Por: Enrique Poceros CTO de Roue Consultores

Un Blanco Estratégico en el Contexto Geopolítico Actual

México, debido a su proximidad con Estados Unidos y su papel clave en la generación y distribución de energía, se ha convertido en un objetivo estratégico para ciberataques. En el actual panorama geopolítico, las infraestructuras críticas, incluyendo las plantas de generación de energía, son un blanco atractivo para actores malintencionados que buscan afectar la estabilidad de los sistemas eléctricos y comprometer datos sensibles de clientes y operaciones.

Un ataque exitoso en la cadena de suministro de una empresa de generación de energía no solo podría generar interrupciones operativas, sino que también podría comprometer la seguridad de sus trabajadores y de la población. La ciberresiliencia y la ciberseguridad ya no son una opción, sino una necesidad estratégica para garantizar la continuidad operativa y la seguridad industrial (safety).

La Responsabilidad Compartida en Infraestructura Crítica

El desarrollo y operación de proyectos de infraestructura crítica involucran a múltiples actores: operadores, integradores de sistemas y proveedores tecnológicos (tecnólogos), tanto en el ámbito de Tecnologías de la Información (IT) como en Tecnologías Operativas (OT) o automatización. La interconexión de estos sistemas crea superficies de ataque más amplias, donde cualquier vulnerabilidad en un proveedor de servicios puede ser explotada para comprometer el ecosistema completo. Por ello, la estrategia de ciberseguridad debe ser unificada y debe contemplar todos los posibles puntos vulnerables de la organización, ya que las redes de los complejos sistemas de control industrial ya no se encuentran aislados.

El ciberataque de 2024 a una destacada empresa de distribución de energía y gas puso en evidencia cómo la falta de controles adecuados en la cadena de suministro puede generar graves consecuencias. Más allá del robo de información personal, este tipo de incidentes puede afectar la reputación de la compañía, erosionando la confianza de clientes y socios comerciales. Además, una interrupción en el suministro de energía o gas podría tener un impacto financiero significativo, desde multas regulatorias hasta pérdidas operativas. En algunos casos, incluso podrían derivarse consecuencias ambientales si el ataque afecta infraestructuras críticas que controlan la distribución segura de estos recursos.

Continuidad Operativa y Seguridad Industrial

El impacto de un ciberataque en una planta de generación de energía puede ir más allá de la interrupción del servicio eléctrico. En entornos OT, un ataque puede provocar fallos en equipos industriales, afectando la seguridad de los operarios y generando pérdidas económicas sustanciales. Un ataque dirigido a sistemas SCADA, por ejemplo, podría permitir la manipulación de procesos críticos, poniendo en riesgo no solo la producción de energía, sino también la seguridad física de las instalaciones y del personal.

Para mitigar estos riesgos, es fundamental adoptar un enfoque de ciberresiliencia que contemple estrategias preventivas, reactivas y de recuperación.

Implementación de Frameworks de Ciberseguridad en la Cadena de Suministro

Para fortalecer la seguridad en la cadena de suministro de empresas de generación de energía, es recomendable adoptar marcos regulatorios y normativos específicos que permitan evaluar y mejorar la postura de ciberseguridad de proveedores e integradores. Dentro de los marcos regulatorios algunos de los puntos clave a considerar son:

1. Evaluación y Monitoreo Continuo de Proveedores

La seguridad no puede depender únicamente de controles internos; es fundamental evaluar regularmente a los proveedores para detectar y mitigar riesgos potenciales. Esto incluye:

• Auditorías de ciberseguridad periódicas para verificar el cumplimiento de estándares.
• Implementación de indicadores clave de desempeño (KPIs) en seguridad para medir el nivel de madurez de cada proveedor.
• Revisión de contratos para asegurar que los socios comerciales adopten medidas de protección alineadas con los requisitos de la organización.

2. Gestión de Riesgos de Terceros

El ecosistema de proveedores e integradores debe cumplir con los mismos niveles de seguridad que la organización. Para lograrlo:

• Se deben establecer requisitos claros de ciberseguridad en los acuerdos comerciales.
• Es recomendable solicitar evidencia de cumplimiento en medidas de seguridad como cifrado de datos, gestión de vulnerabilidades y respuesta ante incidentes.
• Se deben definir protocolos de respuesta conjunta en caso de un ciberataque que afecte a algún proveedor clave.

3. Resiliencia y Planes de Continuidad

No solo se trata de prevenir ataques, sino también de garantizar la recuperación rápida en caso de una brecha de seguridad. Para ello:

• Se deben establecer planes de contingencia con proveedores estratégicos para minimizar interrupciones.
• Es crucial realizar simulacros de respuesta ante incidentes para evaluar tiempos de recuperación y coordinación con terceros.
• La diversificación de proveedores puede ayudar a reducir el impacto de un ataque dirigido a un socio específico.

4. Cultura de Seguridad y Capacitación

El factor humano sigue siendo una de las principales vulnerabilidades en la ciberseguridad. Para fortalecer la postura de seguridad en la cadena de suministro:

• Se deben realizar programas de capacitación en ciberseguridad para empleados y socios comerciales.
• Es recomendable fomentar la cultura de seguridad mediante la aplicación de políticas claras y sanciones ante incumplimientos.
• Se debe establecer un canal de comunicación seguro con proveedores para reportar vulnerabilidades y compartir inteligencia sobre amenazas emergentes.

Adoptar estos estándares no solo fortalece la ciberseguridad, sino que también facilita la interoperabilidad y el cumplimiento con regulaciones internacionales, lo que resulta clave en un entorno donde la seguridad de la infraestructura crítica es un tema de interés global.

Conclusión

La ciberseguridad y la ciberresiliencia en la cadena de suministro de empresas de generación de energía son elementos fundamentales para garantizar la continuidad operativa y la seguridad industrial. En un contexto de amenazas crecientes, es imperativo que operadores, integradores y proveedores trabajen en conjunto para fortalecer la protección de los sistemas críticos.

El uso de frameworks como ISA 62443-2-4 e ISA Secure permite establecer estrategias efectivas para evaluar y mitigar riesgos en la cadena de suministro, asegurando que las soluciones implementadas sean seguras desde su diseño hasta su operación. La adopción de estas prácticas no solo reduce el impacto de potenciales ataques, sino que también contribuye a la resiliencia del sector energético en México y en el mundo.

Para lograr una implementación efectiva de estos marcos normativos y estrategias de seguridad, es crucial contar con el respaldo de empresas especializadas que posean la experiencia y el conocimiento necesario en la aplicación de estos estándares. La elección de proveedores con un historial comprobado en ciberseguridad industrial garantiza que las medidas adoptadas sean eficaces y alineadas con las mejores prácticas del sector, reduciendo vulnerabilidades y optimizando la protección de infraestructuras críticas.

Te puede interesar

De los retos de la transición energética a los efectos colaterales en los sistemas acuíferos

El camino de las mujeres en energía: avances, retos y oportunidades en 2025

Mujeres que energizan

MAGA: El Colapso del Orden Basado en Reglas