Se pide a los operadores de infraestructuras críticas que se preparen para una realidad más dura: es posible que la red no sea fiable durante el incidente que se supone que debe ayudar a resolver.

Ve el seminario web bajo demanda: Lo que CI Fortify no dice sobre las comunicaciones

Esa es la premisa en la que se basa CI Fortify, la guía conjunta elaborada por la CISA, el Centro Australiano de Ciberseguridad de la Dirección de Señales de Australia, el FBI y socios internacionales, entre los que se incluyen el Centro de Ciberseguridad del Reino Unido, el Centro Canadiense de Ciberseguridad y los centros de seguridad nacional de Nueva Zelanda. La guía se centra en aislar la tecnología operativa vital y los sistemas que la sustentan, de modo que los servicios esenciales puedan seguir funcionando durante una crisis.

El objetivo técnico es acertado. Sin embargo, plantea una cuestión operativa que toda organización de infraestructuras críticas debe resolver antes de que se produzca el próximo incidente: una vez que la red quede cortada, ¿cómo se comunicarán las personas encargadas de la respuesta?

El aislamiento modifica el problema de la comunicación

Durante el funcionamiento normal, las comunicaciones suelen discurrir por redes empresariales, herramientas de colaboración en la nube, redes de operadores o rutas públicas de Internet. Durante un ciberincidente, esos canales pueden estar indisponibles, saturados, comprometidos o desconectados intencionadamente.

Esto significa que el plan de contingencia no puede consistir en «utilizar los teléfonos personales» o «recurrir a una aplicación de mensajería para particulares». Esas herramientas pueden estar fuera del control de la organización, presentar deficiencias en cuanto a la auditabilidad, depender de las mismas redes con prestaciones reducidas o ser incapaces de proporcionar las pruebas necesarias tras el incidente.

«"Usar los teléfonos personales" o "cambiar a una aplicación de mensajería para particulares" no puede ser el plan de contingencia». — Ramón Pinero, vicepresidente y director general, BlackBerry AtHoc

«Fuera de banda» significa algo más que una ruta independiente

Una vía de comunicación fuera de banda debe ser independiente de los sistemas que se van a aislar. Debe ser fiable y haberse probado antes de que se produzca el incidente. Debe seguir funcionando en condiciones adversas, no solo en un ejercicio teórico sin complicaciones, y debe permitir llevar a cabo las funciones de las que depende la respuesta: alerta, acuse de recibo, retirada, coordinación segura y presentación de informes. 

Esto es importante para tu organización porque los equipos de respuesta suelen ser reducidos. Una empresa de servicios públicos, por ejemplo, puede contar solo con unas pocas personas que conozcan la central, comprendan el entorno de control y sean capaces de tomar las decisiones operativas adecuadas bajo presión. Si no se puede contactar con esas personas ni coordinarlas, el aislamiento técnico no garantizará la resiliencia operativa.

La importancia del registro de coordinación

En la actualidad, la resiliencia se mide a posteriori. Es posible que los organismos reguladores, las administraciones públicas, los consejos de administración y las comunidades necesiten saber a quién se notificó, quién respondió, qué medidas se tomaron y cuándo se comunicaron las actualizaciones cruciales. Una plataforma de comunicación diseñada únicamente para alcanzar a la población, pero no para aportar pruebas, dejará un vacío cuando se examine el historial de tu respuesta.

Las comunicaciones fuera de banda deben financiarse y someterse a pruebas como parte de todo plan de resiliencia. Son fundamentales para la transmisión de órdenes, la rendición de cuentas del personal, la coordinación sobre el terreno y la presentación de informes externos cuando no se puede confiar en la infraestructura habitual. No se trata de una función meramente opcional.

Prepáralo antes de que se produzca el incidente

La prueba práctica es sencilla: ¿puede tu equipo seguir coordinándose internamente y con socios externos una vez que la red quede aislada? Si la respuesta es «no estoy seguro», has detectado una brecha en la resiliencia.

Para subsanar esa carencia, es necesario establecer un canal fuera de banda de confianza, validar los dispositivos críticos para la respuesta, confirmar la entrega y el acuse de recibo de las alertas, y ensayar el proceso con la misma seriedad que se aplica al aislamiento técnico. Un plan de aislamiento que no permita las comunicaciones es incompleto. Tu organización necesita ambas cosas: sistemas que puedan seguir funcionando y personas que puedan seguir coordinándose.

Cuando la tecnología operativa deja de estar conectada, la coordinación se ve imposibilitada

Los recientes ciberataques contra empresas de suministro de agua de EE. UU. han supuesto una dura llamada de atención. Las redes de tecnología operativa (OT) de las infraestructuras críticas son objetivos prioritarios para los autores de las amenazas, y el riesgo ya no es meramente teórico. Por eso, el aviso «CI Fortify» de la CISA, publicado el 28 de julio, es una directriz clara: hay que prepararse desde hoy mismo para aislar los sistemas OT vitales y mantener las operaciones esenciales.

Más información: Visita el Centro de recursos de BlackBerry CI Fortify