Para ayudar a la industria de la energía a mejorar su resiliencia contra el riesgo cibernético, el Foro Económico Mundial ha convocado a más de 40 altos ejecutivos para establecer un plan para evaluar el riesgo cibernético en la industria del petróleo y el gas. 

Este incidente cibernético ha puesto de relieve que, cada vez más, los proveedores de servicios esenciales son más vulnerables a las ciberamenazas generalizadas. Como resultado, la ciberseguridad se está convirtiendo en un desafío estratégico corporativo que requiere el más alto nivel de supervisión en el complejo entorno industrial global.

Este informe es el resultado de sus discusiones en profundidad para iluminar las mejores prácticas de la industria y crear nuevas soluciones para que los líderes corporativos aborden el riesgo cibernético. Presenta seis principios para ayudar a las juntas directivas de las empresas de petróleo y gas a controlar este riesgo y fortalecer la resiliencia cibernética de su organización. 

Adoptarlos apoyará a la industria en sus esfuerzos por continuar entregando energía segura, asequible y con bajas emisiones de carbono durante las próximas décadas.

El reciente ciberataque al principal oleoducto y gasoducto de EE. UU. Podría convertirse en uno de los ataques más costosos para una economía. También es el último recordatorio de que tanto la frecuencia como la gravedad de los choques digitales catastróficos en la infraestructura crítica están aumentando.

Para abordar el riesgo cibernético en todo el industria del petróleo y el gas, directores de juntas y altos Los líderes corporativos deben actuar para asegurar la industria entornos operativos de la creciente amenaza de ciberataques con nuevas políticas, procesos y atención de los funcionarios corporativos.

Los miembros deben equilibrar la ventaja competitiva asociados con la digitalización de la industria entorno operativo con mayor exposición a ciberamenazas maliciosas que buscan interrumpir las operaciones para obtener ganancias económicas u otras motivaciones nefastas, como conflictos geopolíticos o terrorismo.

Para superar las presiones del mercado, adáptese a las transición energética y triunfar en esta nueva entorno operativo, el futuro de la industria depende cada vez más de OT conectado digitalmente para controlar los activos de energía física, como el gas compresores y equipos de perforación mar adentro - con aplicaciones de TI para optimizar los datos que se convierten las operaciones de una empresa en una interconexión la red.

Ejecutivos a nivel de directorio, corporativos los gerentes y las partes interesadas de la industria ven el uso generalizado de tecnologías digitales para ejecutar, gestionar y recopilar datos de la energía física activos y operaciones de la planta como el habilitador clave para reducir costos, mejorar la eficiencia y reducir emisiones.

Como transformación digital de la industria del petróleo y el gas expone todos los aspectos de sus negocios a una mayor riesgos cibernéticos, las empresas se vuelven cada vez más más vulnerable a las ciberamenazas generalizadas. La ciberseguridad se vuelve aún más difícil de asegurar en un panorama de amenazas digitales en expansión y entorno industrial global complejo.

El panorama de amenazas digitales en expansión del sector del petróleo y el gas

Con conexiones de dispositivos industriales que se espera llegar a 37.000 millones para 2025, la digitalización es rápida transformar la industria del petróleo y el gas de un negocio basado en productos básicos gestionado en analógico equipo en un automatizado, controlado remotamente e industria impulsada por la inteligencia artificial (IA) que hace decisiones basadas en riesgos con la velocidad de Internet.

Sin embargo, el rápido ritmo de la digitalización tiene un costo; a medida que las empresas de petróleo y gas digitalizan sus operaciones, exponen simultáneamente a sus empresas a riesgos cibernéticos. Los actores maliciosos ven cada vez más la energía la industria como un objetivo maduro para lanzar ciberataques con fines de lucro financiero, criminal o geopolítico. 

Los estudios muestran que el volumen de ataques contra activos conectados a OT aumentó más de 20 veces desde 2018 hasta 2019, mientras tanto, el costo promedio de violación de datos del sector energético ha aumentado más del 13%. desde 2019, a US$ 6.39 millones, un costo más alto que el promedio mundial de US$ 3.86 millones.

Sin embargo, incluso con expandir los ciberataques que amenazan a la industria, dos tercios de los ejecutivos de petróleo y gas afirman que la digitalización está beneficiando a su negocio y siguen siendo esenciales para el éxito de su empresa.

A medida que las empresas decidan que continuar incorporar tecnologías digitales en sus empresas supera el mayor riesgo de ciberataques, deberían hacer de la ciberseguridad un competencia central de su organización y lugar en el centro del futuro negocio del petróleo y el gas modelo.

Sin embargo, la mayoría de las empresas de petróleo y gas no acostumbrados a pensar en sí mismos como digitales empresas y por tanto carecen de la ciberseguridad tecnologías, sistemas, personal y protocolos para proteger los entornos operativos industriales.

Las complejidades de asegurar los entornos operativos industriales globales

La ciberseguridad en el sector del petróleo y el gas es inherentemente desafiante debido a la complejidad de ejecutar una gran organización con diferentes negocios, activos y personal ubicado en todo el mundo, así como trabajar con una compleja cadena de suministro de clientes y proveedores.

