La brecha de resiliencia energética que se abre entre las auditorías
Una organización energética completa su evaluación anual de la seguridad. Las políticas están actualizadas. Los controles importantes están en funcionamiento. El análisis de penetración ha concluido. Los proveedores críticos han enviado sus cuestionarios. Se han revisado los planes de recuperación. El consejo recibe un informe en general positivo.
Entonces el entorno comienza a cambiar. Una versión de software altera la forma en que una plataforma operativa intercambia datos con un servicio en la nube. Un proveedor actualiza su modelo de soporte remoto. Se añade una cuenta privilegiada para apoyar un programa de transformación. Se reconfigura una plataforma de identidad. Cambian los firmware de un activo conectado. Un procedimiento de recuperación sigue siendo compatible con una arquitectura anterior.
Ninguno de estos eventos representa necesariamente un fallo de control. Ninguno de ellos puede generar de inmediato un incidente. Pero cada uno modifica la evidencia en base a la cual se basaba la confianza previa de la organización.
Para una organización energética, esto es importante porque el servicio que se protege rara vez se encuentra dentro de un solo sistema o departamento. La generación, la operación de la red, el balanceo, la medición, el servicio al cliente, la liquidación del mercado y las operaciones en el campo dependen cada vez más de la tecnología operativa, la informática empresarial, los servicios en la nube, el software, la identidad, las comunicaciones, los datos y los terceros que trabajan juntos.
El servicio puede seguir funcionando mientras la confianza en su resiliencia se debilita discretamente. Por lo tanto, un panel de control verde puede decir más sobre los controles que se están monitoreando que sobre el resultado final de la energía que la empresa está tratando de proteger.
La pregunta estratégica ya no es si las medidas fueron efectivas cuando fueron revisadas por última vez. La cuestión es qué evidencia demuestra que el servicio sigue siendo resiliente hoy en día.
Las organizaciones maduras aún pueden tener problemas con la obtención de pruebas
El desafío para las empresas de servicios públicos establecidas rara vez se reduce a una completa ausencia de actividad cibernética. Se trata de determinar si la actividad en diversas áreas contribuye a ofrecer una visión actual y defensible del servicio esencial.
La mayoría de las grandes organizaciones del sector energético aún no han iniciado su proceso de resiliencia cibernética. Ya cuentan con equipos de seguridad, foros de gobernanza, operaciones de seguridad, procesos operativos, registros de riesgos, planes de incidentes, programas de riesgo de proveedores y controles tecnológicos establecidos.
El CISO puede confiar en el entorno de control. El CIO puede confiar en la arquitectura, la identidad y la plataforma en la nube. El CTO puede confiar en el proceso de entrega de software. El COO puede confiar en los planteamientos operacionales y en los mecanismos de continuidad. La adquisición puede confiar en la diligencia debida de los proveedores. La auditoría interna puede confiar en que se están siguiendo los procesos previstos.
Cada visión puede ser razonable. Pero al final, la empresa tiene otra pregunta: ¿Puede el servicio esencial continuar de forma segura y recuperarse dentro de unos límites aceptables cuando varias dependencias se ven interrumpidas simultáneamente?
Esta pregunta cruza la cuestión de la propiedad organizacional. También pone de manifiesto la limitación de la garantía basada en un momento dado. Una evaluación puede examinar el entorno que se le presenta. No puede mantener la confianza indefinidamente después de que el software, los proveedores, la arquitectura, el modelo de acceso o los mecanismos de recuperación cambien.
Para las organizaciones maduras, la próxima mejora no necesariamente consiste en otra capa de gobernanza o un mayor catálogo de controles. Se trata de una conexión más fuerte entre el cambio, las consecuencias operacionales y la evidencia actualizada.
¿Qué significa esto para el equipo directivo?
En el caso de las placas, el problema radica en la responsabilidad, la inversión y la aceptación de la exposición a los materiales.
Para los CIO y los CTO, la cuestión radica en si la transformación de la arquitectura, la nube, el software y la OT puede llevarse a cabo sin crear un riesgo inaceptable para el servicio.
Para los directivos de la empresa y los responsables de los activos, se trata de una continuidad segura y una recuperación.
Para los CISO, se trata de si las medidas, los proveedores, el acceso y los acuerdos en caso de incidentes son proporcionales, efectivos y respaldados por pruebas actuales.
La organización puede tener funciones bien definidas pero aún no tener una declaración de confianza integrada sobre el servicio que sea más importante.
La resiliencia energética tiene una vida útil inusualmente corta
Las organizaciones energéticas están modernizando un sistema operativo que no se puede simplemente parar, reconstruir ni recuperar según un calendario puramente tecnológico.
Los servicios esenciales pueden estar distribuídos geográficamente, con limitaciones de seguridad y con la expectativa de que permanezcan disponibles de forma continua. Los activos operativos pueden permanecer en servicio durante décadas, mientras que las plataformas de cloud, los servicios de identidad, las aplicaciones de los clientes y las versiones de software cambian semanalmente o de forma continua. Los proveedores especializados pueden participar directamente en la operación, el mantenimiento y la recuperación.
