CHRISTIAN VÁSQUEZ 

Un año después de que los piratas informáticos violaran Colonial Pipeline, los temores de otro gran ataque cibernético se propagan por toda la industria energética.

El ataque de ransomware del 7 de mayo de 2021 fue el más disruptivo en la historia de EE.UU. condujo a un cierre de casi la mitad del suministro de gasolina y combustible para aviones entregado a la costa este. Y obligó a las empresas y agencias gubernamentales de EE.UU. a analizar de manera más directa los riesgos que conlleva hacer tan poco durante tanto tiempo para proteger la infraestructura crítica.

Las colas en los surtidores de gasolina y la preocupación por la escasez de energía desde la Oficina Oval hasta el Capitolio recalcaron el efecto desastroso que un ataque de piratas informáticos con refugio seguro en Rusia podría tener en el estadounidense promedio.

“El evento fue catalizador y estimulante tanto para la industria como para el gobierno”, dijo Scott Gorton, director ejecutivo de políticas de superficie de la Administración de Seguridad del Transporte.

El ataque a Colonial por parte de un grupo llamado DarkSide se produjo después de que una campaña de ciberespionaje más generalizada con vínculos con Rusia irrumpiera en las redes del gobierno federal y las empresas estadounidenses. El sofisticado hackeo de SolarWinds a principios de 2020 fue de alcance histórico y una amenaza para la seguridad nacional. Sin embargo, era una abstracción para la mayoría de los estadounidenses.

Pero Colonial era diferente.

Poco después de que los ejecutivos de Colonial cerraran el grifo de combustible de 5.500 millas para asegurarse de que los piratas informáticos no causaran un daño mayor, las fotos en las redes sociales mostraban a personas acumulando gasolina.

“Lo que hizo fue impactar al consumidor promedio en el surtidor”, dijo Mary Brooks, becaria residente de ciberseguridad y amenazas emergentes en R Street Institute. “Sabemos que a los electores les importa lo que sucede en la bomba. Al Congreso le importa lo que sucede en la bomba”.

En los 12 meses desde entonces, después de años de patear la lata por el camino, el gobierno federal actuó. El Congreso ordenó que las empresas que operan infraestructura informen a las autoridades federales cuando son pirateadas. La administración Biden impuso mandatos para proteger los oleoductos y gasoductos, incluidos algunos de los 3 millones de millas de gasoductos de gas natural en los Estados Unidos.

Inmediatamente después de Colonial, el presidente Joe Biden llegó a un acuerdo de apretón de manos con el presidente ruso, Vladimir Putin, para poner fin a los ataques dirigidos contra la infraestructura estadounidense.

Eso desapareció rápidamente cuando Rusia invadió Ucrania en febrero. Volvieron a surgir temores de que Putin atacaría a las empresas energéticas estadounidenses y europeas. Desde entonces, la defensa de la infraestructura energética de EE.UU. contra la amenaza rusa ha sido una fuente constante de acercamiento de la administración Biden a las empresas energéticas, tanto en el ámbito público como en el privado.

Los expertos dicen que hay muchas analogías de la industria sobre lo que se debe hacer para fortalecer la ciberseguridad energética.

“Comparo Colonial Pipeline en cibernética lo que San Bruno fue en cuanto a la integridad del gas natural”, dijo Kimberly Denbow, directora general de seguridad y operaciones de la American Gas Association.

Se refería a la explosión de una tubería de gas natural en 2010 que destruyó viviendas en un vecindario de San Bruno, California, en las afueras de San Francisco.

En cuanto a los derrames de petróleo, el derrame del Exxon Valdez en 1989 fue un evento estimulante, señaló. El colapso del oleoducto BP Deepwater Horizon en 2010 inició un proceso, aunque exitoso, de exigir más de las empresas que perforan en las profundidades del océano.

"El oleoducto colonial pudo decir: 'Oye, te hemos estado contando todo sobre lo cibernético que está sucediendo en las noticias, y ahora está afectando directamente tu bolsillo y tu tanque'", dijo Trey Herr, director de Cyber ​​Statecraft del Atlantic Council.

El ímpetu se ha ido acumulando para la política cibernética durante un par de años. Los esfuerzos se vieron amplificados por el hackeo a Colonial y probablemente consolidaron la eventual aprobación del proyecto de ley de notificación cibernética y un memorando de seguridad nacional sobre la ciberseguridad del sistema de control industrial, señalaron los expertos.

Colonial fue un "llamado de atención" para las empresas que podrían no haber visto la piratería como un riesgo comercial crítico, dijo Eric Goldstein, subdirector ejecutivo de seguridad cibernética de la Agencia de Seguridad de Infraestructura y Seguridad Cibernética.

El ataque colonial generó rápidamente presión pública en torno a la falta de regulaciones obligatorias de ciberseguridad para el sector de los oleoductos. Y condujo a una conversación más amplia sobre las regulaciones para la infraestructura crítica más allá del petróleo y el gas natural.

En ese momento, la industria de los oleoductos estaba renovando sus medidas voluntarias de ciberseguridad. Después de Colonial, los oleoductos se encontraron con un conjunto de directivas de seguridad emitidas por la TSA. Los nuevos mandatos requerían la notificación de infracciones importantes dentro de las 24 horas y una serie de prescripciones de ciberseguridad.

