Cuando los sistemas fallan: cómo desarrollar la resiliencia antes de una crisis

Hace poco participé en el programa «Asia Pulse» junto a Elliot Danker para abordar una pregunta que todo responsable de infraestructuras críticas debería estar preparado para responder: ¿qué ocurre cuando fallan los sistemas de los que dependes? Hablamos sobre la ciberresiliencia, las comunicaciones seguras, la verificación de identidad, la cooperación transfronteriza y los simulacros de crisis. La conclusión principal fue clara: las organizaciones responsables de servicios esenciales deben ser capaces de seguir funcionando cuando la tecnología habitual no esté disponible o no sea fiable.

Escucha la conversación completa.

Puntos clave para los oyentes

• Planifica partiendo de la hipótesis de que los sistemas críticos fallarán

• Mantén una forma segura e independiente de comunicarte durante un corte de suministro

• Verificar las identidades mediante controles más rigurosos que el reconocimiento de voz o visual

• Aclarar las responsabilidades entre los operadores, los organismos reguladores, los proveedores de telecomunicaciones, la Administración y los equipos tecnológicos

• Prueba situaciones de fallo realistas y utiliza los resultados para mejorar

• Haz que cada alerta sea susceptible de generar una acción y utiliza las respuestas para desarrollar la conciencia situacional

La resiliencia surge cuando falla la prevención

Hace veinte años, la mayoría de los debates sobre ciberseguridad se centraban en impedir el acceso a los atacantes. La prevención sigue siendo importante, pero ya no es suficiente. Los responsables deben partir de la base de que un atacante puede encontrarse ya en el interior, que un sistema de confianza puede dejar de estar disponible o que puede resultarse imposible acceder a información crítica. La resiliencia consiste en mantener el control, garantizar la continuidad de los servicios esenciales y tomar decisiones acertadas una vez que los sistemas o las redes se han visto comprometidos.

La resiliencia se desarrolla mediante la planificación y la práctica. Las organizaciones deben poner a prueba cómo funcionarían sin correo electrónico, sistemas de identidad, telecomunicaciones o redes operativas. Deben determinar qué servicios deben mantenerse, qué decisiones no pueden esperar y quién está autorizado a actuar cuando fallan las cadenas de aprobación.

La recuperación no es lo mismo que la continuidad. Restaurar los sistemas puede llevar horas o días, mientras que los servicios esenciales deben continuar. Una organización resiliente puede funcionar en condiciones limitadas mientras los equipos técnicos controlan el incidente. Esas prioridades deben ser comprendidas más allá del equipo de seguridad.

La comunicación es la primera necesidad

Cuando un hospital, una planta de tratamiento de agua, una empresa de suministro energético o un organismo público sufre una interrupción en sus sistemas principales, las consecuencias van más allá del ámbito informático. Los equipos pueden perder las instrucciones y los responsables pueden verse incapaces de confirmar si los empleados se encuentran a salvo. La organización sigue necesitando una forma fiable de coordinarse, dar instrucciones y conocer la situación.

Las comunicaciones seguras y fuera de banda proporcionan un canal independiente. Un sistema de respaldo que dependa del mismo proveedor de identidad, red o infraestructura puede fallar junto con el sistema principal. Las organizaciones deben identificar estas dependencias y garantizar que los equipos autorizados puedan acceder rápidamente a los sistemas de comunicación de respaldo.

Las organizaciones también necesitan tener control sobre las comunicaciones. Deben saber dónde se almacenan los datos, quién puede acceder a ellos y quién posee las claves de cifrado. Estas cuestiones cobran especial relevancia para los gobiernos y los sectores regulados, en los que la soberanía, la jurisdicción y la rendición de cuentas determinan los requisitos en situaciones de emergencia. El énfasis de Malasia en unas comunicaciones soberanas y seguras plantea la pregunta adecuada : ¿puede una nación confiar en los sistemas de los que depende su seguridad nacional, gestionarlos y controlarlos ?

Un sistema de comunicaciones debe seguir estando disponible sin comprometer la seguridad. Los equipos también necesitan una forma fiable de verificar quién está dando una instrucción. La voz y el vídeo sintéticos pueden resultar convincentes, por lo que la familiaridad ya no es prueba de identidad. Un mensaje urgente que parezca provenir de un alto cargo podría desviar recursos o interrumpir las operaciones. La confianza debe basarse en rigurosos controles técnicos, vías de escalación conocidas y procedimientos claros. Es necesario que las personas sepan cuándo deben detenerse y verificar la información.

