Este artículo forma parte de la plataforma de Geoestrategia
A medida que el sector energético se ha globalizado y depende cada vez más de componentes de software en un entorno de creciente complejidad, los riesgos de la cadena de suministro han evolucionado y se han ampliado.
Aunque los problemas de ciberseguridad de la cadena de suministro del sector energético se reconocen y estudian desde hace varios años, persisten.
Uno de los riesgos que más destaca es la «contaminación involuntaria», es decir, los defectos en componentes de software que se incorporan involuntariamente a los productos durante su diseño o implementación. Esto los distingue tanto de los productos falsificados —que sustituyen productos de calidad inferior o de imitación— como de la «contaminación maliciosa», que consiste en una subversión intencionada de la cadena de suministro.
La contaminación involuntaria puede dar lugar a una subversión involuntaria de la cadena de suministro y representa una amenaza significativa y creíble para el funcionamiento ininterrumpido de las infraestructuras críticas del sector energético.
El informe La cadena de suministro en la era del software presenta una taxonomía para comprender determinados riesgos del sector energético y ofrece recomendaciones concretas y exploratorias para los responsables de formular políticas y el sector privado.
Aunque algunas opciones pueden resultar poco atractivas para algunos, otras son relativamente fáciles de aplicar si existe voluntad. La opción mucho menos atractiva es seguir por el camino actual, que abre la puerta a accidentes y a que adversarios socaven las operaciones energéticas, con efectos mucho más profundos en el sector, la economía mundial y la seguridad nacional e internacional.
La investigación, que abarca el período de 2015 a 2017, quedó enmarcada por dos ciberataques de gran repercusión en Ucrania y Arabia Saudí, que aprovecharon vulnerabilidades de la cadena de suministro para afectar las operaciones de dos organizaciones del sector energético.
En diciembre de 2015, cientos de miles de hogares ucranianos quedaron temporalmente a oscuras en el primer ciberataque confirmado contra una red eléctrica. En agosto de 2017, un ciberataque paralizó las operaciones de Saudi Aramco. En ambos casos, las mejoras en la seguridad de los componentes de la cadena de suministro habrían detenido los ataques.
La seguridad cibernética de la cadena de suministro se ha convertido en un tema destacado en el sector energético, y aumentan los esfuerzos para abordarla. Por ejemplo, la North American Electric Reliability Corporation (NERC) está actualizando sus normas de Protección de Infraestructuras Críticas (CIP) para incluir protecciones de la cadena de suministro.
Además, cada vez se utilizan más empresas como BitSight, Security Scorecard y Sir-Track (en Alemania), que miden la «huella digital», para evaluar los indicios públicos y observables de las prácticas de tecnología de la información (TI) y seguridad informática de proveedores externos.
Sin embargo, aún hay deficiencias: NERC-CIP se aplica solo a un subconjunto de sistemas y componentes que afectan a la seguridad y fiabilidad de una parte de las empresas eléctricas, y medir la seguridad expuesta a Internet es, en el mejor de los casos, un indicador indirecto de la tecnología utilizada en los sistemas de control del sector energético.
Las vulnerabilidades de seguridad del software son un resultado natural del proceso de desarrollo y, pese a los mejores esfuerzos, no pueden eliminarse por completo.
Cada año se descubren más de 10.000 vulnerabilidades de seguridad en componentes comerciales disponibles en el mercado (COTS). Aparecen en las cadenas de suministro cibernéticas globales, incluidas las del sector energético; además, las debilidades y vulnerabilidades en el diseño y la implementación del software se acumulan a lo largo de las múltiples etapas de la cadena de suministro, ya sean intencionadas o accidentales.
Un solo componente de software puede comprometer la integridad operativa de sistemas críticos. Por ejemplo, las contraseñas predeterminadas codificadas —una clase conocida de vulnerabilidades de la cadena de suministro— en un componente de sistemas instrumentados de seguridad facilitaron la interrupción de las operaciones de Saudi Aramco en diciembre de 2017.
El informe recomienda varias medidas alternativas para abordar estos problemas.
Aplicar los marcos existentes en todo el sector energético— Las empresas del sector energético o el Departamento de Energía (DOE) pueden aprovechar los marcos existentes, en particular la norma NERC-CIP y el Modelo de Madurez de Capacidades de Ciberseguridad del DOE, como guías para mejorar la seguridad en todo el sector energético, incluidos los proveedores externos.
Incentivar prácticas de TI fiables para evitar la contaminación involuntaria en el sector energético — El Congreso, el DOE y las empresas del sector energético pueden aumentar la concienciación y la adopción de prácticas cuya eficacia está demostrada, y evitar las que se sabe que son ineficaces, reduciendo la carga regulatoria, aprovechando el poder de compra o recurriendo a otros incentivos.
Supervisión, coordinación e intercambio de información sobre vulnerabilidades— El DOE, el Departamento de Seguridad Nacional (DHS) y las organizaciones del sector pueden aumentar la concienciación y el conocimiento de las vulnerabilidades de software existentes en todo el sector para reducir la asimetría informativa entre las organizaciones afectadas por problemas iguales o similares.
Examinar otros modelos de operación, responsabilidad y regulación — El Congreso, el DOE y el DHS, así como otras partes interesadas afectadas, deberían identificar y analizar enfoques alternativos de operación, responsabilidad y regulación que puedan aumentar la seguridad, la protección y la fiabilidad en todo el sector energético.
La cadena de suministro en la era del software, Beau Woods y Andy Bochman
