Prepararse para ciberataques a infraestructuras

La noticia de que hackers rusos obtuvieron información secreta de Hillary Clinton, cuya difusión perjudicó sus chances electorales, derivó en una crisis diplomática y la decisión del gobierno de Barak Obama de expulsar a 35 diplomáticos rusos. Este hecho muestra a las claras que nadie está exento a estos ataques que son cada vez más sofisticados. Los ciberataques pueden provenir de cualquier lado del planeta o a pocos metros del atacado, y afectan tanto al sector público estatal como a organizaciones empresariales y a usuarios individuales. Claro que no es lo mismo el efecto social que puede producir en cada uno de los casos. Entonces, la pregunta que se impone es: ¿los países y las empresas está preparadas para prevenir y soportar un ataque informático? ¿Un posible ciberataque a áreas de infraestructura crítica como la son el sistema energético, las telecomunicaciones, o el control del transporte aéreo, que impacto pueden tener en un país y en las empresas concesionarias o responsables de prestar servicios básicos a la comunidad? Recién ahora se empieza a tener consciencia de la gravedad de las consecuencias de un ataque de estas características.

En los últimos años Latinoamérica ha estado iniciándose en lo que respecta a Ciberseguridad en Infraestructura Crítica (CIC). Las grandes empresas han empezado a tomar conciencia del impacto que produciría un ciberataque en sus procesos productivos. Esto se debe a que últimamente es cada vez más frecuente escuchar en el mundo ataques deliberados que afectan a esas infraestructuras. Sin ir más lejos, Ucrania acaba de informar que su red de energía eléctrica fue atacada durante el 18 de diciembre siendo afectado el suministro de energía de su capital, Kiev, degradando el servicio en una capacidad aproximada de 200 Megawatts de potencia dejando así a oscuras a un quinto de su población. Por este motivo, distintas empresas latinoamericanas, especialmente del sector energético, se están preocupando por estos sucesos para no ser la próxima Ucrania.

A diferencia de Europa y EE.UU, en donde existe un mayor avance en este tema, Argentina y Latinoamérica están por detrás de los países líderes. Y se debe, básicamente, a la diferencia en presupuesto que disponible la región para destinar al desarrollo de la madurez de la CIC. Por ejemplo, si se compara a cualquiera de las compañías petroleras del mundo con alguna de Latinoamericana, se comprobará una gran brecha en lo que respecta a su desarrollo en la materia. Incluso, esta diferencia se produce también entre filiales de las mismas compañías ubicadas en distintas locaciones. Adicionalmente, las empresas europeas y estadounidenses son blanco de una mayor cantidad de ataques que las latinoamericanas. Y en las empresas de la región las áreas de Tecnologías de la Información (IT) y de Operaciones (OT) están empezando tímidamente a interactuar entre sí. A diferencia de hace unos años, donde la integración entre las redes de IT y OT no era tan necesaria, hoy es una condición ineludible para el negocio. Ante esta situación, se presentan dificultades que si no se tratan correctamente el proyecto de segurización podría fracasar.

Un aspecto importante de las empresas de la región es la falta de conocimiento del personal de IT sobre automatización y procesos industriales. Por otra parte, de manera análoga, el área de operaciones posee una falta de conocimiento de ciberseguridad. Esto, sumado a que en la región existen pocas consultoras con conocimiento de ciberseguridad en OT y experiencia comprobable en la temática, hace que las iniciativas en estos temas sean difíciles de implementar y llevar a cabo.

Durante las decenas de evaluaciones de ciberseguridad en ambientes industriales que KPMG ha hecho en Latinoamérica en los últimos años, los problemas técnicos más recurrentes son las faltas de seguridad en los controles de acceso a los perímetros, de inventarios actualizados de los ciberactivos, de antimalware (antivirus) en los sistemas, incorrecta segregación de redes, nulos procedimientos de actualización específicos para OT, de capacitaciones en ciberseguridad, accesos de proveedores de forma insegura desde Internet o aplicaciones inseguras que podrían ser fácilmente explotadas por hackers como VNC. El 73% de los equipos analizados no poseían antimalware o estaba desactualizado, el 80% de las compañías poseían graves problemas en sus controles de acceso, y el 33% tenía un software obsoleto. Incluso se identificaron virus dentro de seis redes industriales que provocaban situaciones anómalas.

Para el futuro, Argentina y la región deberán enfocarse en crear regulaciones en la temática de forma cooperativa entre los países ya que parte de la infraestructura es compartida. Y es fundamental que estas regulaciones tomen en cuenta el contexto socioeconómico de cada país y de la región.

Temas relacionados
Más noticias de ciberataques
Noticias de tu interés