Alejandro Novo, director para el sur de EMEA de Synack

En la actualidad, el sector energético abarca la electricidad, el petróleo y el gas natural, y en su conjunto es una industria que mueve miles de millones de euros. Estos productos energéticos se transportan a través de gasoductos hasta los hogares y empresas de todo el mundo, mientras que la cadena de suministro que sustenta la industria es una compleja red de entidades de los sectores público y privado.

Que alguien derribe el sistema energético puede parecer una película de ciencia ficción, pero, como demostró el ataque del ransomware Colonial Pipeline en 2021, la amenaza es real. Las empresas energéticas deben estar más atentas y ser más proactivas que nunca. ¿Qué activos están conectados a Internet y podrían actuar como punto de entrada para un atacante? ¿Cómo manejan las empresas los datos sensibles de los clientes o la propiedad intelectual? ¿Son seguros también los proveedores, o podrían introducir una vulnerabilidad en la cadena de suministro?

Aumentan las amenazas al sector energético
Las infraestructuras energéticas están en el punto de mira, ya sea para robar propiedad intelectual, perturbar la prosperidad económica o tomar represalias por acciones en otros lugares del planeta. Cuatro empleados del gobierno ruso fueron acusados recientemente de atentar contra el sector energético mundial, por ejemplo.

Además, un informe de McKinsey señala que cada vez más ciberdelincuentes atacan infraestructuras críticas con fines lucrativos. Una evaluación de una empresa de servicios públicos concluyó que la manipulación de contadores inteligentes en dispositivos orientados al consumidor podría provocar pérdidas de ingresos de 400 millones de euros al año. Por último, la naturaleza distribuida del sector energético significa que existe una mayor superficie de ataque que en otras industrias.

Qué pueden hacer las empresas del sector para evitar ataques
La mayoría de las empresas se enfrentan a normativas que exigen una prueba de pentesting (test de penetración) anual, pero, aunque es una buena práctica para cumplir la normativa, estas pruebas a menudo no proporcionan datos procesables que fortalezcan la postura de seguridad a lo largo del tiempo. Para asegurar que las organizaciones estén protegidas frente a ataques, es imprescindible tomar una serie de medidas:

• Poner a prueba los sistemas informáticos, incluidas las redes, las aplicaciones web y móviles, la nube y las API, asegurando que no tengan brechas de seguridad ni accesos que puedan suponer un punto de entrada no autorizado a la organización.
• Contar con investigadores formados y probados en seguridad, que actúen como lo haría un atacante real, con tácticas, técnicas y procedimientos similares a los que se ven en el mundo real. Un ejemplo es el Red Team de Synack, compuesto por 1.500 expertos capaces de ponerse en la piel de un hacker para poner a prueba las defensas de las organizaciones.
• Tener visibilidad de las evaluaciones de seguridad, para saber en tiempo real cuándo se encuentra una vulnerabilidad crítica, el estado de remediación de la misma y la cobertura de la superficie de ataque (qué, cuándo y cómo se prueban los activos).
• Identificar la causa raíz de las vulnerabilidades, incluida la frecuencia de las mismas. Esta información puede ayudar a resolver vulnerabilidades endémicas y formar a los equipos de desarrollo.
• Contar con una herramienta que permite probar las aplicaciones de terceros que utiliza la organización, para ayudar a gestionar una cadena de suministro compleja.

Las empresas energéticas se enfrentan a problemas cada vez más complejos. Y la ciberseguridad se ha convertido en una de las preocupaciones clave para estas organizaciones. Por eso es necesario contar con una solución y un equipo que les ayuden a resolver este problema, siempre yendo un paso por delante de los atacantes.