El agua es un recurso necesario para la reproducción y sostenibilidad de la vida y para el mantenimiento y crecimiento económico, con actividades que impactan en múltiples sectores. Por ello, el objetivo de cada una de las infraestructuras relacionadas con el agua es mantener un suministro continuo e interrumpido, lo que se logra solo si cada paso de toda la cadena se realiza de forma adecuada y segura.
Garantizar la resiliencia es un reto para cualquier organización. Dada la relevancia del sector del agua y su papel en la sociedad, del cual depende la vida de las personas, es crucial la resiliencia de este tipo de infraestructuras ante ciberataques.
Cuando se habla de entornos relacionados con el agua, no solo se habla de infraestructuras directamente relacionadas con su cadena de suministro. También forman parte del ecosistema proveedores de servicio, integradores, fabricantes, distribuidores o consultoras. Por ello, de igual forma deberán estar alineados e involucrados a la hora de construir y gestionar una estrategia para la gestión de la ciberseguridad.
De la misma manera, la conectividad, junto con el despliegue de tecnología inteligente, nos lleva a un nuevo escenario donde es posible que convivan ecosistemas complementarios y conectados, que no podemos obviar a la hora de securizar. Concretamente, los dispositivos industriales conectados, el propio edificio conectado (cctv, controles de acceso, temperatura…), los productos inteligentes (IIOT) y los servicios inteligentes (analítica de datos en la nube, etc.).
El sector del agua se enfrenta a los temidos ataques ransomware, que detienen los procesos y encriptan los datos para pedir un rescate
Con este nuevo escenario planteado, en un entorno que no nació para ser conectado, aumenta progresivamente el número de posibles atacantes, que van desde adversarios altamente sofisticados, terroristas o personal interno. Estos atacantes pueden ser ciberdelincuentes que buscan datos de clientes, pedir rescate económico por el secuestro de sistemas, intoxicar a la sociedad o intentar interrumpir el negocio en beneficio propio.
Es probable que el sector del agua sea blanco de grupos de ciberdelincuentes que representan un alto riesgo para el ecosistema, ya que el valor económico y social de una interrupción de estos sistemas tendría un impacto directo en la vida de los ciudadanos y sería mediático.
Como otras industrias, el sector del agua se enfrenta, cada vez más, a los temidos ataques ransomware, que detienen los procesos y encriptan los datos para pedir un rescate por descifrarlos. En 2018, por citar un ejemplo, la compañía Onslow Water and Sewer comunicó que había sido atacada por un sofisticado ransomware que afectaba a sus sistemas.
Según los últimos estudios, está aumentando muy significativamente el número de ataques que utilizan ransomware en infraestructuras industriales. Ejemplos como LogicLocker, ransomware desarrollado para afectar a la disponibilidad de los PLC; Ryuk, que accede a los sistemas mediante acceso remoto para acabar cifrando los archivos de sus víctimas y dejar una nota de rescate; Ekans, que actúa provocando la paralización de las plantas productivas o, por ejemplo, Megacortex, son nuevos ransomware que están siendo diseñados cada vez más específicamente para afectar a sistemas industriales.
La estrategia de protección debe ser holística, comenzando por una definición de responsabilidades clara e inequívoca, incluyendo formación y concienciación a los actores del proceso (personal de automatización, operación, sistemas o comunicaciones). Además, se recomienda elaborar un plan de ciberseguridad industrial en el que, junto al plan de riesgos, se definan sobre un sistema de gestión de ciberseguridad industrial contenidos como una arquitectura de referencia, un plan de segmentación, procedimientos de gestión de copias de seguridad y procedimientos de despliegue de controles y tecnología. Permitiendo, con todo ello, tanto proteger las instalaciones, como detectar y responder a alertas y amenazas del entorno, así como hacer frente y recuperarse frente a incidentes llegado el caso.
