El sector energético se ha enfrentado a un número creciente de ciberataques con repercusiones significativas, entre ellas la interrupción del suministro.
Un ciberataque contra la cadena de valor del sector puede interrumpir el suministro, paralizar una economía e incluso desestabilizar la seguridad nacional.
Las empresas deben trabajar junto con otros agentes de la cadena de valor para mejorar la ciberseguridad y mitigar los riesgos en todo el sector.
La industria energética y de servicios públicos se ha enfrentado a ciberataques más organizados con consecuencias ampliamente divulgadas. Los ataques a la cadena de suministro son ahora más visibles en cuanto a número e impacto.
Solo en 2021, SolarWinds, con un único ataque, afectó a miles de grandes empresas y agencias gubernamentales en todo el mundo. Mientras tanto, el ataque a Colonial Pipeline paralizó el suministro energético de millones de ciudadanos durante unos días, costó millones en contención y recuperación, y causó daños a la marca a largo plazo.
Sabiendo que durante el 66 % de los incidentes, los atacantes se centraron en el código de los proveedores para comprometer aún más a los clientes objetivo, y que toda una cadena de valor puede quedar de rodillas por la debilidad o vulnerabilidad de una sola organización, las preguntas que debe plantearse son:
¿Cómo puede confiar en sus proveedores si no sabe qué podría esconderse en sus entornos?
¿Cómo puede generar confianza con sus clientes si estos no ven su panorama digital?
Ninguna organización puede actuar sola en nuestro mundo interconectado, y la confianza es necesaria. Es también un dilema, ya que la propia confianza puede convertirse en una vulnerabilidad si no es reflexiva, recíproca y verificable mediante pruebas.
En la práctica, todas las agencias gubernamentales, organizaciones sin ánimo de lucro, grandes conglomerados mundiales y pequeñas y medianas empresas dependen digitalmente de un proveedor o socio para operar. Todas ellas no tienen más remedio que superar la asimetría de información.
Aun así, cuando alguien opera una «función habilitadora» que es esencial para el crecimiento y la producción en todo un país, debe garantizar la confianza mediante acciones a lo largo de toda la cadena de valor.
Generar debates basados en la confianza con los proveedores
Operar en múltiples ubicaciones, abastecerse de bienes en cinco continentes, externalizar servicios y gestionar miles de proveedores únicos es una realidad para las empresas del sector energético.
Además, el sector energético depende en gran medida de datos que ayudan a crear una infraestructura energética fiable y flexible. Las tecnologías de apoyo suelen proceder de terceros. Esto aumenta la complejidad y el riesgo en su panorama.
Es aún más complicado cuando sabemos que el 65 % de las organizaciones no han identificado a los terceros cuyo compromiso podría afectar a sus funciones más críticas.
Para adoptar un enfoque informado sobre los riesgos, las empresas deberían establecer «principios de seguridad de terceros» que regulen la forma en que se relacionan con los proveedores en torno a una postura común de ciberseguridad, de modo que la seguridad y la privacidad estén integradas en el proceso de compras y en el ciclo de vida del proveedor. Estos podrían incluir:
La ciberseguridad como criterio del proceso de selección de proveedores, llevada a cabo mediante plataformas de evaluación compartida, cuestionarios clásicos, evaluaciones con plataformas de puntuación, etc.
Una vez iniciada la colaboración con el tercero, durante el período contractual y en la renovación del contrato, la empresa debería crear oportunidades para realizar evaluaciones continuas de la posición de ciberseguridad del proveedor –por ejemplo, mediante plataformas de puntuación– y, si es necesario, actualizar los requisitos contractuales.
Un enfoque basado en el riesgo para evaluar a terceros, con el fin de garantizar una valoración precisa del riesgo y exigir un conjunto adecuado de controles en función de este nivel de riesgo.
Una política de código fuente y un enfoque de desarrollo seguro desde el diseño que destaque la seguridad, la calidad y la confianza en los productos y sistemas.
Los principios rectores deben regir la seguridad de terceros para mitigar el riesgo derivado de los proveedores, pero también crear conversaciones transparentes sobre seguridad.
Demostrar que la ciberseguridad es una prioridad máxima
En una cadena de valor compleja, las empresas energéticas son proveedoras de un cliente o usuario. Por ello, cada una debe certificar que la seguridad es una prioridad máxima y una realidad para la empresa.
Los indicadores de confianza deben, por tanto, constituir la base de una estrategia de ciberseguridad que guíe el diseño y el proceso de entrega de la seguridad, como se detalla a continuación.
Desde las pruebas más básicas hasta las más tangibles, cada indicador eleva el nivel de confianza y permite debates basados en la confianza al relacionarse con clientes y autoridades.
Ganarse la confianza de los clientes en todas las interacciones
Cada interacción con un cliente cuenta, y es fundamental que la ciberseguridad forme parte del debate desde ventas hasta el nivel de director de seguridad de la información (CISO).
Los clientes deben tener la garantía de que se cumplen los más altos estándares de seguridad al visitar sus instalaciones, al presentar cuestionarios sobre ciberseguridad y al ser informados de las vulnerabilidades. Así es como puede hacerlo:
En primer lugar, los colectivos de cara al cliente, como ventas, jefes de proyecto, comisionados y representantes de servicios de campo, deben poder satisfacer las demandas y expectativas de los clientes, al tiempo que operan en entornos diversos y sensibles de tecnologías de la información y tecnologías operativas. Una combinación sólida de controles blandos, como la formación y la concienciación, y controles técnicos duros debería garantizar que ellos y sus dispositivos no se conviertan en el vector de un incidente o ataque de ciberseguridad, y que todos los incidentes de ciberseguridad se detecten y notifiquen de conformidad con normas, políticas y procedimientos estrictos. Esta iniciativa debería formalizarse mediante un reconocimiento oficial y un compromiso público, como un «distintivo de ciberseguridad».
En segundo lugar, los clientes tienen sus propias expectativas en materia de ciberseguridad y deben ser informados sobre cómo se gestiona esta en la organización con la que tratan. Por ello, estas consultas deben atenderse de forma oportuna, unificada y profesional en todas las regiones y unidades de negocio de una misma empresa.
Por último, las empresas deben supervisar las vulnerabilidades de sus productos a lo largo de todo su ciclo de vida y alinearse con las normas y reglamentaciones más recientes para garantizar el nivel de seguridad adecuado. Para ello, es fundamental crear un proceso de gestión de vulnerabilidades basado en riesgos de cumplimiento, de negocio y de seguridad, a fin de priorizar y subsanar las vulnerabilidades de forma oportuna. Para ir aún más allá, pueden comunicarse con investigadores y clientes a través de un portal de soporte, al que se puede acceder directamente, para garantizar tanto la colaboración como la transparencia.
Una cadena de valor segura, esencial para la resiliencia del sector energético
El sector energético es la piedra angular de nuestras economías: todas nuestras operaciones diarias dependen del desarrollo y transporte de la energía. Atacar su cadena de valor con un ciberataque es una forma concreta de paralizar una economía y desestabilizar la seguridad nacional.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a fortalecer su ciberresiliencia y a abordar retos que requieren respuestas colectivas.
En un entorno incierto y con un panorama de amenazas cibernéticas dinámico, en el que el sector energético es objetivo de adversarios, generar confianza dentro de la cadena de valor es imprescindible.
Trabajaremos colectivamente para mitigar los riesgos sistémicos y lograr una mayor resiliencia si los líderes mundiales colaboran y se comprometen personalmente sobre la base de una comprensión compartida.
