Las redes eléctricas, hoy en día, son cada vez más modernas, más inteligentes… y más conectadas. Ya hemos mencionado anteriormente que estamos encarando un nuevo mundo energético. Un mundo de generación energética descentralizada, de fuentes renovables intermitentes, como la solar y la eólica, así como un creciente compromiso por parte de los usuarios.
Pero con todas las ventajas de una red más flexible, dinámica y conectada, también entran en juego nuevos riesgos y amenazas de seguridad. En concreto, de ciberseguridad.
Regulación y cumplimiento
Las medidas de ciberseguridad deben cumplir con los estándares y con las normativas. Este enfoque beneficia al sector, aumentando la conciencia de los riesgos y los retos asociados a un ciberataque.
Las entidades reguladoras han previsto la necesidad de un enfoque estructurado de ciberseguridad. En Estados Unidos, los requerimientos de Protección de Infraestructuras Críticas, de la Corporación de Seguridad Eléctrica Norteamericana (NERC CIP), establecen qué es necesario para asegurar el sistema eléctrico en Norteamérica. El Programa Europeo para la Protección de las Infraestructuras Críticas (EPCIP) hace lo mismo en Europa.
Integración IT-OT
Debido al cambio hacia plataformas de comunicación abiertas, como Ethernet e IP, los sistemas que gestionan las infraestructuras críticas se han vuelto cada vez más vulnerables. El enfoque informático de la ciberseguridad no siempre es apropiado con las limitaciones operacionales a las que se enfrentan las compañías eléctricas.
A medida que las compañías eléctricas experimentan una convergencia entre IT y OT, es cada vez más necesario desarrollar equipos multifuncionales para abordar retos únicos de tecnología segura que abarquen ambos mundos. Proteger contra las ciberamenazas actuales requiere una mayor colaboración entre ingenieros, responsables de TI y responsables de seguridad, que deben compartir sus conocimientos para identificar los posibles problemas y ataques que afectan a sus sistemas.
Evaluar, diseñar, implementar, administrar
Una protección adecuada requiere todo un conjunto de medidas, procesos, medios técnicos y una organización apropiada. Contar con una buena defensa contra ciberataques es un proceso continuo y requiere un esfuerzo constante.
Para establecer y mantener sus sistemas ciberseguros, las compañías eléctricas pueden seguir un enfoque basado en cuatro puntos:
- Realizar una evaluación de riesgos
El primer paso consiste en llevar a cabo una evaluación integral del riesgo basada en amenazas internas y externas. Al hacerlo, los especialistas en OT y otros stakeholders de las compañías eléctricas podrán entender cuáles son sus puntos más vulnerables, y documentar la creación de políticas de seguridad y migración de riesgos.
- Diseñar una política y procesos de seguridad
La política de ciberseguridad de una compañía eléctrica proporciona un conjunto de reglas a seguir. Estas deben ir encabezadas por el conjunto de estándares (ISO27k) de la Organización Internacional de Estandarización (ISO) y de la Comisión Electrotécnica Internacional, que proporcionan recomendaciones y buenas prácticas sobre gestión de la seguridad de la información. La política de una compañía eléctrica describe la lista de activos que deben protegerse, identifica las amenazas a dichos activos, las acciones no autorizadas y la consiguiente responsabilidad en caso de violación de la política de seguridad. También es importantes contar con procesos de seguridad bien diseñado. Los procesos del sistema de ciberseguridad deben ser revisados y actualizados regularmente, para seguir esta evolución. Una de las claves es realizar una revisión una o dos veces al año.
- Ejecutar proyectos que implementen el plan de mitigación de riesgos
Es importante seleccionar una tecnología de ciberseguridad que se base en estándares internacionales, para asegurar que se puede seguir una política de seguridad apropiada y las acciones de mitigación de riesgo propuestas. Un enfoque de «seguridad desde el diseño» basado en estándares internacionales como IEC 62351 e IEEE 1686 puede ayudar a reducir aún más el riesgo, al asegurar los componentes del sistema.
- Gestionar el programa de seguridad
Una gestión eficaz de los programas de ciberseguridad implica también la gestión de los ciclos de vida de los activos de información y comunicación. Para ello, es importante mantener una documentación rigurosa y “viva” sobre el firmware de los activos, los sistemas operativos y las configuraciones.
También requiere conocer de forma exhaustiva la previsión de las actualizaciones y de la obsolescencia tecnológica, además de ser consciente de las vulnerabilidades conocidas y los parches existentes. La gestión de la ciberseguridad también requiere que ciertos eventos provoquen una evaluación, como determinados puntos en los ciclos de vida de los activos o como las amenazas detectadas.
En las compañías eléctricas, la seguridad es asunto de todos y no basta con instalar tecnología. También deben implementar procesos organizativos para hacer frente a los retos de una red descentralizada. Esto significa evaluar de forma regular y mejorar continuamente su proceso de ciberseguridad y seguridad física, para salvaguardar nuestro nuevo mundo energético.
Añadir comentario