Hablamos con Manuel Algualcil Payán, CISO en Isotrol, sobre los sistemas y servicios TI y del sector energético, entre otros.
CyberSecurity News (CSN): ¿Podría, brevemente, contarnos cuál ha sido su trayectoria hasta llegar a ser CISO de Isotrol?
Manuel Alguacil (MA): Bueno, resumiendo mucho, y habiendo pasado por casi cualquier puesto dentro de las infraestructuras TIC, he sido administrador de sistemas, auditor, consultor, jefe de proyectos, donde tuve la ocasión de liderar un equipo de ciberseguridad, director de una división de sistemas con un área de ciberseguridad, y ahora se me abre la oportunidad de responsabilizarme al más alto nivel de la ciberseguridad dentro de Isotrol.
CSN: ¿Por qué decidió meterse en el sector de la ciberseguridad?
MA: Prácticamente desde que comencé a trabajar en el mundo de los sistemas físicos y tuve ocasión de poder ver de cerca cómo proteger los sistemas, analizar las redes, bastionar servidores, etc. supe que esto era algo importante y algún día se reconocería la importancia que realmente tiene. Y a día de hoy, viendo cómo ha evolucionado el mundo del cibercrimen en los últimos años y cómo el mercado está respondiendo, está claro que hemos llegado a ese punto.
CSN: En Isotrol tienen un enfoque más general debido a su sector. Tienen sistemas y servicios puramente TI y otros completamente orientados al sector energético. ¿cuáles son las necesidades en ciberseguridad coincidentes entre ambos sistemas y servicios? ¿Y los distintos?
MA: En el mundo más puramente ICT, donde la estructura desde el Data Center hasta la capa más alta dentro del stack tecnológico está muy clara y bien definida, la ciberseguridad ha ido evolucionando y adaptándose con el paso del tiempo. Ha sido un matrimonio a medida y con un plazo de adopción muy amplio, sobre todo comparado con las redes OT.
En el mundo industrial, donde la necesidad principal viene determinada por la operatividad, y donde las redes han sido tradicionalmente OT, la ciberseguridad no ha sido una prioridad. Desde el momento en que se descubre cómo la comunión IT / OT favorece los tiempos de ejecución, la gestión, etc. es cuando las redes industriales se empiezan a transformar y a acercarse más a las redes IT, beneficiándose de sus ventajas, pero a la vez siendo afectadas por sus inconvenientes, como los ciberataques.
También en las redes industriales encontramos necesidades comunes que en las redes ICT no suelen ser tan exigentes, como los sistemas tolerantes a fallos, frente a la Alta Disponibilidad de los sistemas ICT. Y por si fuera poco, todo ello en escenarios remotos, como las plantas eólicas o fotovoltaicas, donde no hay acceso a Internet, pero sin embargo hay que mantener actualizados todos los sistemas, a nivel de Sistema Operativo, firmwares, middleware, etc.
CSN: Y en cuanto a los requisitos, ¿cuáles coinciden y en qué se diferencian?
MA: En un escenario ciberseguro, hay muchos factores que son idénticos, ya que en cierto modo la normativa regulatoria en ciberseguridad de entornos industriales está basada en estándares internacionales de ciberseguridad ya consolidados, por lo que fácil encontrar medidas comunes, como las políticas del menor privilegio, en control y la gestión de la autenticación y autorización, el minimizado de la superficie de exposición, y muchos más.
Sin embargo, los entornos industriales requieren también medidas específicas del sector, que vincula la ciberseguridad, por ejemplo, con protocolos de comunicación puramente industriales, como Modbus, IEC 104, etc. usados por elementos industriales como aerogeneradores, inversores, etc…
CSN: ¿Cuál es el nivel de investigación en tecnologías de ciberseguridad que se requiere para el despliegue de una red eléctrica más segura?
MA: A día de hoy en el área de la ciberseguridad ya vemos cómo las nuevas tecnologías se han abierto paso, dotándola de un mayor control y proactividad. En este sentido, las redes industriales son más seguras gracias a los sistemas de detección de intrusiones avanzados, por ejemplo, donde debido a lo estático y predecible del comportamiento de la red industrial, y haciendo uso de heurísticas específicas para ello, correlación de eventos, etc,., podemos detectar ataques sobre la marcha que antes podrían haber ocurrido y no enterarte hasta que fuese muy tarde.
