Especial Ciberseguridad y Empresas: ¿Cuán preparadas están las industrias críticas?

Hoy el peligro está en cada lugar de la red. Y cada sistema hoy conectado al mundo digital es un potencial blanco para los más variados cibercriminales. Desde puertos marítimos hasta sistemas ferroviarios, la interconexión ofrece oportunidades tanto para la eficiencia como para la vulnerabilidad,

Por eso, tomar medidas proactivas en ciberseguridad para resguardar la integridad de operaciones críticas en la infraestructura de transporte es una necesidad urgente.

Daniela Romero, Jefa de División de Seguridad de la Información y Ciberseguridad de la empresa portuaria Saam Hapag Lloyd fue una de las invitadas al encuentro “Innovación 2050: Ciberseguridad, tecnología e información para la protección de industrias críticas”, que desarrolló uno de sus encuentros hace unos días en el Distrito de Innovación V21, en Viña del Mar.

Con una visión especializada frente a los desafíos y soluciones en el ámbito de la protección digital en los puertos, la ejecutiva se refirió a la creciente vulnerabilidad de los sistemas portuarios ante los diversos riesgos, desde flancos abiertos en los sistemas hasta el aumento significativo en los ataques cibernéticos.

Daniela Romero planteó en su presentación que “las medidas que se han usando no son suficientes” en materia de ciberseguridad.

Además, propuso que la estrategia de ciberseguridad en una empresa no solo proteja contra ataques, como se suele hacer hoy en día, ya que un plan eficiente y preventivo contribuye a reducir el riesgo financiero. “Es una inversión que ayuda a mantener una reputación sólida y a generar confianza, creando un diferenciador competitivo”, dijo.

Pero la ciberseguridad no se trata solo de tecnología. Así como se ha hecho en un sinnúmero de campañas en el último tiempo, Daniela Romero destacó la importancia de sensibilizar a todos los niveles de las empresas y crear una cultura de ciberseguridad.

“El eslabón más débil (aún) es el colaborador”, advirtió, planteando la necesidad de preparar y concientizar a los empleados para identificar y reportar amenazas. Que sean capaces de, ante situaciones o aparentes peligros, alertar por sí mismos a los organismos correspondientes o a sus superiores. Así como son el pilar “más apto” para atacar por parte de los cibercriminales, pueden ser también un refuerzo si están preparados.

En cuanto a los ciberataques más recurrentes en los terminales marítimos, Daniela Romero comenta a Piensa Digital que la ingeniería social se mantiene como una de las estrategias más usadas, pero también menciona al phishing. Además, hay un riesgo asociado a los dispositivos de Internet de las cosas (IoT) en entornos computarizados.

También habla de la falta de conciencia sobre los dispositivos conectados y la necesidad de establecer medidas de seguridad robustas. “No está muy desarrollado todavía lo que es este aspecto en la ciberseguridad”, advierta, y luego añade que “si le preguntas incluso a alguien si tiene idea de qué dispositivos tiene conectado en su hogar, probablemente nadie sepa toda la respuesta”.

“Hay células que se dedican a la investigación, otras que se orientan a hacer ataques, pero también están los que roban datos porque saben que le van a servir a alguien: estamos frente a una guerra cibernética”.

Daniela Romero, Jefa de División de Seguridad de la Información y Ciberseguridad de Saam Hapag Lloyd

Los terminales portuarios están repletos de maquinarias y diversas estructuras que deben ser manipuladas para poder cumplir con probidad la entrega y recepción de cargas. Pero en ocasiones los usuarios también olvidan que se trata de mecanismos con sus propios sistemas.

“Todo lo que esté computarizado se puede manipular”, advierte Romero. “Entonces, ahí surge el deber de tener esa preocupación y establecer las medidas de seguridad necesarias para que solamente haya usuarios con el acceso mínimo”, comenta. Eso es lo primero que se debe de hacer, dice, “y de ahí vas a establecer cuáles son los accesos” y se van estableciendo capas de seguridad.

“Hay de todo tipo de ataques: hay células que se dedican a la investigación, otras que se orientan a hacer ataques, pero también están los que roban datos porque saben que le van a servir a alguien: estamos frente a una guerra cibernética”, afirma la especialista. “Tenemos que tomar las precauciones para poder luchar contra eso”, añade.

La colaboración y las alianzas se presentan como elementos esenciales en la estrategia de ciberseguridad. Romero destaca la importancia de trabajar con otras empresas del sector y organismos gubernamentales. “La seguridad de uno es la seguridad de todos”, resalta, enfocándose en el intercambio de información y la implementación de buenas prácticas.

