Infraestructuras críticas, el nuevo foco de ciberataques

Los ciberatacantes encontraron en las infraestructuras críticas una forma de llamar la atención sobre sus amenazas.

 

Con una guerra en curso, los rastros aún de la pandemia y la inestabilidad macroeconómica incidentes como el paralizante ataque de Colonial Pipeline en mayo de 2021 parecen haber quedado muy atrás. 

Recordemoss que CP el sistema de oleoductos más grande para productos refinados de petróleo en los Estados Unidos, sufrió una  brecha de seguridad, utilizando como punto de entrada una contraseña VPN vulnerable, causó que la compañía detuvieran sus operaciones durante varios días, lo que resultó en escasez de petróleo en la costa este.

Fue sólo el principio. El gobierno del Reino Unido afirma que existen hasta trece sectores que están bajo el término general de “infraestructura crítica”, incluidos: 

• Los productos químicos
• La energía nuclear civil
• Las comunicaciones
• La defensa
• Los servicios de emergencia
• La energía
• Las finanzas
• Los alimentos
• El gobierno 
• La salud
• El espacio
• El transporte 
• Y el agua 

Todos ellos, que proporcionan servicios esenciales para el funcionamiento diario de la sociedad, son colmenas de datos sensibles y confidenciales con los que los actores de amenazas pueden lucrarse fácilmente en la Dark Web, impulsando aún más la ciberdelincuencia y la interrupción de estos servicios.

Amenaza creciente 

Con varios organismos nacionales y públicos en el punto de mira, desde los gobiernos de Cuba y Perú hasta las compañías de agua como South Staffordshire Water, así como el mayor operador de trenes de Dinamarca, y el Servicio de Salud Público de EE. UU., que se vio afectado por un ataque a la cadena de suministro. 

Check Point Software señala que este enfoque en la infraestructura crítica es intencional pues los ciberdelincuentes son plenamente conscientes del impacto que cualquier interrupción tiene en los servicios vitales, no solo financieramente sino también en la confianza pública. 

Muchas organizaciones cuentan con una buena gestión de riesgos, pero carecen de una estrategia de ciberseguridad de extremo a extremo que lo cubra todo, desde el compromiso de los empleados y la seguridad ‘trae tu propio dispositivo’ (BYOD), hasta la administración de firewalls y la protección antimalware. Perder cualquier elemento puede crear vulnerabilidades con consecuencias perjudiciales. 

¿Cuál es la conclusión de esto? Check Point Software señala cuatro elementos clave:

1.- La comunicación es clave 

“Solo eres tan fuerte como tu eslabón más débil”. Es crucial que haya un diálogo abierto dentro de una empresa, desde la sala de juntas hasta el departamento de TI. 

Cualquier dispositivo que tenga acceso a la red de la empresa puede permitir que los hackers obtengan acceso si no se administra adecuadamente. 

El problema se multiplica por el cambio al trabajo en casa y el trabajo híbrido, por lo que las organizaciones deberían hablar con los empleados y educarlos sobre cómo mantenerse seguros. 

2.- Visibilidad y segmentación

Es imposible asegurar con éxito una red sin comprender los activos que contiene. Hacer un inventario completo, incluidos los activos en la nube y los almacenes de datos, expondrá cualquier debilidad, como posibles actualizaciones de seguridad sin parches o dispositivos que tienen firmware obsoleto. 

Una vez que haya mapeado la red, se pueden implementar estrategias como la segmentación, que crea barreras internas virtuales que impiden que los ciberatacantes se muevan lateralmente y creen daños generalizados.

3.- La importancia del CISO 

El papel del director de seguridad de la información (CISO en inglés) es asegurarse de que la directiva tenga una mayor comprensión de los riesgos que enfrenta una empresa. 

Su trabajo es influir y dejar estos puntos claros en un lenguaje fácilmente entendible para todos los cargos, así como explicar las consecuencias comerciales de una seguridad débil. 

Existe una falta general de comunicación entre los CISO y el negocio, y eso debe cambiar para asegurar mejor nuestros servicios críticos. 

4.- Necesidad de una autoridad general

Está claro que las empresas de todos los sectores necesitan elevar sus programas de ciberseguridad, pero no pueden hacerlo solos. 

Es necesario un organismo regulador unificado que pueda ayudar a estos sectores a implementar prácticas estándar para reducir las disparidades en el gasto en ciberseguridad.