El trabajo a distancia crea nuevos riesgos cibernéticos para las empresas de servicios públicos.
Los atacantes tratarán de aprovechar nuevos puntos débiles en la infraestructura de las organizaciones.
Estas son cuatro medidas que los directores ejecutivos y los consejos de administración deberían tomar para reforzar sus defensas.
En el sector energético, momentos de crisis como la COVID-19 centran la atención en dos cuestiones: cómo mantener a salvo a las personas y cómo seguir suministrando electricidad a los clientes. Ahora mismo, eso significa que el trabajo a distancia es la prioridad número uno para las empresas de servicios públicos, pero esta realidad también expone al sector energético a nuevos riesgos cibernéticos que proceden tanto del interior como del exterior de sus defensas cibernéticas. Hay vidas en juego; las empresas deben proteger a sus trabajadores y evitar interrupciones del servicio.
Los directores ejecutivos y los miembros de los consejos de administración de las empresas de servicios públicos afrontan una combinación singular de riesgos cibernéticos y de seguridad. Al acceder desde sus hogares a redes de producción de las plantas y de la red eléctrica que son críticas, los empleados aumentan el riesgo de una posible crisis de segunda ola: cortes rotativos y problemas de seguridad en un momento en que mantener las luces encendidas es más importante que nunca. Los atacantes intentarán aprovechar la rápida transición a los sistemas remotos, la falta de personal en las instalaciones y las nuevas formas de trabajar.
Para evitar una crisis de ciberseguridad inminente, los responsables de las empresas de servicios públicos deben centrar sus esfuerzos en hacer que el trabajo a distancia sea cada vez más seguro, viable desde el punto de vista operativo y resiliente. Los consejos de administración y los directores ejecutivos deben actuar con rapidez para garantizar la seguridad de los empleados y proteger toda la cadena de valor energética frente a los ataques.
Para equilibrar esta nueva matriz de riesgos se requieren cuatro medidas generales: comprender el nuevo riesgo cibernético, establecer defensas básicas, crear defensas interoperables con los socios y rediseñar la arquitectura general para adaptarla a esta nueva realidad.
1. Comprender el nuevo riesgo cibernético. El trabajo desde casa aumenta la exposición a los riesgos cibernéticos. Las conexiones a internet menos fiables, los ataques de ingeniería social contra los empleados y sus familias y los errores involuntarios en flujos de trabajo poco conocidos son nuevos riesgos potenciales. Las empresas asociadas también afrontarán una mayor exposición cibernética. Las empresas de servicios públicos deben decidir deliberadamente qué tareas entrañan riesgos inaceptables y cuáles pueden adaptarse al trabajo a distancia. Por ejemplo, muchos trabajos de supervisión pueden realizarse a distancia y de forma segura con los procedimientos adecuados, pero no se pueden probar ni mantener a distancia los sistemas de seguridad y de respaldo.
2. Establecer defensas básicas adecuadas para el trabajo a distancia. Las defensas en capas, conocidas comúnmente como «defensa en profundidad», reducen las consecuencias de los ciberataques, y el trabajo a distancia aumenta la importancia de ciertas necesidades:
a) Conexiones seguras. Los empleados sin acceso seguro no pueden trabajar eficazmente, por lo que dicho acceso es necesario, aunque no suficiente, para la ciberseguridad. Los operadores de las plantas deben definir de forma proactiva quién debe acceder a cada activo e implantar controles antes de aprobar el uso de tecnología remota.
b) Supervisar las anomalías. Trabajar desde casa hace imposibles algunas prácticas de seguridad. Por ejemplo, ahora tanto los comandos legítimos como los maliciosos proceden del exterior de la planta. Es difícil distinguir qué es normal. Esto aumenta la importancia de la supervisión como forma de distinguir entre empleados y atacantes. Parte de la supervisión puede automatizarse, lo que deja tiempo al personal pertinente para investigar actividades sospechosas.
c) Prepararse para responder a incidentes. Las plantas necesitan ahora un plan de respuesta a incidentes que funcione cuando la mayoría de los empleados no esté en las instalaciones, algunos estén hospitalizados y se produzca un ataque en sus sistemas. Hay que dar por sentado que los atacantes pondrán a prueba las nuevas defensas bajo presión y tendrán al menos un éxito parcial. Es de esperar que haya que activar la respuesta a incidentes en las próximas semanas, con apoyo limitado sobre el terreno y expertos distribuidos que presten asistencia a distancia. Es posible que, en un futuro próximo, no sea viable eliminar la amenaza y reiniciar los sistemas.
3. Crear defensas interoperables. La ciberseguridad solo es tan sólida como su eslabón más débil. Los responsables de las empresas de servicios públicos y sus homólogos en las empresas asociadas deberían trabajar para implantar medidas de defensa comunes. Entre ellas se incluyen definir el acceso privilegiado, divulgar vulnerabilidades o compartir información sobre amenazas. Garantizar que los sistemas de los socios se rijan por una hoja de ruta común ayudará a las empresas de servicios públicos a evaluar y mejorar la seguridad. No tener en cuenta la ciberseguridad de los socios deja un posible punto ciego importante en las defensas.
4. Rediseñar la arquitectura de seguridad. Las empresas de servicios públicos están introduciendo cambios fundamentales en sus flujos de trabajo de producción de energía, y también tendrán que renovar sus métodos y arquitecturas de ciberseguridad. Los sistemas que dan por hecho que los trabajadores están presentes en las plantas o en las instalaciones sobre el terreno tendrán ahora un enfoque equivocado. Por ejemplo, las plantas suelen prohibir los dispositivos portátiles, pero la mayoría de los trabajadores están ahora fuera de las instalaciones y pueden acceder a esos dispositivos prohibidos o a plataformas de redes sociales. Todo plan diseñado para esta nueva realidad debe proteger y supervisar los nuevos flujos de trabajo remotos en este nuevo contexto.
Mantener las luces encendidas
Aunque la crisis de la COVID-19 hace urgentes estas medidas, varias tendencias a largo plazo anteriores a la pandemia impulsarán cambios similares. Las fuentes de energía distribuida requerirán nuevos modelos operativos. El trabajo a distancia y la automatización ofrecerán mejoras de eficiencia. Las empresas energéticas tendrán que formar a la próxima generación de trabajadores. Los ciberataques contra las empresas de servicios públicos seguirán aumentando en frecuencia y sofisticación. Sabemos que estos cambios se avecinan y que podrían volverse permanentes. Las empresas de servicios públicos tendrán que adaptar de forma iterativa sus protocolos de ciberseguridad para proteger las operaciones a medida que cada tendencia dé forma a la nueva realidad. A corto y a largo plazo, así mantendremos las luces encendidas.
