Ghenova, especialista en seguridad (security) de la cadena de suministro de la construcción naval

Todo ello hace que Ghenova conjugue un conocimiento muy profundo de la ingeniería naval, la integración de sistemas, la digitalización y la ciberseguridad, circunstancia que ha propiciado que Ghenova haya sido una de las empresas pioneras en España en ofrecer entre sus servicios uno específicamente enfocado a la seguridad (security) de la cadena de suministro con una orientación preferente hacia la construcción naval y que pueda presumir ya de casos de éxito en algo aún muy novedoso pero que, con toda seguridad, va a ver crecer su demanda en los próximos años.

En el año 2020, un ciberataque que empleó como vector de compromiso un software producido por la compañía estadounidense SolarWinds afectó a alrededor de 18.000 de sus clientes, entre los que se encontraban agencias gubernamentales, la OTAN y grandes compañías. Se trata, hasta la fecha, del más grave y conocido entre los categorizados como ciberataques a, o a través de, la cadena de suministro. En los últimos años, estamos asistiendo a un crecimiento impresionante de este tipo de ataques. Se fundamentan en que la inseguridad de un proveedor se traslada a la organización que lo emplea, convirtiéndose así en el eslabón más débil de la cadena. Por otra parte, más del 50% de los ataques conocidos a cadenas de suministro han sido atribuidos a grupos APT (Amenaza Persistente Avanzada). Muchos de ellos están considerados actores-Estado y sus ataques suelen ser dirigidos, altamente sofisticados, complejos de detectar y de muy difícil atribución, lo que explica su elevado índice de éxito.

Un ataque a la cadena de suministro es una combinación de, al menos, dos ataques. El primero va dirigido contra un proveedor y se emplea como vector para acceder al objetivo final. Por lo tanto, para que se clasifique como ataque a la cadena de suministro, tanto proveedor como cliente deben ser objetivos secuenciales. Una vez comprometido el proveedor, su posición privilegiada frente al verdadero objetivo (relación de confianza, menores prevenciones) es explotada para incrementar las posibilidades de éxito de alguna de las técnicas precursoras habituales (phishing, falsificación de certificados, inserción de malware…), que de provenir de otra fuente difícilmente habrían podido prosperar.

Pocos casos podemos encontrar de cadena de suministro tan larga y compleja de gestionar como la necesaria para la construcción de un buque. Si tomamos como referencia una fragata moderna, estamos hablando de una cifra de proveedores que fácilmente puede alcanzar el centenar. Además, muchos astilleros hoy en día ejercen de integradores, por lo que sus proveedores lo son de equipos o sistemas complejos y cuentan con su propia cadena de suministro. Proveedores que, como consecuencia de la globalización, se reparten por todo el mundo, lo que incrementa las posibilidades de actuación de la amenaza, a la vez que complica la gestión de la seguridad.

Se estima que en torno a dos tercios de los ataques a la cadena de suministro utilizan como vector de compromiso el software proporcionado por proveedores. Sin embargo, hoy en día existen infinidad de elementos a bordo (motores, generadores, sistemas de control, bombas… y, por supuesto, todos los sensores y armas) que cuentan con algún tipo de software embebido y que se interconectan y comunican con otros sistemas del buque, por lo que la seguridad debe abarcar a todos ellos, dado que cualquiera puede ser empleado para atentar contra un sistema crítico o el propio buque.

Y aquí es importante advertir que una fragata o un super portacontenedores pueden resultar objetivos de altísimo interés para infinidad de actores, y muy especialmente actores-Estado, por lo que hemos de asumir que habrá grupos APT que, con la finalidad del espionaje o el sabotaje, traten de acceder a los sistemas para robar información o insertar algún tipo de malware. Y esto es algo que puede ocurrir tanto en la fase de construcción como en la de operación, pero para lo que hay que estar ya preparado desde la definición y el diseño.

¿Cómo pueden gestionar este riesgo emergente las armadas, navieras y astilleros? La respuesta no es sencilla, en tanto abarca un buen número de medidas, muy heterogéneas, que deben implantarse de manera coordinada, teniendo en cuenta que la exposición de un buque a las ciberamenazas varía notablemente a lo largo de su ciclo de vida: definición precisa y completa de requisitos de ciberseguridad y cláusulas contractuales, security by design, desarrollo seguro de software, auditorías de software, incorporación de elementos de ciberseguridad a bordo, adecuada selección de las tecnologías, contratación de especialistas, , arquitecturas y configuraciones, planificación y ejecución de análisis de riesgos, auditorías y test de penetración, medidas antitampering, concienciación... Y podríamos seguir.

Todas las medidas esbozadas en el párrafo anterior son complicadas de implementar, incluso de forma individual, por lo que cada vez es más recomendable recurrir a empresas especializadas; pero sin olvidar que este sector reúne muchas peculiaridades que complican el problema y con las que resulta muy conveniente estar familiarizado. Ghenova es una de ellas.