La geopolítica, las fuerzas económicas y la dinámica de los mercados vinculan la seguridad energética y la crisis climática a través de una transición energética digital.
La digitalización plantea los retos que suponen las ciberamenazas, así como las soluciones que ofrece la tecnología digital, para satisfacer las necesidades energéticas y garantizar la seguridad.
Los líderes del sector energético deben adoptar la ciberresiliencia como pilar del ecosistema energético digital.
Al echar la vista atrás a la Reunión Anual del Foro Económico Mundial de 2022 en Davos (Suiza), pocos responsables políticos y líderes empresariales globales podrían haber previsto el año siguiente. Sin embargo, los efectos en cascada de una pandemia mundial, la invasión de Ucrania y las alteraciones críticas en la distribución de las cadenas de suministro han desestabilizado todo el ecosistema energético mundial.
Estas crisis alteraron de forma fundamental la geopolítica y pusieron en riesgo la seguridad energética y económica. Pero también pusieron de manifiesto cómo aprovechar la tecnología digital para abordar estas cuestiones y la amenaza existencial que supone el cambio climático mediante una transición energética eficaz.
La digitalización: una amenaza y una oportunidad
La solución para la seguridad energética y la transición energética es un ecosistema impulsado por la electrificación, la descentralización y la diversificación de las tecnologías energéticas, todo ello sustentado en la digitalización.
Este futuro es posible porque el sector energético ha adoptado el internet industrial de las cosas (IIoT). Esto permite que la tecnología operativa (OT) gestione digitalmente los activos energéticos físicos y los vincule a aplicaciones de software de tecnología de la información (TI) que aprovechan la inteligencia artificial (IA), el aprendizaje automático y el almacenamiento en la nube.
Pero el IoT industrial y la hiperconectividad también hacen que el ecosistema energético del mañana sea vulnerable a los ciberataques.
Las empresas energéticas están adoptando con rapidez el IoT industrial para gestionar todo su modelo de negocio, y este cambio supone un reto de seguridad sin precedentes para los directores de seguridad de la información (CISO).
Los CISO son cada vez más responsables de proteger los miles de millones de conexiones físico-digitales necesarias para hacer realidad unas emisiones bajas o nulas de carbono. Por ejemplo, es posible que tengan que utilizar analítica y sensores para equilibrar la variabilidad de la red eléctrica o prever la demanda de carga de vehículos eléctricos. También pueden tener que habilitar contadores inteligentes en las instalaciones solares domésticas para que interactúen con una compañía eléctrica.
Nunca antes una parte tan grande de nuestra infraestructura física (la combinación de maquinaria y sistemas de control OT) había estado tan integrada en redes digitales y expuesta a ciberataques.
Tanto si los atacantes buscan dinero como si pretenden paralizar a una nación rival, el sector energético constituye un objetivo atractivo. Las encuestas del sector muestran que el volumen y la sofisticación de los ciberataques contra las organizaciones energéticas siguen aumentando. Mientras tanto, numerosos informes sugieren que las empresas energéticas (desde los directivos del consejo de administración hasta los CISO, pasando por los mandos intermedios y los empleados con poca experiencia) están insuficientemente preparadas para proteger la próxima oleada de infraestructuras críticas conectadas digitalmente frente a los ciberataques.
Si las empresas energéticas quieren adoptar un modelo de negocio con la digitalización como prioridad, deberán invertir, priorizar y formar en ciberseguridad por igual. La combinación de la digitalización y la descarbonización ha imprimido un ritmo vertiginoso de cambio a las empresas energéticas. Sin embargo, muchos CISO carecen de las herramientas y capacidades necesarias para protegerlo. En esencia, el papel del CISO debe evolucionar desde una posición centrada anteriormente en la tecnología hacia un ámbito de responsabilidad más amplio que refleje el papel esencial de la tecnología digital en el nuevo ecosistema energético.
Los CISO deben dirigir un nuevo tipo de centro de operaciones de seguridad (SOC) con capacidades equivalentes de visibilidad y contextualización de TI y OT para proteger este nuevo panorama hiperconectado. También deben gestionar esta era de amenazas constantes con un nuevo marco de principios de ciberresiliencia transmitidos a sus respectivas organizaciones.