La resiliencia es una responsabilidad compartida

A menudo, las responsabilidades entre los sistemas conectados no están claras. A esto lo denomino la «brecha del espacio en blanco». Las comunicaciones atraviesan operadores, proveedores de telecomunicaciones, organismos reguladores, organismos gubernamentales y equipos tecnológicos. Cada grupo puede proteger su entorno, al tiempo que da por sentado que otra parte se encarga de los traspasos o de los procedimientos de emergencia.

Esas brechas salen a la luz cuando varias organizaciones deben actuar al mismo tiempo. ¿Quién emite y verifica una alerta? ¿Quién puede modificar las operaciones? ¿Quién se encarga de la comunicación pública? Una atribución clara de responsabilidades, unos responsables de la toma de decisiones designados y unas vías de escalación probadas reducen los retrasos.

Los incidentes cibernéticos traspasan las fronteras organizativas y nacionales. Las cadenas de suministro, las plataformas en la nube, las redes de telecomunicaciones y la infraestructura compartida crean dependencias que ninguna organización puede gestionar por sí sola.

La cooperación debe comenzar antes de que se produzca una emergencia. Los gobiernos, los operadores de infraestructuras, los organismos reguladores, las universidades, los proveedores de telecomunicaciones y los socios de seguridad necesitan protocolos de actuación comunes, competencias decisorias claras, contactos fiables y simulacros realistas. También necesitan suficiente confianza para intercambiar información relevante rápidamente sin revelar datos sensibles. Los desacuerdos no deben impedir una actuación coordinada cuando los servicios esenciales y la seguridad pública están en peligro.

Practica el fracaso, no la respuesta ideal

Un ejercicio útil consiste en eliminar los sistemas que la gente espera utilizar. Desconecta la red. Desactiva el sistema de alertas. Da por hecho que las telecomunicaciones han fallado. Impide que los responsables clave se incorporen de inmediato. A continuación, exige a los equipos que se coordinen, pasen a operar de forma manual y se comuniquen bajo presión.

Los ejercicios deben poner de manifiesto los puntos débiles mientras los equipos aún puedan subsanarlos. Una notificación fallida, una lista de contactos desactualizada, un proceso de aprobación poco claro o la falta de un procedimiento manual son hallazgos útiles. Asigna un responsable, corrige el problema y vuelve a realizar la prueba. Los ejercicios diseñados únicamente para demostrar que un plan funciona tienen poco valor.

Enviar una alerta es solo el primer paso. La gente necesita instrucciones claras que expliquen qué ha ocurrido, qué hay que hacer y dónde encontrar información actualizada y contrastada. Las advertencias vagas aumentan la incertidumbre.

Los equipos de respuesta también necesitan información sobre el terreno: quién está a salvo, quién necesita ayuda, dónde se han interrumpido las operaciones y adónde deben dirigirse los recursos. Estas actualizaciones ayudan a conocer mejor la situación. La comunicación bidireccional convierte las alertas en una herramienta operativa y ayuda a los responsables a adaptarse a medida que cambian las circunstancias.

La pregunta que toda organización debería plantearse

Toda organización debería plantearse una pregunta sin rodeos: ¿qué haríamos si mañana, a las 2 de la madrugada, todo se quedara a oscuras?

Y luego: ¿A quién se llamaría primero? ¿Cómo se comunicarían los responsables? ¿Qué servicios seguirían funcionando? ¿Podrían los equipos verificar las instrucciones y actuar manualmente?

Si las respuestas no están claras, empieza por los servicios que no pueden fallar. Identifica sus dependencias técnicas y de comunicación, asigna responsables de la toma de decisiones, establece un método independiente de coordinación y prueba el plan.

El plan irá evolucionando a medida que cambien los sistemas, las amenazas y las responsabilidades. Lo importante es empezar antes de que una interrupción obligue a abordar el problema. Cuando los sistemas habituales no estén disponibles, la preparación determinará si los servicios esenciales siguen funcionando.