Sin una ciberseguridad sólida tecnologías y protocolos, las empresas tardan en priorizar el despliegue de vigilancia y defensa soluciones para dispositivos vulnerables, así como la higiene cibernética se verá incapaz de competir con pares ciberprotegidos que ofrecen productos y servicios que se entregan de manera confiable y eficiente.

Los desafíos cibernéticos clave de la industria en un entorno operativo global

En muchos casos, las empresas se enfrentan a desafíos con la higiene cibernética interna como los sistemas son interconectados pero la responsabilidad está aislada o compartida a través de muchos socios con diversas prioridades.

Las empresas también enfrentan desafíos con la alineación de TI y departamentos de OT, gestionando la interoperabilidad con tecnologías patentadas e interactuando con terceros para que todos los dispositivos conectados, desde boca de pozo a la computadora corporativa - está protegido.

Si bien esta continuidad es necesaria para lograr un enfoque de ciberseguridad en todo el ecosistema, es difícil de ejecutar. Muchas organizaciones encuentran la complejidad de la ciberseguridad abrumador, y esto es particularmente cierto cuando necesidad de proteger tanto los entornos de OT como de TI.

Empresas con activos de TI y OT profundamente integrados necesitan estrategias para gestionar el riesgo de forma proactiva, y ciberseguridad madura con miras a su entorno de riesgo futuro. Este documento establece seis principios para ayudar a las juntas en las empresas de petróleo y gas maduran su enfoque ciberseguridad.

Están diseñados para guiar miembros de la junta a través del proceso de cultivar una cultura corporativa que evalúa y gestiona la cibernética riesgo. Diez principios generales de ciberresiliencia desarrollados por el Foro Económico Mundial que se puede aplicar a cualquier organización complementar este conocimiento

Principios de ciberresiliencia para la industria del petróleo y el gas

La importancia de la tecnología operativa para protegerse contra los ciberataques

De 2014 a 2017, un adversario violó las ciberdefensas de un petróleo y refinería de gas utilizando un malware específico de OT llamado Trisis o Triton para apuntar a los sistemas de seguridad utilizados para producción de petróleo y gas.

Después de pasar desapercibido durante tres años por el aceite y el equipo de seguridad de la compañía de gas, los atacantes activó su malware para interrumpir el funcionamiento de la refinería sistemas instrumentados de seguridad.

Pero cuando el ataque se implementó en el verano de 2017, un error en el malware hizo que la planta se cerrara en su lugar de causar daño físico significativo y matar o lesionar gravemente a los trabajadores de la empresa según lo previsto.

Poco sabían los investigadores en ese momento que este ataque fallido fue el primer ciberataque conocido con el objetivo específico de matar personas. Inmediatamente después del ataque, seguridad de la planta personal - y sus terceros - no considere que el cierre repentino es un resultado directo de un ciberataque y, por lo tanto, no investigó este posibilidad como causa raíz en su análisis.

Años de invertir en seguridad de TI pero sin tomar un enfoque específico para la protección cibernética OT dejó el organización no preparada para hacer frente al ataque o realizar la investigación. Habiendo fallado correctamente reconocer y bloquear la infracción cibernética en curso amenaza, la planta volvió a funcionar con la actor malicioso todavía presente.

Con el malware aún activo, un mes despuésLos atacantes hicieron un segundo intento de interrumpir el sistema de seguridad de la refinería, pero esta vez intentó para cerrar una infraestructura aún más crítica; afortunadamente, los atacantes volvieron a fallar debido a un error diferente.

Esta vez la seguridad de la planta El equipo solicitó el apoyo de especialistas en OT para investigar las paradas con mayor profundidad. Después de la segunda investigación, los expertos en seguridad encontró que los sistemas OT del plan estaban siendo manipulado. Descubrieron que los atacantes estaban manipular maliciosamente la actividad de la red OT y tomó medidas para asegurar la brecha.

Recuperandose de el incidente y luego restaurar la refinería por completo La operación tomó más de 70 días y costó decenas de millones de dolares. Este ataque pudo haber sido detectado con un enfoque específico de OT y con un plan de respuesta a incidentes ensayado en su lugar.

Tenido implementadas estas medidas, el tiempo perdido y el impacto del ataque específico de OT habría se ha reducido significativamente.

Conclusiones clave: errores del adversario prevenidos víctimas en este incidente, pero el gobierno de la junta puede, y debe, hacer que las organizaciones sean más Resistente contra ciberamenazas OT a seguridad crítica infraestructura mediante la adopción de un enfoque específico de OT a la ciberseguridad cuando corresponda. Los ataques harán suceden ya que no todos pueden prevenirse, pero

Las organizaciones también pueden detectar y responder, haciendo ellos mismos más resilientes. Después de los incidentes, compartiendo información y lecciones aprendidas de amenazas pasadas ayuda a otras organizaciones en el valor del petróleo y el gas preparar la cadena.