Adaptarse a un futuro digital
Garantizar la transición energética comienza con modelos de gobernanza adaptados, soluciones tecnológicas innovadoras e inversiones priorizadas en personal y soluciones. Estas son cuatro formas en que el sector energético puede adaptarse para avanzar y asegurar su futuro digital.
1. Formar y actualizar al liderazgo
Los CISO deben tener acceso y relaciones abiertas con los miembros del consejo de administración y los altos directivos de la empresa, así como relaciones de trabajo sólidas con funcionarios gubernamentales y reguladores ajenos a su organización. Estas relaciones son esenciales para comunicarse y coordinarse con rapidez durante los incidentes y para cerrar las brechas de vulnerabilidad antes de que surjan nuevas amenazas.
Con canales de comunicación abiertos con los directivos, los CISO pueden abogar por normas internacionales y políticas de contratación, como garantizar que los marcos de ciberseguridad del Instituto Nacional de Estándares y Tecnología de Estados Unidos se incorporen a los nuevos proyectos.
Externamente, los CISO tendrán ventaja sobre los funcionarios gubernamentales a la hora de proporcionar actualizaciones sobre vulnerabilidades y participar en los esfuerzos de resiliencia. Para comprobar su importancia, basta con fijarse en la iniciativa del Departamento de Seguridad Nacional de Estados Unidos «Shield’s Up », campaña dirigida por su Agencia de Ciberseguridad y Seguridad de Infraestructuras para proteger de forma proactiva a las empresas energéticas frente a los ciberataques rusos tras la invasión de Ucrania.
2. Ampliar los procesos de supervisión y detección
Desde el punto de vista tecnológico, una mejor automatización está transformando el negocio de la supervisión y detección de la ciberseguridad industrial. Las herramientas de IA permiten una automatización que integra un gran número de variables y rastrea sus relaciones; es decir, los ataques contra la OT pueden detectarse a partir de las consecuencias físicas que provocan.
Esta información puede ayudar a cumplir los requisitos de notificación de incidentes o compartirse rápidamente con socios del sector para que otras empresas vulnerables permanezcan alerta. Estas nuevas tecnologías, diseñadas específicamente para entornos industriales, ayudan a los CISO a supervisar, detectar y corregir las amenazas con mayor rapidez y precisión que nunca. Sin embargo, la verdadera ciberresiliencia reside en priorizar la seguridad en las instituciones y los sistemas que componen el ecosistema del sector energético.
3. Adoptar un modelo de responsabilidad compartida en toda la organización
Aunque los CISO representan el núcleo de la transformación digital y de seguridad de una organización, ninguna persona puede ser responsable por sí sola de la ciberresiliencia. Las empresas energéticas deben adoptar una filosofía según la cual la ciberseguridad es responsabilidad de cada empleado. El éxito personal y organizativo dentro de una organización debe estar ligado al cumplimiento, mantenimiento y superación de las métricas y estándares de higiene cibernética.
La responsabilidad compartida incluye garantizar el cumplimiento de medidas básicas de TI, como activar la autenticación de dos factores, cambiar las contraseñas con regularidad y cumplir los principios de confianza cero. Además, dar prioridad a la contratación, la formación y el desarrollo de talento en ciberseguridad con conocimientos especializados en ciberseguridad industrial es fundamental para el éxito a largo plazo.
4. Integrar la ciberresiliencia en la organización
En última instancia, sin una inversión específica para integrar la ciberseguridad en todos los aspectos del modelo de negocio de una empresa energética, la resiliencia fracasará.
Los líderes del sector, los inversores y los accionistas deben dejar de considerar la ciberseguridad como un aspecto secundario o un coste adicional opcional. En su lugar, la ciberseguridad debe considerarse un activo e incluso una ventaja competitiva. Es esencial para el compromiso de una empresa con la seguridad, la fiabilidad y la reputación a largo plazo.
Los directivos del sector energético tendrán que destinar más capital a nuevos proyectos para garantizar que sean seguros desde su diseño y reequipar los proyectos existentes con soluciones de vanguardia para identificar y prevenir las amenazas. Sin embargo, invertir en ciberseguridad no es un coste puntual.
Para resistir los retos a largo plazo, las organizaciones deben invertir de forma continua en ciberseguridad para las nuevas tecnologías, los presupuestos operativos y el personal.
