.
