El agua es vida. Por eso es un objetivo.

Publicado de nuevo con permiso de Focus Malaysia.

Al abrir un grifo, esperamos que salga agua limpia agua. Encendemos una luz y esperamos electricidad. Cogemos el teléfono y esperamos tener cobertura. Las infraestructuras críticas son invisibles cuando funcionan. Cuando fallan, las consecuencias son inmediatas, humanas y costosas.

Los gobiernos y los sectores de importancia crítica, incluso en Malasia, reconocen que la resiliencia cibernética ya no se limita únicamente a la defensa de las redes.

Soluciones de seguridad para infraestructuras

Se trata de proteger los sistemas físicos que mantienen en funcionamiento la economía digital.

Esa realidad quedó patente recientemente cuando más de 30 sistemas de abastecimiento de agua de todo Minnesota se vieron, según se informa, afectados por un ciberataque coordinado dirigido contra la tecnología operativa.

Los atacantes modificaron los ajustes y las contraseñas, lo que provocó una pérdida de presión e inundaciones, mientras que algunas instalaciones pasaron a funcionar en modo manual.

Los ataques dieron lugar a unas directrices de Five Eyes en el marco de CI Fortify, en las que se aconsejaba a los operadores que prepararan los sistemas vitales para aislarlos de las redes conectadas.

El mensaje es claro: la resiliencia no consiste únicamente en prevenir las brechas de seguridad, sino en la capacidad de seguir funcionando a pesar de ellas.

En el caso de Malasia, la lección no es que un incidente similar sea inevitable, sino que los servicios esenciales se enfrentan a un reto común en materia de resiliencia: cómo seguir funcionando cuando los sistemas de control digitales, los canales de comunicación o las redes de confianza se ven mermadas.

El agua se está convirtiendo en un objetivo estratégico

Los ataques en EE. UU. no son casos aislados. Las infraestructuras hidráulicas han sido objeto de ataques en Dinamarca, Polonia y Francia, mientras que las autoridades han advertido de posibles ataques contra los sistemas de control industrial en los sectores del agua, la energía y la industria manufacturera.

Malasia es consciente de estos riesgos. CyberSecurity Malaysia ha señalado amenazas a los entornos de tecnología operativa (OT), entre los que se incluyen el tratamiento de aguas, las redes eléctricas y otros servicios críticos.

MyCERT y la Agencia Nacional de Ciberseguridad de Malasia (NACSA) también han advertido de ataques dirigidos a operadores de sistemas de abastecimiento de agua y de tratamiento de aguas residuales, citando entornos de tecnología operativa (OT) expuestos a Internet, infraestructuras obsoletas, credenciales predeterminadas y un mantenimiento insuficiente.

El atractivo del agua como objetivo es evidente. Si se interrumpe el suministro, los hogares se quedan sin agua potable, los hospitales se ven sometidos a una gran presión, las empresas sufren interrupciones y las comunidades notan las consecuencias casi de inmediato.

El agua es más que un servicio público. Es vida, y forma parte de la infraestructura que impulsa el futuro digital e industrial de Malasia.

Constituye la base de gran parte de la economía real de Malasia, desde las cadenas de suministro de semiconductores y del sector manufacturero hasta la transformación de cultivos y caucho, la industria petroquímica, la pesca y la energía hidroeléctrica de Sarawak.

La dimensión de la IA

La inteligencia artificial se está convirtiendo también en un indicador de la competitividad económica y la capacidad nacional. 

Las ambiciones de Malasia en materia de inteligencia artificial para 2030 cuentan con el respaldo de una importante inversión en infraestructura digital y centros de datos. Sin embargo, la inteligencia artificial se sustenta, en última instancia, en fundamentos muy físicos.

Los centros de datos necesitan electricidad. Las redes eléctricas dependen de las comunicaciones.

Las comunicaciones dependen de la infraestructura digital. Y a medida que aumentan las cargas de trabajo de IA, todo el ecosistema depende cada vez más del agua para la refrigeración.

