Las infraestructuras críticas españolas no están preparadas para las ciberamenazas

Las infraestructuras críticas españolas no solo están en el punto de mira de todo tipo de grupos cibercriminales (el Centro Criptográfico Nacional registro nada menos que 33.000 ataques el año pasado) sino que en muchos casos, no están preparadas para dar respuesta a las principales amenazas a las que se enfrentan.

Esta es una de las principales conclusiones del estudio «Incidentes de Ciberseguridad Industrial en Servicios Esenciales de España», un estudio en cuya elaboración han participado la firma de seguridad Check Point y el Centro de Ciberseguridad Industrial (CCI), un organismo privado con más de 2.100 miembros en todo el mundo y cuyo objetivo es definir estándares y prevenir futuras situaciones de riesgo en este tipo de infraestructuras.

El estudio, en el que han participado empresas pertenecientes a sectores como energía, agua, transporte, industria pesada, etc. pone de manifiesto que el 75% de las empresas encuestadas asegura que el nivel de vulnerabilidad de sus infraestructuras OT sigue siendo alto.

En parte esto se debe según los responsables de esta investigación, a que en muchos casos este tipo de infraestructuras y empresas del sector industrial priorizan el mantener sus dispositivos y máquinas en funcionamiento, sobre tener que llevar a cabo una tarea de «securizar» que casi nunca es sencilla y en la que cualquier «parón» puede implicar importantes pérdidas económicas y de producción .

En este sentido, como ha explicado Mario García, director de Check Point para España y Portugal, muchas de estas empresas suelen trabajar con sistemas propietarios que son tremendamente cerrados, tienen una gran dependencia de un proveedor exterior y aplican el clásico «si funciona no lo toques» ante una posible interrupción de servicio que podría resultar fatal.

Esto por supuesto no quiere decir que estas infraestructuras no estén expuestas. Más bien todo lo contrario. Como han explicado desde el CCI, la implementación de sistemas IoT, el no separar adecuadamente los sistemas de producción de los sistemas IT o seguir confiando en una infraestructura informática obsoleta (Windows XP e incluso Windows NT) expone a estas industrias a todo tipo de vulnerabilidades. No es de extrañar en este sentido, que ataques relativamente fáciles de prevenir y evitar como ransomware o el spear phishing encuentren estas industrias sistemas fáciles de explotar.

La noticia positiva sin embargo es que en los últimos años ha aumentado el grado de concienciación sobre la importancia que tiene invertir en seguridad en este tipo de empresas. Así el informe señala que la mayoría de as empresas que han participado en esta encuesta empiezan a contemplar, al menos en sus nuevos proyectos, requisitos básicos de Ciberseguridad Industrial, haciendo un especial hincapié en compartimentar redes y un trabajo «en capas» que implica que incluso si una parte de la operativa se ve comprometida, el resto de la compañía puede seguir funcionando con relativa normalidad.

Además también muestran una mayor predisposición a la hora de identificar posible futuras amenazas y coinciden en señalar (en un 41%) que la principal ciberamenaza a la que se pueden enfrentar en un futuro vendrá de la que comprometa la seguridad de sus dispositivos IoT, situándose en segundo término los ataques multivector (21%) y el ransomware (20%) en tercer lugar.