Al gran Stephen Hawking se le atribuye la siguiente frase: "Pienso que los virus informáticos muestran la naturaleza humana: la única forma de vida que hemos creado hasta el momento es puramente destructiva". Quizás sea una exageración, quizás sea una panorámica bien acertada del incierto paradigma de la ciberseguridad en nuestros días. En cualquier caso, esta cita es un reflejo de cómo todo lo que hemos construido en torno a la tecnología está sujeto a la incertidumbre de ser objeto de un ciberataque en cualquier momento.

Un riesgo que se manifiesta en todas las capas y segmentos de actividad posibles, desde las aplicaciones más convencionales (el popular ransomware WannaCry explotó una vulnerabilidad ya parcheada de Windows) hasta los entornos más críticos, como la maquinaria y sistemas industriales.

Así lo cree Natalia Oropeza, Chief CyberSecurity Officer de Siemens: "El mundo digital es un mundo interconectado y basado en el software. Y el software tiene inherentemente vulnerabilidades derivadas de muchas razones. Una de ellas es que está siempre en desarrollo, con lo que nunca existe una versión completamente segura. La segunda es que una vulnerabilidad no deja de ser una parte del software que es usada para otros propósitos que no son para los que fue originalmente diseñado. Para mí, una vulnerabilidad no es sino una función mal usada".

La experta considera que no son pocos los retos que enfrentan las compañías industriales. "Hay muchas motivaciones distintas para los ciberatacantes: desde los que quieren robar dinero a los que quieren arruinar nuestra reputación, pasando por los que usan el software como armas", explica Oropeza, mexicana pero afincada en Alemania, desde donde dirige la estrategia de seguridad informática del gigante Siemens.

"Esa variedad, unida a que todavía falta mucha concienciación sobre los diferentes riesgos, como los financieros, o la creencia de que cada empresa debe afrontar este problema por su cuenta, sin cooperar con otros, es lo que más me preocupa". Razón no le falta: los recursos que una única compañía posee para plantar cara en esta ciberbatalla son limitados, al igual que su conocimiento. De hecho, recuerda la ejecutiva, una organización necesita de media unos 18 meses para darse cuenta de que está siendo atacada. Insostenible modelo en el actual momento que vivimos.

El mundo industrial posee, además, otra característica que lo convierte inherentemente en un caladero de ciberamenazas: su amplia y hasta ahora desprotegida superficie de ataque. "Ya no es solamente por la entrada del internet de las cosas y los dispositivos personales conectados, sino que la propia maquinaria es objeto de ataques. Antes, estos sistemas -como los controladores PLC- estaban completamente aislados, con lo que sus vulnerabilidades no habían sido explotadas. Conforme vamos conectando estas máquinas a plataformas cloud y a otras herramientas, los ciberdelincuentes comienzan a explotar estos agujeros, que deben ser protegidos igual que lo veníamos haciendo con los sistemas TIC al uso".

Aunque la experta no obvia otra complejidad clave que difiere mucho de otros contextos: la gestión de las actualizaciones y los parches: "Es cierto que en una fábrica no podemos tener las ventanas de mantenimiento que vemos en las TIC tradicionales. Las medidas de seguridad se tienen que aplicar con procesos que no interrumpan la operación y la producción, conociendo el ecosistema completo de la industria".

La importancia de los centros regionales

En la estrategia de Siemens, gran parte del peso de la reacción ante ciberamenazas recae en una serie de centros regionales donde se gestionan los ataques de forma próxima y cercana a las empresas que se ven afectadas por ellas. La firma germana confía en estas instalaciones y equipos de trabajo, afirma Natalia Oropeza, con el fin de "detectar cualquier anomalía que exista, responder a los ataques de forma efectiva y hacerlo, además, lo más estrechamente posible con los clientes".

Respuestas que van desde la aplicación de un parche hasta desconectar la maquinaria o el robot de una línea de producción de la Red, pasando por investigaciones más exhaustivas sobre esos potenciales agujeros de seguridad inevitables en el software moderno. Todo gestado en estos centros de primer nivel que ya existen en zonas como Estados Unidos, Europa y Asia pero que Siemens quiere expandir próximamente.

"A principios de 2019 anunciaremos planes concretos para la creación de nuevos centros regionales de ciberseguridad", explica la directiva. "La idea es hacer los centros de detección lo más cercanos posible a las regiones para que en caso de ataque se tenga un punto de contacto en la región con quien trabajar de forma cercana y en el mismo idioma".