Durante su intervención, además, resaltó la necesidad de cumplir con las regulaciones y estándares del sector, mencionando la Resolución 12.600/204 de DirecteMar y leyes como la 21.542 de Protección de Infraestructura Crítica. Sugirió realizar pruebas y revisiones periódicas, mantener la documentación actualizada y anticiparse a los problemas.

¿Falta comunicación entre las industrias? “Efectivamente, y falta también más conocimiento, porque si bien tenemos a nuestras instituciones protegidas, siguen siendo vulnerables... No se menciona, que es distinto, pero siempre necesitamos ganar más experiencia en el ámbito de la ciberseguridad”, dice a Piensa Digital.

La red de EFE transporta miles de pasajeros todos los días. Y, al igual que Saam Terminals, trabajan constantemente en sus redes de protección ante posibles vulneraciones cibernéticas. La empresa tiene unos 1.800 colaboradores, pero Gabriel Villa Vargas, Oficial de Seguridad de la información de EFE, comenta que la dotación de proveedores que les entregan servicios duplica casi lo que son como empresa.

“¿Qué pasa, entonces, si una empresa de telefonía que puede ser mi principal proveedor se ve enfrentada a un ataque cibernético? Por consecuencia, me veo afectado yo también dentro de las operaciones”, advierte.

Villa Vargas dice que EFE no es solo una empresa de infraestructura crítica, sino que también ofrece servicios que van desde sistemas administrativos, proyectos de desarrollo y servicio en la nube. “El panorama de amenazas en el sector es bien diverso y no va solo en dirección de las infraestructuras críticas, sino que también puede afectar nuestras operaciones diarias en computadoras”, dice el experto.

A pesar de existir peligros, EFE no ha experimentado ataques que tuvieran un gran impacto en sus operaciones, pero Villa Vargas destaca la relevancia de estar alerta y fortalecer la seguridad. “Estamos trabajando en detectar cuáles son nuestras vulnerabilidades para protegernos”, asegura.

Las redes de datos son puntos críticos de exposición, ejemplifica, y destaca que la colaboración entre los proveedores es clave para la detección temprana de amenazas. “Tomar control de una operación ferroviaria creo que es un tema crítico y que alguien ajeno a tu organización pueda tener el control es lo más delicado que podría suceder”, asegura.

Algunos de los posibles peligros que menciona en el caso del mundo ferroviario van desde cambiar señales hasta que un cibercriminal tome control y haga que la empresa pierda la visibilidad de lo que está sucediendo dentro de un tránsito. “Es como ir por una carretera, pero no tengo visibilidad y no se puede ver qué hay adelante”, ejemplifica.

En cuanto a la concientización de los colaboradores, el pilar más vulnerable de la cadena, enfatiza la necesidad de generar una cultura de ciberseguridad en las organizaciones. “Es necesario crear conocimiento transversal, indistinto de la función que realiza cada empleado dentro de la organización”, comenta. Sobre esto, añade la relevancia de planes de conciencia efectivos y adaptados a las funciones específicas de los empleados.

Las iniciativas realizadas por EFE buscan elevar el conocimiento y fortalecer la cultura de seguridad al interior de la organización. Algunas de las que menciona, como punto relevante, es la variedad de formatos, porque así “uno puede ir desde tener un portal en línea, donde se realicen clases sincrónicas o asincrónicas, o generar cápsulas a través de intranet”.

A estas añade simulacros de phishing, porque con ellos “se pueden hacer ejercicios simulados y tener así una percepción más formada para hacer mejoras continuas dentro del mismo proceso”. Además, las organizaciones deben de realizar evaluaciones continuas, porque “se puede tener una alta taza de incidencia de un phishing simulado, que es una preocupación y se debe mejorar”.

“Los programas de capacitación tienen que ser más intensivos, ser más sistemáticos en el tiempo, porque, todo es un proceso por sí solo dentro de muchas otras cosas”, asegura.

Participaron también en el encuentro Claudio Aguilera, SVP Information & Communication Technologies, representante de la empresa de operaciones portuarias Saam Hapag Lloyd, y Carlos Ávila, líder del área de Innovación y Prospectiva de Fundación Conecta Logística.

Con ellos, en un panel de cierre de la jornada, estuvo el senador Kenneth Pugh, quien destacó todos los esfuerzos que se están realizando a nivel de Gobierno en los últimos años, además de la contribución que se logra establecer cuando el sector público trabaja con el privado. Sobre todo en vistas al futuro y poder formar talento con las herramientas adecuadas, para desarrollar así más tecnología, pero también mayor conciencia sobre la ciber seguridad.