Los casos de Norsk, Anglo American y Goldcorp
A medida que los precios de los metales rondan máximos históricos y las empresas mineras disfrutan de algunos de sus mejores años con márgenes excepcionales, una resistencia que se espera que continúe hasta 2021, Fitch Solutions Country Risk & Industry Research publicó un informe que destaca cómo este escenario aumenta el importancia de la defensa de la ciberseguridad en la industria minera.
Según el analista de mercado, los resultados de su encuesta de megatendencias de 2020 mostraron que la ciberseguridad ocupó el segundo lugar en las áreas en las que los encuestados en las industrias extractivas estaban invirtiendo más fuertemente, con el 51% de los encuestados afirmando que su empresa estaba invirtiendo en el tema de manera significativa, después de la eficiencia energética, detalló Mining.com
“Esto está en línea con nuestra opinión de que los riesgos cibernéticos, debido en parte a la proliferación de nuevas tecnologías digitales, el creciente grado de conectividad y un aumento material en la monetización del delito cibernético, se convertirán en una causa mayor de preocupación para las empresas mineras y los mineros intentarán protegerse cada vez más de las infracciones”, explica el informe.
La investigación de Fitch encontró que se espera que las empresas que produzcan minerales y productos básicos estratégicos del futuro, a saber, litio, cobalto, cobre, níquel, aluminio, acero verde y tierras raras, sean un objetivo especial, incluso por parte de los estados-nación a medida que los países se unen a la carrera para adquirir estos metales.
En opinión de Fitch, la pandemia de Covid-19 ha aumentado el nivel de riesgo porque empujó a los mineros a reestructurar rápidamente la forma en que operan, ya que la necesidad de sistemas que admitan el trabajo remoto y la automatización se volvió urgente.
Esto ha creado una situación en la que muchas empresas dependen de terceros y redes corporativas menos seguras, en comparación con los sistemas de tecnología operacional aislados, así como una fuerza laboral limitada, creando así nuevos puntos de entrada para el ciberdelito.
"Por ejemplo, los piratas informáticos pueden encontrar la entrada a la red de una empresa a través de un proveedor con ciberseguridad débil y terminar controlando directamente los sistemas críticos de seguridad de la mina, las instalaciones de procesamiento o la maquinaria pesada", afirma la revisión.
"Los ataques a unidades de ventilación subterráneas, relaves, sistemas de monitoreo de presas, controles de tuberías o monitores de gas, por ejemplo, podrían afectar significativamente la seguridad de los trabajadores y la comunidad", agregan los especialistas.
La creciente digitalización de la esfera minera también aumenta el riesgo de violaciones de seguridad solo porque cuando un dispositivo está conectado digitalmente, puede ser explotado, dice el documento de Fitch.
“Una violación de la seguridad cibernética tiene el potencial de interrumpir las operaciones y los ingresos, interrumpir las cadenas de suministro globales, poner en riesgo a los empleados, revelar información confidencial, dañar la reputación de la empresa y crear importantes obstáculos financieros y legales. Las interrupciones pueden durar semanas e incluso meses, con interrupciones en las cadenas de suministro globales".
La motivacion
El analista de mercado hace hincapié en que las motivaciones de los ciberataques no son solo monetarias. Para sus expertos, la creciente y continua importancia de los productos básicos como entidades negociables en los mercados internacionales, la dependencia de los recursos naturales para el desarrollo económico y la necesidad de que los países se beneficien de sus propios depósitos minerales son motivos de ataque.
Como ejemplos de lo que han tenido que afrontar algunos actores del sector, Fitch describe lo que le sucedió a Norsk Hydro, uno de los mayores productores de aluminio del mundo, en marzo de 2019. La empresa noruega fue golpeada por un ciberataque que paralizó a la empresa. Red de computadoras. Como resultado, Norsk Hydro se vio obligada a aislar las plantas y cambiar algunas operaciones al trabajo manual. El ataque le costó a la empresa unos 40 millones de dólares.
Tres años antes, el sitio web de Anglo American fue violado y los datos confidenciales sobre información de nómina, credenciales e información de inversionistas se hicieron públicos en línea. El grupo hacktivista Anonymous dijo que era responsable del ataque, que formaba parte de su campaña Operations Green Rights contra empresas acusadas de ser responsables de "destruir la naturaleza y las culturas antiguas".
Otro ciberataque notable fue el experimentado por Goldcorp de Canadá en abril de 2016, cuando los piratas informáticos filtraron 14,8 GB de datos en línea al publicar un documento en Pastebin con una dirección URL para una descarga completa de torrents. El archivo incluía datos financieros y de empleados.
“De hecho, la industria minera está muy expuesta a vulnerabilidades, con datos extremadamente importantes y sensibles en juego. Comparativamente, solo los actores más grandes están invirtiendo en la defensa de la ciberseguridad, e incluso entonces la protección no incluye todos los aspectos de las operaciones y la información”, afirma el informe de Fitch.