Esto produce una colisión entre diferentes velocidades de operación: OT de larga duración y software que cambia rápidamente; ventanas de mantenimiento limitadas y entrega continua; activos físicos locales y servicios en la nube compartidos; rendición de cuentas interna y control externo por parte de los proveedores.
Una conclusión de resiliencia alcanzada hace seis meses, por lo tanto, puede basarse en supuestos que ya no son plenamente válidos.
Considere un escenario de alta demanda
Una plataforma operativa crítica se vuelve inalcanzable durante un periodo de alta demanda. Los equipos de la sala de control conservan una visibilidad parcial, pero el servicio de identidad necesario para el acceso remoto a la ingeniería se ve afectado. Los equipos de seguridad restringen la cuenta de un proveedor mientras investigan una actividad sospechosa. El proveedor tarda en determinar si su propia plataforma –o la de una de sus terceras partes– está involucrada. Las operaciones pueden continuar en modo limitado, pero la duración segura de ese modo es incierta.
Este incidente no es puramente cibernético, puramente operativo ni puramente un problema de la parte del proveedor. La dirección debe decidir cuánto tiempo puede permanecer el servicio con problemas, si el aislamiento elimina una importante opción de recuperación, si el incidente puede ser significativo, a quién debe informarse y qué pruebas demostrarán que el servicio puede volver a ser confiable.
Un plan anual puede definir cada responsabilidad. Solo la evidencia actual y demostrada indica si esas responsabilidades funcionan juntas.
NIS2 eleva el umbral – pero la verdadera prueba es operacional
NIS2 hace que la resiliencia sea un tema de gestión y gobernanza. No convierte al consejo de administración en una sala de control técnica; sino que eleva el nivel de lo que el liderazgo debe ser capaz de entender, aprobar y cuestionar.
El artículo 20 exige que los órganos de gestión de entidades esenciales e importantes aprueben las medidas de gestión de riesgos en materia de ciberseguridad y supervisen su implementación. El artículo 21 establece las áreas de gestión de riesgos que deben abordar las entidades, mientras que el artículo 23 establece un proceso en etapas para la comunicación de incidentes significativos.
Para los líderes de la industria energética, esto significa más que recibir informes periódicos sobre vulnerabilidades, herramientas o actividades completadas. La gestión necesita una visibilidad suficiente para comprender qué servicios esenciales tienen la mayor repercusión si se ven afectados, qué tecnología y proveedores determinan su funcionamiento, qué nivel de degradación del servicio es aceptable, qué supuestos se han probado y qué exposición residual queda.
El reloj de notificación de incidentes refuerza el mismo punto. Un incidente significativo puede requerir una alerta temprana dentro de las 24 horas posteriores a la detección, una notificación del incidente dentro de las 72 horas y un informe final generalmente dentro de un mes. Durante un incidente, la dirección no puede empezar descubriendo quién es el responsable de la decisión, qué servicio está afectado o dónde se encuentran los datos. Ese trabajo debe realizarse antes de que comience el reloj. Lea nuestro artículo NIS2 for energy leaders para obtener más información sobre este tema.
NIS2 establece el nivel básico de regulación. El desafío operativo va más allá. Una política puede seguir siendo vigente mientras que una integración de sistemas cambia. Una evaluación de proveedores puede seguir siendo válida mientras el proveedor cambia a su subcontratista. Una prueba de penetración puede seguir siendo válida mientras la aplicación, el modelo de identidad o el servicio expuesto cambian. Un procedimiento de recuperación puede seguir siendo aprobado mientras el entorno de producción evoluciona.
El objetivo de la dirección no es una declaración permanente de resiliencia. Se trata de la capacidad de mantener una visión justificada de la resiliencia a medida que cambia el servicio.
La confianza se desvanece primero en las interfaces
Los riesgos más difíciles a menudo no se encuentran en una sola parte. Aparecen en las relaciones entre las plataformas, los equipos, los proveedores y los estados de servicio.
Puede estar disponible una plataforma en la nube, pero la aplicación operativa no puede autenticar. Un activo OT puede estar funcionando, pero los equipos de campo no pueden acceder a la información necesaria para intervenir de forma segura. Una versión de software puede pasar las pruebas funcionales, pero se comporta de manera inesperada con una configuración específica del proveedor. El proveedor puede restablecer su servicio, pero la organización no puede reconciliar transacciones, estado operativo o datos retrasados. Un control de seguridad puede contener una sospecha de vulnerabilidad, pero eliminar la ruta de acceso necesaria para la recuperación.
Son fallas en la interfaz. También son los lugares donde la garantía fragmentada es más débil.
