Hoy en día, la proliferación de ciberataques contra infraestructuras críticas sigue creciendo y, en este terreno, los operadores de electricidad se han visto especialmente afectados.
El suministro de electricidad de un país representa un objetivo prioritario para los delincuentes; cualquier incidencia puede perturbar la actividad económica y los sistemas de comunicación del país que lo alberga. Es por ello que, en los últimos cinco años, el sector de la energía eléctrica ha sido víctima de distintos ciberataques, dirigidos a poner a prueba la resistencia de las infraestructuras operativas, afectar a la disponibilidad de los equipos y a la integridad de los datos, causar importantes daños financieros y alterar el sistema de fijación de precios.
Y es que, no hay que pasar por alto que, como muchos otros, el sector eléctrico se encuentra sumido en una importante transformación digital. El desarrollo de nuevas tecnologías, objetos y sensores conectados está permitiendo a los operadores de energía acceder a valiosos beneficios en sus cadenas de producción y distribución (anticipación de posibles fallos, control de la gestión de la capacidad «smartgrid mejorado…) pero también, está abriendo la puerta a nuevos desafíos. La aparición de objetos conectados y de entornos en la nube está aumentando la superficie de ataque para los ciberdelincuentes, ya que las redes OT que hasta hace poco permanecían aisladas se conectan ahora a la red TI de la empresa.
Estos sistemas que, además, cuentan con una vida útil muy larga (más de 50 años en el caso de las infraestructuras eléctricas) están basados en tecnologías obsoletas, por lo que son muy vulnerables en términos de seguridad. Asimismo, y para aumentar aún más su fragilidad, los sistemas eléctricos suelen utilizar sistemas «llave en mano», que no se diseñaron teniendo en cuenta los parches de seguridad, y que por el largo tiempo que llevan en el mercado son fáciles de analizar para los ciberdelincuentes.
Sistemas OT resilientes
Entonces, ¿cómo pueden los operadores eléctricos garantizar que su infraestructura operativa sea sólida y resistente?
La primera solución es abordar la cuestión de la obsolescencia de los sistemas operativos y las aplicaciones utilizadas en la infraestructura operativa. A este respecto, es esencial un enfoque basado en dispositivos de protección en profundidad que permitan bloquear comportamientos sospechosos en las llamadas al sistema y responder a las amenazas que explotan los defectos de las aplicaciones. Tras ello, hay que comprobar los mensajes que se intercambian en la red operativa: los subsistemas que históricamente han sido independientes están cada vez más obligados a intercambiar información y a estar interconectados. Por lo tanto, es esencial empezar por utilizar un enfoque basado en la segmentación para aislar las redes de estos diferentes sistemas.
Este tipo de medida también permite bloquear la propagación de un ataque al hacer más complejo el descubrimiento de la red operativa. También hay que tener en cuenta que puede ser útil restringir el acceso a una sola estación de trabajo o a un grupo de ellas para limitar la superficie de ataque.
En segundo lugar, y dado el carácter crítico de las subestaciones, es recomendable aplicar otras pautas de protección, como el filtrado de la red para de equipos electrónicos inteligentes (IED); por ejemplo, para permitir el acceso restringido a un único grupo de puestos de trabajo en una franja horaria muy concreta. En algunos casos de uso, es posible incluso aplicar el control a nivel de usuario, proporcionando información precisa sobre quién se ha conectado al puesto de control y a qué hora.
Los mensajes operativos intercambiados entre los equipos eléctricos, los IED y las estaciones de control son otro punto importante que requiere atención. Si un ciberatacante consigue establecer una conexión remota con un dispositivo físico o una estación de mantenimiento remota, podrá entonces analizar la red, comprender su estructura y enviar mensajes maliciosos. La mejor manera de hacer frente a este tipo de riesgo es, por tanto, desplegar sondas industriales, IDS o IPS para controlar los mensajes intercambiados con los equipos más sensibles. Pueden utilizarse para comprobar la coherencia de los mensajes intercambiados entre los equipos y las capas superiores de gestión, garantizando que no pongan en peligro el proceso operativo. Por supuesto, la solución que se adopte debe ser compatible con los protocolos empresariales para garantizar una cobertura adecuada de la protección de los mecanismos de control de los equipos eléctricos.
Por último, las conexiones remotas para las necesidades de mantenimiento a distancia, en particular a nivel de subestación, requieren el despliegue de túneles de tipo VPN o conexiones seguras de tipo TLS para garantizar la confidencialidad de los datos.
El riesgo del factor humano
Sin embargo, también hay que tener en cuenta los riesgos asociados al ser humano, sobre todo con el uso todavía muy extendido de las memorias USB en entornos operativos. Por ello, es necesario endurecer los puestos de control y supervisión mediante el establecimiento de soluciones de listas blancas o de análisis de dispositivos de almacenamiento, para rechazar cualquier uso de un perfil no autorizado, pero también concienciar a los operadores de todos los riesgos cibernéticos para evitar cualquier error o acción involuntaria que pueda poner en peligro los procesos industriales.
A la luz de estos ejemplos no exhaustivos, es necesario un enfoque integrado que tenga en cuenta todos los fundamentos necesarios, y que se base en varios niveles de protección, para asegurar eficazmente los sistemas de producción de las empresas en el sector energético.
Borja Pérez
Country manager Stormshield Iberia