Según su revisión, el investigador de la industria está convencido de que el sector minero requiere iniciativas y legislación dirigidas por el gobierno para invertir fuertemente en defensas de ciberseguridad. Estas iniciativas deben tener un componente de intercambio de datos que permita a las empresas agregar datos de un grupo más grande de recursos y que brinde oportunidades para detectar y contrarrestar tendencias y actividades delictivas.
EY: La encrucijada sobre la ciberseguridad
La Encuesta Global de Seguridad de la Información de EY 2021 (GISS) ilustra el impacto devastador y desproporcionado que la crisis de COVID-19 ha tenido en una función que se esfuerza por posicionarse como un facilitador del crecimiento y un socio estratégico para el negocio.
A través de una encuesta global de más de 1,000 líderes senior de ciberseguridad, encontramos a los CISO (expertos en seguridad informática) y líderes de seguridad lidiando con presupuestos inadecuados, luchando con la fragmentación regulatoria y sin encontrar puntos en común con las funciones que más los necesitan.
De hecho, la agitación de la pandemia mundial ha creado una tormenta perfecta de condiciones en las que los agentes de amenaza pueden actuar. Desde el informe GISS de 2020, ha habido un aumento significativo en la cantidad de ataques disruptivos y sofisticados, muchos de los cuales podrían haberse evitado si las empresas hubieran incorporado la seguridad por diseño en todo el negocio.
La relación del CISO con la empresa también está más estresada que antes, y la consecuencia es una mayor exposición al riesgo cibernético. Además de eso, las restricciones presupuestarias significan que los CISO están luchando por cerrar la brecha entre la necesidad y la financiación.
Es probable que la situación empeore antes de mejorar. Las organizaciones quieren invertir en tecnología e innovación para la era posterior a COVID-19, y necesitan garantizar la resiliencia para la próxima gran disrupción, pero muchas aún tienen que abordar los riesgos diferidos y las vulnerabilidades potenciales que se introdujeron durante sus esfuerzos de transformación en el altura de la pandemia.
Los CISO se encuentran en una encrucijada. Para lidiar con los problemas complejos y agotadores que enfrentan, deben actuar con rapidez. Los capítulos siguientes describen lo que los líderes de ciberseguridad deben saber ahora sobre su entorno operativo actual y lo que deben hacer para transformarlo.
Durante el último año, todas las empresas han tenido que adaptarse a las interrupciones de una forma u otra. En plazos que se hubieran considerado imposibles hace poco tiempo, las organizaciones progresistas implementaron nuevas tecnologías orientadas al cliente y herramientas basadas en la nube que respaldaban el trabajo remoto y mantenían abierto el canal al mercado.
Pero la velocidad del cambio tuvo un alto precio. Muchas empresas no involucraron la ciberseguridad en el proceso de toma de decisiones, ya sea por supervisión o por la urgencia de moverse lo más rápido posible. Como resultado, nuevas vulnerabilidades ingresaron a un entorno que ya se movía rápidamente y continúan amenazando al negocio en la actualidad.
La transformación rápida trae nuevos riesgos
En el momento de redactar este documento, es posible que los CISO y sus equipos aún no hayan completado una evaluación completa del impacto a largo plazo que la nueva tecnología de su empresa tendrá en sus defensas. Pero mientras tanto, es probable que sus colegas continúen usando la tecnología independientemente.
“La urgencia de la crisis significó que se pasó por alto la seguridad incluso cuando las organizaciones abrían sistemas que nunca antes habían estado abiertos”, reflexiona Richard Watson, líder de consultoría de riesgos de ciberseguridad de EY Asia-Pacífico. "No todas las organizaciones reconocen que ahora deben volver atrás y abordar esos problemas".
Sin embargo, los riesgos de seguir adelante sin abordar los problemas son muy reales y cada vez más urgentes. Más de tres de cada cuatro (77%) de los que respondieron al GISS de este año advierten que han visto un aumento en la cantidad de ataques disruptivos, como ransomware, en los últimos 12 meses. Por el contrario, solo el 59% experimentó un aumento en los 12 meses anteriores.
Sin embargo, los CISO están luchando por hacerse oír. La mayoría de los encuestados (56%) admite que los equipos de ciberseguridad no son consultados, o son consultados demasiado tarde, cuando el liderazgo toma decisiones estratégicas urgentes. Si bien algunos sostienen que esto sucede “no muy a menudo”, solo es necesario que suceda una vez para que los actores de amenazas exploten una falla en las defensas.
El resultado es ansiedad por lo que depara el futuro. “Nos esforzamos por lograr la seguridad como facilitador”, dice Richard Watson. "Pero todavía hay organizaciones que lanzan proyectos a la seguridad justo antes de que se pongan en marcha".
En el peor de los casos, los CISO descubren que se ignoran sus advertencias. En el GISS de este año, el 43% dice que nunca ha estado tan preocupado como ahora por su capacidad para gestionar la amenaza cibernética. Pero no tiene que ser de esta manera