Los centros de datos modernos requieren una refrigeración considerable, lo que convierte el suministro fiable de agua en un factor estratégico para el crecimiento digital.

Puede que la inversión extranjera esté impulsando la visión de Malasia para 2030, pero ese impulso depende de que las infraestructuras funcionen de forma fiable las 24 horas del día.

El Gobierno de Malasia ha previsto que los centros de datos de Selangor, Johor y Negeri Sembilan podrían necesitar más de 445 millones de litros de agua al día a finales de esta década.

Esto establece un vínculo directo entre la seguridad hídrica, la ciberseguridad, la seguridad económica y, en última instancia, la seguridad nacional. 

El efecto dominó: atacar desde el origen

Los atacantes saben que, a menudo, la vía más directa para provocar una interrupción pasa por las fases iniciales del proceso. No necesitan acceder directamente a un centro de datos si pueden interrumpir un servicio esencial del que este depende.

Para los atacantes, la electricidad, el agua y las telecomunicaciones se han convertido en puntos estratégicos de presión.

Si se produce una interrupción en uno de ellos, las consecuencias pueden extenderse rápidamente a la coordinación de emergencias, los hospitales, la industria manufacturera y la infraestructura digital.

La Ley de Ciberseguridad de Malasia de 2024 (Ley 854) reconoce 11 sectores de infraestructuras de información críticas a nivel nacional, entre los que se incluyen el agua, la energía, la sanidad, el transporte y las infraestructuras digitales.

 Su protección también debe considerarse como un todo interconectado. A medida que se acelera la adopción de la IA, proteger la infraestructura de origen resulta esencial para proteger los servicios digitales que se prestan a continuación.

La preparación debe partir de la base no solo de que los sistemas pueden ser objeto de ataques, sino también de que algunos pueden verse comprometidos.

Prepararse para el compromiso

La principal responsabilidad de todo operador de infraestructuras críticas sigue siendo hacer que los sistemas sean más difíciles de vulnerar. La visibilidad de los activos, la autenticación sólida, la segmentación de la red, la gestión de vulnerabilidades, las copias de seguridad protegidas y los procesos de recuperación probados siguen siendo fundamentales.

Pero la resiliencia requiere algo más que prevención. Los operadores deberían plantearse una pregunta más difícil: Si mañana nuestros sistemas principales se vieran comprometidos, ¿podría el equipo directivo seguir dirigiendo y ccomunicarse y coordinar una respuesta de forma segura?

Los incidentes graves requieren decisiones rápidas en las que deben participar directivos, ingenieros, autoridades reguladoras, servicios de emergencia y socios externos.

Sin embargo, es posible que los canales habituales de coordinación no estén disponibles, se hayan visto comprometidos o no sean fiables.

Es aquí donde las comunicaciones fiables e independientes se vuelven esenciales. La coordinación no puede detenerse simplemente porque los sistemas habituales dejen de funcionar.

Malasia ya cuenta con unas bases sólidas. La seguridad cibernética de Seguridad Cibernética (Ley 854) establece las responsabilidades de los operadores de la NCII, mientras que los mecanismos nacionales de gestión de crisis cibernéticas proporcionan un marco para hacer frente a incidentes graves.

El siguiente paso consiste en garantizar que la planificación de la resiliencia vaya más allá de la recuperación tecnológica y abarque la continuidad operativa.

Los simulacros deben poner a prueba no solo la capacidad de restablecer los sistemas, sino también la capacidad de los responsables para comunicarse de forma segura, verificar identidades, coordinarse más allá de los límites de la organización y mantener un proceso de toma de decisiones fiable a lo largo de toda la crisis.

Garantizar la seguridad de los sistemas que sustentan el futuro digital de Malasia

A medida que Malasia construye una economía impulsada por la inteligencia artificial, la computación en la nube, la fabricación avanzada y la capacidad digital soberana, la protección de los sistemas físicos que sustentan ese futuro se convierte en una cuestión de imperativo .