Alerta:La digitalización ha aumentado el riesgo de ataque en la red eléctrica de Estados Unidos

A la par de reforzar la infraestructura energética en consonancia con los avances de la transición energética y el aumento de la conectividad de las operaciones de energía renovable, Estados Unidos debe plantearse mejorar su ciberseguridad para garantizar su resistencia a los ataques informáticos, ya que las amenazas contra la red siguen aumentando.

Una revisión de la Oficina de Rendición de Cuentas del Gobierno (GAO) realizada en 2019 reveló algunos de los principales desafíos para la seguridad de la red eléctrica. Estos incluían la necesidad de contratar mano de obra cualificada para gestionar la ciberseguridad, limitar el intercambio de información clasificada entre los sectores público y privado, las limitaciones de recursos, la dependencia de otras infraestructuras críticas que requieren un refuerzo de la ciberseguridad y la incertidumbre sobre la mejor manera de aplicar las normas de ciberseguridad.

La digitalización ha aumentado el riesgo de ataque en la red eléctrica de Estados Unidos

Además, el informe sugería que, aunque el Departamento de Energía (DoE) había desarrollado planes «para aplicar la estrategia nacional de ciberseguridad para la red», estos planes «no abordan plenamente los riesgos para los sistemas de distribución de la red». Por ejemplo, las vulnerabilidades de la distribución relacionadas con la cadena de suministro se pasan por alto en gran medida, ya que el DoE se centra en resolver las amenazas a los sistemas de producción y transmisión de la red.

La mayor digitalización de los últimos años ha aumentado el riesgo de ataques a la red por parte de delincuentes, terroristas, hackers y gobiernos extranjeros. La red eléctrica depende de sistemas de control industrial, que gestionan procesos eléctricos y funciones físicas como la apertura y cierre de disyuntores.

Muchos sistemas utilizan ahora tecnologías que se conectan a Internet para mejorar la supervisión a distancia, reduciendo así costos y aumentando la eficiencia, esto los hace más vulnerables a la piratería informática.

La GAO cree que el DoE puede mejorar la ciberseguridad centrándose en tres tareas clave: la adopción de un marco de ciberseguridad, el establecimiento de programas de gestión de riesgos y la aplicación de la estrategia federal de ciberseguridad para la red eléctrica, que incluye la evaluación exhaustiva de los riesgos de ciberseguridad de la red.

Los piratas informáticos son cada vez más listos

La Secretaria de Energía de Estados Unidos, Jennifer Granholm, advirtió el año pasado de que, a pesar de los requisitos de seguridad obligatorios y de los altos niveles de redundancia incorporados al sistema eléctrico del país, seguía siendo posible que un hacker sofisticado colapsara la red.

Los expertos consideran que los piratas informáticos son cada vez más listos y el abanico de amenazas más amplio. Mientras algunos amenazan el sistema para recopilar datos y ganar dinero con la propiedad intelectual, otros lo abordan desde el punto de vista del sabotaje. Aunque algunos ataques son internos, los grupos de piratas informáticos de Rusia, China, Irán y Corea del Norte tienen altos niveles de sofisticación y suponen una amenaza para el poder estadounidense.

Estados Unidos se ha estado preparando para un ataque de este tipo. La Agencia de Proyectos de Investigación Avanzada de Defensa (Darpa) del Pentágono ha representado cinco veces en los últimos tres años un escenario en el que piratean el sistema mientras expertos en ciberseguridad y operadores de servicios públicos luchan por volver a ponerlo en línea.

Esto ha ayudado a las empresas de servicios públicos a comprender algunas de las ciberamenazas y la mejor manera de responder. Darpa dirige este tipo de simulacros desde 2015, en el marco del proyecto Rapid Attack Detection, Isolation and Characterisation Systems (Radics), dotado con 118 millones de dólares.

El año pasado, el DoE anunció 45 millones de dólares en financiamiento para probar tecnología para «proteger nuestra red eléctrica de ciberataques.» Y el proyecto de ley bipartidista de infraestructuras de 2021 prevé financiamiento de miles de millones de dólares para ciberseguridad, incluido el Fondo de Respuesta y Recuperación Cibernéticas, dotado con 100 millones de dólares.

Sin embargo, los grupos de piratas informáticos sugieren que derribar la red sigue siendo demasiado fácil y supone una gran amenaza para la seguridad nacional. Un grupo de hackers éticos de seguridad que ejecutan escenarios hipotéticos, ganó 40.000 dólares por descifrar un sistema muy utilizado por empresas industriales, entre ellas las que gestionan la red eléctrica estadounidense.

Esto reveló continuas debilidades en el sistema que podrían llevar a los hackers a amenazar el sistema por rescates o motivaciones políticas. Jen Easterly, directora de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, declaró: «Dado que la destrucción o corrupción de estos sistemas de control podría causar graves daños, garantizar su seguridad y resistencia debe ser un esfuerzo colectivo que aproveche la innovación, la experiencia y el ingenio de la comunidad de sistemas de control industrial.»

Los hackers éticos opinan que la red sigue siendo muy vulnerable

Los hackers ganadores advirtieron que la red es muy vulnerable, y que el equipo necesitó sólo un par de días para piratear el sistema de control industrial. Los investigadores holandeses del equipo, Daan Keuper y Thijs Alkemade, explicaron: «En los sistemas de control industrial, todavía hay mucha fruta al alcance de la mano», y añadieron: «La seguridad está muy atrasada».

Estados Unidos seguirá organizando este tipo de concursos para revelar los puntos débiles del sistema y solucionarlos antes de que hackers externos tengan la oportunidad de atacar. Pero esto no aborda de forma exhaustiva el problema de la escasa ciberseguridad de las infraestructuras energéticas estadounidenses, ya que ofrece un enfoque reactivo y no preventivo del reto.

Dado que las amenazas cibernéticas a la red eléctrica estadounidense siguen aumentando, el gobierno debe hacer más para reforzar su infraestructura energética frente a las amenazas a medida que se somete a una mayor digitalización.

A pesar de destinar grandes cantidades de fondos a solucionar este reto, siguen existiendo deficiencias significativas, lo que sugiere la necesidad de aplicar una estrategia global de ciberseguridad a nivel nacional, así como la creación de una agencia de normas de ciberseguridad que supervise la aplicación de las directrices nacionales en todo el sector.