Factores y principios clave para mejorar la ciberseguridad de los entornos tecnológicos operacionales

No hay dudas de que la ciberseguridad se ha convertido en una prioridad principal para las organizaciones de todos los sectores, y ninguna más que la industria manufacturera. En 2021, aproximadamente el 90% de las organizaciones manufactureras sufrieron algún tipo de ciberataque en su producción o suministro energético.

Y es que los ciberataques en la tecnología operacional (OT) tienden a tener efectos más altos y negativos que los de TI, ya que pueden tener consecuencias físicas, como por ejemplo cortes en el suministro eléctrico, paralización de la producción, fugas o explosiones, entre otros. Tanto es así que de los 64 ciberataques de OT reportados públicamente en 2021 - un incremento del 140% sobre el número reportado en 2020 - aproximadamente el 35% tuvieron consecuencias físicas, y los daños estimados fueron de 140 millones de dólares por incidente.

Joana Candina, Associated Partner en McKinsey & Company.

Mejorar la ciberseguridad OT es un desafío, ya que presenta barreras en múltiples áreas como la técnica, la operacional y de inversión. El trabajo que ha desarrollado McKinsey con organizaciones industriales nos ha ayudado a identificar los diferentes factores clave para tener éxito en la mejora de la ciberseguridad de OT que se centran en tres principios.

El primero de ellos es el de fortalecer las bases tecnológicas a través de asegurar los ambientes OT con un acceso adecuado y controles estandarizados gracias a la tecnología actual. Este primer principio incluye factores clave como aclarar las responsabilidades de los roles de los equipos de OT e IT, es decir, definir las diferencias entre ambos departamentos; o aumentar las capacidades y mentalidades para percibir los riesgos. Para ello, a través de la aplicación correcta de los incentivos adecuados, las organizaciones pueden involucrar de forma proactiva a sus distintos stakeholders o grupos de interés.

El segundo de los principios tiene que ver con el aseguramiento de las operaciones de OT basadas en valor que, sin duda alguna, deben incluir factores como la correcta configuración de los equipos de OT e IT fortaleciendo la gobernanza de ciberseguridad y, de ese modo, ayudando a aclarar los roles y responsabilidades relacionados con la protección de los activos de la planta; enfoques operacionales basados en riesgo, es decir, enfoques que tengan en cuenta distintos niveles de criticidad para la continuidad del negocio, como los suministros de energía, los sistemas de parada de emergencia y sistemas de gas e incendios; y, en último lugar, procesos de estandarización a lo largo de los puestos que facilitan la implementación de nuevas iniciativas de ciberseguridad de OT.

El último principio es el aumento de las capacidades y mentalidades conscientes del riesgo, ya que es fundamental que todos los equipos estén al tanto de los riesgos cibernéticos y cuenten con la experiencia necesaria para identificar y reducir las amenazas de manera proactiva. Este aumento de las capacidades internar incluye factores a tener en cuenta como el impulso que realicen expertos en la materia con el objetivo de fortalecer la capacitación interna que, con los paquetes de compensación incentivadora ayuden a atraer y desarrollar las capacidades de ciberseguridad de OT requeridas; establecer mecanismos para controlar a los proveedores y definir KPIs para sus servicios que ayuden a mejorar la rendición de cuentas en situaciones de recuperación ante escenarios críticos; y comprender que la ciberseguridad, como la seguridad al uso de cada fábrica, es una tarea de todos, por lo que mejorar los programas de capacitación en las partes interesadas del negocio, TI y OT ayuda a crear conciencia sobre las amenazas cibernéticas y las acciones de mitigación.

Garantizar una correcta protección contra los ciberataques es uno de los grandes desafíos a los que se enfrenta el sector industrial en estos momentos. Estos principios y factores clave para mejorar la ciberseguridad de OT pueden ayudar a resolver los desafíos críticos de cualquier organización y, de esa forma, continuar con el correcto desarrollo de su actividad habitual.