El sector energético y la prevención de ataques cibernéticos

Don Good, Ana Heeren, Jordan Kelly y Evan Roberts
Miembros de FTI Consulting

 

El sector energético a nivel mundial está más interconectado, automatizado y digitalizado que nunca. Sin embargo, a pesar de estos avances tecnológicos, la mayoría de las empresas de energía aún no están preparadas para defenderse de los ataques cibernéticos; una vulnerabilidad que cada día se vuelve más peligrosa.

 

La frecuencia y la gravedad de los ataques cibernéticos han aumentado sustancialmente desde el inicio de la pandemia del covid-19, en gran medida debido a una mayor dependencia de las redes digitales. Durante el 2021, el 78 % de las empresas del G20 se han visto afectadas negativamente por algún tipo de ciberataque, según el barómetro de resiliencia de 2021 publicado por FTI Consulting (FTI Consulting 2021 Resilience Barometer, página en inglés).

 

La industria energética, a pesar de su gran importancia para la infraestructura y el comercio alrededor del mundo, sigue siendo vulnerable a este tipo de ataques. Un mayor enfoque en la preparación para abordar estos ataques permitirá al sector reforzar sus defensas en esta área tan importante.

 

Afortunadamente, remediar esta situación y preparar adecuadamente al sector energético para los riesgos cibernéticos no es tan complicado como parece. Como primera medida, las empresas de energía deben desarrollar un plan de respuesta a incidentes de ciberseguridad (IRP, por su sigla en inglés, incident response plan). Con un diseño y una implementación adecuada, un buen IRP puede marcar la diferencia entre un desastre y una respuesta apropiada a los ataques cibernéticos y la recuperación de estos.

 

Conociendo los riesgos

 

Antes de comenzar a establecer su IRP, las empresas deben comprender los riesgos contra los que intentan defenderse. Debido a que el sector energético juega un papel central en la infraestructura global, y por sus operaciones de alto riesgo, las consecuencias de los incidentes de seguridad cibernética pueden ser generalizadas y públicas, lo que significa que un plan de respuesta debe tener en cuenta un amplio espectro de partes interesadas. Por ejemplo, los incidentes de seguridad cibernética presentan desafíos de comunicaciones únicos para las empresas de energía, especialmente en el caso de una interrupción operativa importante o la pérdida de datos personales de clientes o empleados. Para mitigar el riesgo de reputación y garantizar una respuesta rápida y sin problemas en toda la empresa, es fundamental crear e integrar un plan de comunicaciones en el IRP amplio antes de que ocurra un incidente.

 

Las empresas de energía también son objetivos tentadores para los ataques de ransomware, debido a su vulnerabilidad y a la dependencia del público de ellas. En un ataque de ransomware, los ciberdelincuentes cifran a la fuerza toda la red de una organización o secuestran información confidencial, como datos, y se niegan a divulgarla hasta que la víctima haya pagado un rescate. Si la empresa objetivo no ha cifrado y verificado sus copias de seguridad, y no las ha guardado de forma segura fuera de línea (procedimientos básicos de ciberseguridad), puede verse obligada a pagar el rescate o iniciar una reconstrucción de toda su red.

 

Otros peligros derivados de los ataques de ransomware, que se han vuelto más frecuentes en la industria, incluyen el daño a la reputación de la empresa víctima, así como las consecuencias regulatorias. También son posibles las implicaciones de protección de datos, como las demandas colectivas por filtrar información de identificación personal (PII).

 

Creando el plan correcto

 

Si bien es posible que un IRP no evite que se produzca un ataque cibernético, puede reducir seriamente el daño. Cuando no se detecta una infracción, se compromete más fácilmente una mayor variedad de activos, y cuanto más tiempo pase sin que los ataques sean detectados o disminuidos, más dañinos se vuelven. Además, no saber cómo responder en el calor del momento impide que una empresa tenga la capacidad para mantener su negocio en movimiento, lo que agrava el impacto del ataque con más interrupciones del servicio.