Las evaluaciones de seguridad, las pruebas de software, las revisiones de proveedores y los ejercicios de continuidad suelen ser contratados por separado. Cada una de ellas aporta información útil. Pero si esa información no se vincula a la prestación del servicio esencial, podría no responder a las decisiones que la dirección realmente necesita tomar.
Por lo tanto, el límite de confianza debería seguir el resultado del servicio y su consecuencia de fallo, y no el organigrama ni el modelo de propiedad tecnológica. Esto significa preguntarse si las pruebas en materia de software, identidad, nube, comunicaciones, proveedores, OT, operación degradada y recuperación respaldan una visión defensable del servicio completo.
La confianza en los componentes puede ser alta mientras que la confianza en el servicio sigue siendo débil.
El cambio, los proveedores y la recuperación son los puntos en los que más a menudo se pierde la confianza.
El cambio del software puede mejorar el servicio y debilitar las pruebas anteriores
Las organizaciones de energía dependen cada vez más de software para operar las plataformas de redes y activos, procesar los datos de los medidores inteligentes, gestionar los servicios al cliente, ofrecer flexibilidad y conectarse a los entornos de mercado y liquidación. Ese software debe seguir cambiando. La respuesta equivocada es tratar la resiliencia como una razón para ralentizar todos los programas. La respuesta más adecuada es hacer que la evidencia avance al ritmo del cambio.
La ingeniería de calidad, la automatización y el DevSecOps pueden hacer que la verificación sea más rápida y repetible, pero la automatización es un facilitador más bien que el resultado final. El valor estratégico radica en una decisión más defensiva sobre si el cambio debe continuar, si debe realizarse dentro de un marco limitado, si debe retrasarse o si debe ser rediseñado.
La garantía del proveedor debe ir más allá de los cuestionarios
Los servicios de energía pueden depender de los fabricantes de equipos originales (OEM), las plataformas en la nube, los proveedores de telecomunicaciones, los proveedores de software, los integradores de sistemas, los contratistas de campo y los socios especializados en apoyo operativo. Las certificaciones, los contratos y los cuestionarios siguen siendo útiles. No necesariamente demuestran si la implementación específica de la organización puede continuar o recuperarse dentro de los parámetros tolerables.
La pregunta más importante no es si el proveedor completó el proceso; sino qué evidencia muestra que el proveedor no se convertirá en el cuello de botella de la organización en lo que respecta a interrupciones, información o recuperación.
La recuperación no está completa cuando la tecnología vuelve a funcionar.
Una copia de seguridad exitosa no prueba que un servicio pueda recuperarse. Una plataforma restaurada no prueba que los datos, las transacciones, el estado de los activos y los servicios de los proveedores sean consistentes. Un sistema técnicamente disponible aún puede ser operacionalmente poco confiable. Los líderes de la energía necesitan evidencia de una operación segura en caso de fallo, una secuencia de restauración, acceso, coordinación con los proveedores, integridad de los datos, reconciliación de estados y aceptación operacional.
¿Los datos combinados respaldan la decisión de servicio siguiente?
La confianza continua no significa probar constantemente todo.
Significa saber qué cambios deberían hacer que se replantee la confianza, y actualizar la evidencia antes de que la incertidumbre se convierta en una exposición operativa real.
La garantía anual captura un momento en el tiempo. El entorno comienza a cambiar casi de inmediato. Una liberación de materiales, la transición de proveedores, un cambio en la arquitectura, un incidente grave, un ejercicio de recuperación fallido o la caducidad de los documentos de garantía pueden alterar las condiciones en las que se basaba la declaración anterior de confianza.
El modelo es continuo porque el entorno operativo lo es también: no porque cada actividad de garantía se ejecute constantemente.
La regla práctica es volver a evaluar la confianza cuando el servicio, sus dependencias o la evidencia cambian de manera significativa. Una versión de software puede desencadenar una validación de calidad y seguridad dirigida. Un nuevo proveedor puede desencadenar una revisión de acceso, dependencias y recuperación. Un cambio en la arquitectura puede desencadenar pruebas de penetración o evaluaciones OT. Un incidente puede requerir que se vuelvan a validar supuestos y controles compensatorios, en lugar de documentarlos simplemente como cerrados.
Esto crea un ritmo operativo más útil para los líderes estratégicos. La junta directiva no necesita una corriente constante de detalles técnicos. Necesita una visión actual de lo que ya está demostrado, de lo que ha cambiado, de lo que sigue siendo incierto, de qué riesgos se han aceptado y de cuándo se actualizará la información de forma periódica.
El cumplimiento es un punto de referencia. La resiliencia operativa es una condición en constante evolución. La evidencia que lo respalda tiene un plazo de validez.
La pregunta no es solo quién puede ayudar a restablecer la confianza hoy en día. Es también quién puede ayudar a mantener actualizados los datos sobre la resiliencia durante los próximos cinco años de cambio en el sistema energético.
La brecha de resiliencia se abre entre las auditorías. La confianza continua es la forma en que los líderes energéticos la cierran.
