Ciberseguridad: por qué es importante para las infraestructuras críticas
En décadas pasadas, antes del cambio de milenio, existía la creencia de que los servicios “críticos” para la sociedad no deberían estar conectados a internet. Sin embargo, ese pensamiento no resistió a los avances tecnológicos de los últimos años y, hoy en día, la propia internet es una infraestructura crítica de la cual dependen muchas empresas y servicios todos los días.
Analizando la realidad actual, no hay cómo negar que las organizaciones ya no tienen cómo evitar el tema de la ciberseguridad, que, a su vez, no se puede limitar a la noción de que “los sistemas más críticos no estén conectados para garantizar que ningún invasor pueda llegar hasta ellos”.
Aun cuando un incidente no perjudique directamente a una fábrica o servicio público, debemos recordar la existencia de servicios de cobros, seguimiento de contratos y servicios financieros, procesos que están conectados a la red y que pueden verse interrumpidos por un ataque cibernético.
Incluso, ya existen casos reales de ese tipo. En 2021, un oleoducto en Estados Unidos paralizó sus operaciones después de que un malware de rescate (ransomware) interfiriera en el funcionamiento del sistema de contabilidad y cobro. El bombeo de petróleo aún funcionaba, pero no era viable seguir operando sin restaurar el sistema de cobro.
En el sector de logística y transporte, un incidente cibernético puede no llegar a afectar las grúas, camiones, trenes o autobuses, pero, sin duda, puede perjudicar los sistemas de información que guardan las listas de pasajeros, documentos fiscales y planes de carga. Un caso de ese tipo ocurrió en 2023, cuando un puerto de Japón quedó paralizado, también por un ransomware, ya que no había posibilidad de registrar las cargas recibidas.
En cuanto al sector eléctrico, ya se han registrado incidentes de apagones provocados por ataques cibernéticos y daños físicos en usinas de enriquecimiento de uranio. Se cree que esos eventos, que ocurrieron en Ucrania e Irán, respectivamente, estuvieron vinculados a tensiones geopolíticas y fueron provocados por ataques virtuales.
Un sector diverso
El término “infraestructura crítica” podría llevarnos a creer que estamos hablando de un grupo selecto de empresas, pero lo cierto es que diversas organizaciones y ramos de actuación se consideran críticos.
Así, la lista de sectores clasificados de esa manera puede ser más larga de lo que imaginamos. En ese contexto, podemos incluir estos ramos: transporte, salud, gobierno, telecomunicación, energía, alimentación y agua, servicios de emergencia, fábricas y también servicios financieros. Todos esos sectores están interconectados y son servicios esenciales para nuestra sociedad.
Algunos también están bastante vinculados a las redes de comunicación, como es el caso de los servicios financieros. En ese escenario, los maletines de transporte de valores dieron lugar a las redes bancarias internacionales y a las “maquinitas” que funcionan por medio de las mismas redes que usamos para hablar con amigos y familiares por el celular.
De esa forma, vemos cómo las organizaciones críticas dependen, incluso, unas de las otras.
El factor humano en la defensa de la infraestructura crítica
Como en muchas otras empresas, los profesionales que actúan en organizaciones vinculadas a sectores críticos tienen mucho para contribuir con la seguridad cibernética. Ese es el caso de los equipos de tecnología, que pueden evitar la exposición de sistemas vulnerables. Sin embargo, no son solo ellos los que pueden contribuir: los delincuentes saben que pueden intentar engañar a los operadores de los sistemas con mensajes o intentos de contacto maliciosos, ya sea por e-mail, teléfono o incluso personalmente.
De esa forma, un único clic o la utilización de un dispositivo no autorizado, como, por ejemplo, un teclado, pen drive o hasta un mouse, puede bastar para perjudicar un sistema entero e desencadenar un efecto dominó. En las situaciones más graves, un estafador puede incluso intentar sobornar o amenazar la integridad física de un colaborador para convencerlo de realizar alguna acción que podría poner a la organización en riesgo.
Por eso, además de conocer las normas de seguridad, es importante que los colaboradores y empleados sepan identificar las amenazas más comunes que pueden acechar a las organizaciones —como el phishing y el malware— para poder mantenerse atentos a los riesgos y no clicar en sitios sospechosos ni abrir archivos, enlaces o adjuntos desconocidos.
La relación con proveedores también amerita cautela, ya que algunos incidentes ocurren cuando no se cancelan contraseñas usadas por terceros tras la finalización de un contrato de trabajo.
Por último, es importante resaltar que nadie necesita ser un experto en seguridad cibernética para conocer las buenas prácticas de ciberseguridad. Son las pequeñas tareas del día a día las que, si se hacen con conciencia y responsabilidad, se convierten en una verdadera barrera capaz de proteger la seguridad de la empresa.