 

En resumen, no asegurar las vulnerabilidades antes de tiempo otorga a los actores cibernéticos un acceso fácil y no autorizado, y pone en riesgo a la organización y a sus clientes. Implementar un IRP es hoy en día esencial para cualquier empresa de energía que aún no lo haya hecho.

 

Un IRP bien pensado es el fundamento de un sólido programa de ciberseguridad. Debe involucrar un enfoque de toda la organización respecto a los incidentes cibernéticos, lo que significa que incluye personal de toda la organización.

 

Teniendo en cuenta lo anterior, es importante considerar incluir al menos un tomador de decisiones que cumpla cada una de las siguientes funciones:

 

• Seguridad cibernética

• Comunicaciones

• Tecnologías de la información

• Legal

• Recursos humanos

• Dirección ejecutiva

 

Como mínimo, el IRP debe incluir tres fases:

 

(i) Preparación: esto incluye establecer exactamente quién estará en el equipo de respuesta a incidentes, capacitarlos para saber cómo reaccionar durante un incidente de seguridad cibernética y determinar qué herramientas y recursos se necesitan para ayudar con la respuesta. Esta fase también debe incluir la compilación de la información de contacto del personal relevante (por ejemplo, abogados, partes interesadas claves, agentes del orden público, entre otros) para que el equipo no se esfuerce por encontrar estos datos en el momento.

 

(ii) Detección y análisis: la identificación y análisis tempranos son fundamentales para minimizar los daños y el alcance de un ciberataque. Hacerlo requiere aprovechar los recursos y las herramientas diseñadas para medir el alcance, el impacto y el nivel de respuesta. Esta fase ayuda a identificar la causa raíz y permite la conservación adecuada de los artefactos forenses para ayudar con posibles investigaciones.

 

(iii) Contención, erradicación y recuperación: esto implica evitar que los datos salgan de la red, eliminar usuarios no autorizados y códigos maliciosos, y cerrar vulnerabilidades que podrían ser aprovechadas para acceder a la información. Luego, viene el proceso de recuperación. Esto significa un análisis posterior al incidente para determinar qué implementaciones se requieren para prevenir un ciberataque similar.

 

Quizás lo más importante es que el IRP debe revisarse, actualizarse y practicarse durante un ejercicio de simulación anual. Por medio de este ejercicio, se pueden identificar las nuevas amenazas y la rotación interna, al tiempo que se mantiene la información fresca en la mente del equipo IRP.

 

Integrar las comunicaciones

 

Como se señaló, también es esencial alinear e integrar un IRP de comunicaciones en el IRP más amplio. En particular, los IRP de comunicaciones deben adaptarse al tipo específico de ataques que puede experimentar la empresa, particularmente dada la variedad cada vez mayor de amenazas cibernéticas dirigidas al sector energético. Un IRP de comunicaciones, generalmente, incluye tres componentes principales:

 

(i) Las mejores prácticas para comunicarse durante un incidente cibernético, como mantener un consejo externo en todos los productos de trabajo para que estén al tanto de las implicaciones de un incidente de seguridad cibernética y cómo pueden ayudar.

 

(ii) Planificación detallada de escenarios para tener en cuenta los factores de escalada en los incidentes cibernéticos. Los ejemplos incluyen que un actor cibernético exija más fondos o amenace con divulgar información, y las comunicaciones de las partes interesadas que pueden ser necesarias, por ejemplo, un mensaje proactivo a los clientes sobre los datos afectados.

 

(iii) Protocolos de toma de decisiones para los equipos de comunicación en torno a tareas clave como la aprobación de documentos y reglas de participación de los medios para ayudar a determinar rápidamente cómo y cuándo se deben emitir declaraciones sobre el incidente.

 

Como propietarios y operadores de infraestructura crítica, la industria energética debe actuar para prevenir y responder a los incidentes de ciberseguridad. Y, dada la escala, el alcance y la urgencia de la amenaza, no hay duda de que se deben tomar medidas lo antes posible. Si bien es posible que aún no exista una defensa a prueba de balas contra los ciberagresores, tener un plan establecido puede marcar la diferencia entre un inconveniente menor y un evento catastrófico.

 

Nota: Este artículo fue publicado originalmente en inglés, en el FTI Journal, de octubre 2021.