Como próximos pasos, seguramente se acabará adoptando técnicas de IA como Machine Learning e incluso Deep Learning, que permitirá dotar de reactividad inmediata en la planta ante la detección de un ciberataque.
CSN: El objetivo principal de un proyecto de seguridad cibernética para una red eléctrica es dotarla de un mayor grado de seguridad, investigando y desarrollando nuevos conocimientos en el campo de la ciberseguridad. ¿Qué se pretende obtener una vez conseguido el objetivo?
MA: Siendo totalmente claros en este respecto, la seguridad absoluta no existe ni se puede garantizar. Todos los esfuerzos relacionados con la ciberseguridad se centran en conocer cómo actúa el ciberatacante, cuál es su perfil, qué busca y, finalmente, cortar los accesos, vulnerabilidades, etc. Por lo que al final de todo este proceso podemos decir que lo que se busca es desalentar a un posible cibercriminal de atacar nuestra planta por lo extremadamente complejo que le resultaría poder llegar a obtener algún beneficio.
CSN: Las infraestructuras energéticas buscan ofrecer un suministro de energía continuo e ininterrumpido, y esto sólo puede lograrse si la cadena energética, desde la generación al suministro, funciona apropiadamente y de forma segura. ¿Cuáles son las bases en el sector energético para mantenerse protegidos del cibercrimen?
MA: Como decía anteriormente la protección absoluta no se puede garantizar, sin embargo, años de experiencia defendiéndonos de los ciberataques nos han hecho ser cada vez mejores detectándolos y protegiéndonos de ellos. Hay mucha normativa internacional ICT que se puede implementar, como por ejemplo ISO 27.001, NIST Cybersecurity Framework, COBIT, etc., y específica del sector, como IEC 62443, NERC CIP, ….
Lo más importante es saber dónde estamos y qué normativa se ajusta mejor a nuestras necesidades. Una vez identificada, hay que aplicarla escrupulosamente y ser muy constante en las revisiones y actualizaciones tanto de la documentación como del parque informático. Y por supuesto, la parte más importante hoy en día creo que es la concienciación. Por desgracia, lo que más daño está haciendo en general son las técnicas como el Phishing, la ingeniería social, los emails con malware adjunto… Técnicas que sólo pueden ser combatidas con una mejor formación en ciberseguridad de las personas.
CSN: Por otro lado, en el caso de los sistemas y servicios TI, ¿qué fundamentos requiere para no verse vulnerable ante los cibercriminales?
MA: Dentro de una planta de generación de energía, los sistemas de información TI se ven afectados de la misma manera que los que se encuentran alojados en Data Centers. Tal vez algo más aislados, pero con las mismas vulnerabilidades. Por lo que los procedimientos para identificarlos, detectar vulnerabilidades, protegerlos, etc. son los mismos que los de una infraestructura TIC habitual.
CSN: Es un hecho que la digitalización acelera la exposición a ciberriesgos, ¿cómo ha afectado la pandemia de la Covid-19 en el sector de los servicios y la tecnología de la información?
MA: Nuestra actividad no se ha visto frenada por la COVID, es más, esta situación la ha reforzado. El coronavirus ha obligado a acelerar los procesos de digitalización y telecontrol que buscaban la mejora de la eficiencia en la operación de las plantas. En los últimos años nuestros clientes ya nos venían solicitando nuevas herramientas para optimizar sus procesos, reducir los costes operativos e incrementar la eficiencia de sus plantas. La pandemia ha provocado que esta tendencia natural en el proceso de maduración del sector se vea acelerada por las dificultades a la hora de realizar actividades de manera presencial. Esta crisis ha acelerado los cambios en los que ya estábamos trabajando, reduciendo los tiempos de implantación y puesta en marcha de las nuevas herramientas para el telecontrol y gestión remota de los activos renovables.
CSN: Por último, como experto en ciberseguridad, ¿cuáles cree que son los consejos que todos debemos seguir para obtener una óptima seguridad cibernética?
MA: Como decía antes, la concienciación es vital en la lucha contra la ciberdelincuencia. A través de los usuarios se están logrando completar ataques que de otra forma serían prácticamente imposibles. Por ello, nuestros usuarios y colaboradores deben estar en constante renovación de los asuntos de ciberseguridad a los que todos estamos expuestos. Correos sospechosos, direcciones IP en lugar de URLs, llamadas telefónicas solicitando datos corporativos, etc. Todas ellas deben convertirse en señales de alerta y debemos contactar rápidamente con nuestro departamento de ciberseguridad o de TI.