Las directivas de seguridad encontraron críticas generalizadas de la industria y los expertos en seguridad cibernética, quienes señalaron que las directivas no tenían en cuenta cuán diferentes son los sistemas industriales de las redes informáticas corporativas.

Se espera que la TSA emita una segunda directiva de seguridad revisada que aborde algunos de los problemas.

Gorton de la TSA dijo que la agencia reemplazará parte de su lista de verificación de medidas de seguridad con medidas basadas en el desempeño o los resultados. Los mandatos revisados ​​se emitirán antes de que expire el segundo a finales de julio.

SEGURO CIBERNÉTICO
La industria de los oleoductos dice que está controlando las amenazas a la seguridad, pero hay problemas relacionados con el dinero. El seguro a menudo no cubre el costo de un ataque cibernético.

Kinder Morgan, propietaria de más de 80,000 millas de infraestructura de oleoductos, dijo en una presentación reciente ante la Comisión de Bolsa y Valores de EE.UU. que “no hay garantía de que un seguro adecuado contra sabotaje cibernético y terrorismo esté disponible a tasas que creemos que son razonables en el futuro cercano". 

“Es posible que nuestro programa de seguros no cubra todos los riesgos y costos operativos y que no brinde suficiente cobertura en caso de un reclamo”, informó Kinder Morgan. “No mantenemos cobertura de seguro contra todas las pérdidas potenciales y podríamos sufrir pérdidas por riesgos no asegurables o no asegurados o en montos que excedan la cobertura de seguro existente”.

Energy Transfer LP, otro importante operador de oleoductos, advirtió que los costos de un ataque cibernético “pueden no estar cubiertos o pueden exceder los límites de cobertura de cualquiera o todas nuestras pólizas de seguro aplicables”.

Colonial aún enfrenta el escrutinio regulatorio. En vísperas del aniversario del ataque de ransomware, la Administración de Seguridad de Materiales Peligrosos y Oleoductos del Departamento de Transporte emitió una multa de US$ 1 millón por el "enfoque ad-hoc" de Colonial para reiniciar el sistema de oleoductos después del cierre inicial el año pasado.

Ningún plan de comunicación interna, dijo el regulador, "creó el potencial de mayores riesgos para la integridad del oleoducto, así como demoras adicionales en el reinicio, lo que exacerbó los problemas de suministro y los impactos sociales".

En un comunicado, Colonial dijo que su “enfoque de operar manualmente nos brinda la flexibilidad y la estructura necesarias para garantizar operaciones seguras continuas a medida que nos adaptamos a eventos no planificados”.

EL FUTURO DIGITAL
Los defensores de la ciberseguridad industrial han advertido durante años que los piratas informáticos no tienen que ingresar a la sala de control para detener las operaciones en una empresa de energía, ya que la tecnología de la información (TI) se está integrando cada vez más con los sistemas de tecnología operativa (OT).

“Desde la perspectiva de las lecciones aprendidas, reveló a muchas empresas que no entienden la interacción entre TI y OT”, dijo Rob Caldwell, director de sistema de control industrial y seguridad de OT en la firma de seguridad Mandiant.

Ben Miller, vicepresidente de investigación y desarrollo de Dragos, una empresa de ciberseguridad industrial, dijo que el ransomware sigue siendo una gran preocupación debido a esta interdependencia.

El hackeo Colonial podría haber sido mucho peor si el malware hubiera entrado en la tecnología de la sala de control del oleoducto. “Los eventos de ransomware están afectando las operaciones de OT regularmente y eso pasa desapercibido”, dijo Miller.

Los piratas informáticos coloniales utilizaron un antiguo inicio de sesión remoto para violar las redes, lo que, según los expertos, dice mucho sobre el riesgo de no tomar medidas básicas de seguridad.

Danielle Jablanski, estratega de seguridad cibernética de Nozomi Networks, dijo que “hay varias formas de impactar o interrumpir la continuidad del negocio. Ya sea que se trate de un punto único de falla, un incidente en la cadena de suministro o algo que sea una interrupción de TI que pueda paralizar algo en el lado de OT”.

Para el sector de los oleoductos y la infraestructura crítica en general, señalan los expertos, la respuesta a la pregunta "¿Estamos más seguros ahora?" a menudo es simplemente: depende.

Colonial aumentó la conciencia entre los ejecutivos de C-suite. Más personas en los niveles más altos de las organizaciones están prestando atención a la ciberseguridad. Pero algunas empresas todavía luchan con la dotación de personal y la falta de recursos para defenderse adecuadamente.

Además, las inversiones toman tiempo, y para el petróleo y el gas natural no es tan simple como descargar un parche o instalar un servicio de firewall. La aprobación a través de las comisiones de servicios públicos es un aspecto importante para determinar si los fondos pueden usarse.

“Tenemos una inversión significativa en seguridad cibernética en general, pero cuando observa estos entornos especializados, como OT, o algunos de estos tipos de sistemas auxiliares que se encuentran en los bordes de TI, falta la inversión”, dijo Marty Edwards, vicepresidente de seguridad tecnológica.