Cómo las comunicaciones resilientes facilitan la continuidad operativa para el sector energético y de servicios públicos

Los ciberataques contra empresas energéticas y de servicios públicos están aumentando tanto en frecuencia como en sofisticación, y los informes revelan un incremento interanual del 80 % en los ataques dirigidos al sector. Si bien estos ataques suponen una amenaza directa para todo el sector energético, su impacto va más allá y afecta a la seguridad pública y nacional. Al dar prioridad a las comunicaciones seguras, resilientes y críticas para la misión, el sector energético y de servicios públicos puede ayudar a proteger su infraestructura, proporcionar un servicio ininterrumpido y alimentar el futuro con confianza.

La conversación debe ir más allá de por qué la seguridad es una necesidad urgente y centrarse en cómo desarrollar la resiliencia que ayude a garantizar la continuidad operativa. Cuando se produce inevitablemente un ataque o una brecha, el activo más crítico que limita los daños y determina la velocidad de recuperación es la integridad de la infraestructura de comunicaciones. Esta es la línea vital operativa.

Pilar 1: Identidad y soberanía de la plataforma (la base del modelo Zero Trust)

La verdadera resiliencia no consiste solo en cifrar un mensaje, sino en garantizar quién se está comunicando y asegurar que sea la propia utilidad, y no un tercero, la que controle las claves y las reglas de acceso.

Verificación de identidad criptográfica

Más allá de las contraseñas básicas y la autenticación multifactorial (MFA), las comunicaciones seguras modernas deben adoptar la verificación de identidad criptográfica.  

• El problema que plantea el registro abierto: muchos servicios de mensajería cifrada se basan en modelos de infraestructura de clave pública (PKI) abiertos, en los que cualquiera puede unirse a una conversación privada. Para garantizar la seguridad de las conversaciones de los servicios públicos, todos los usuarios (operadores de salas de control, técnicos de campo, socios) deben autenticarse criptográficamente mediante credenciales emitidas por la organización.

• La solución: Las plataformas de comunicación para servicios públicos deben vincular la identidad digital directamente al sistema interno de una organización (por ejemplo, Active Directory). Esto ayuda a garantizar que los dispositivos comprometidos no puedan suplantar la identidad de los usuarios y obtener acceso a debates críticos o datos operativos. Como resultado, una brecha cibernética no puede escalar hasta convertirse en un fallo de comando y control.

Propiedad de las claves de los clientes y soberanía de los datos

Para gestionar realmente el riesgo y cumplir los estrictos requisitos CIP de la NERC, las empresas de servicios públicos deben ser propietarias de las claves de cifrado, incluso si la plataforma está alojada en la nube.

• Más allá del cifrado de extremo a extremo (E2EE): el E2EE protege el contenido, pero no la plataforma que facilita la interacción. Las plataformas diseñadas para infraestructuras críticas deben poder implementarse en nubes soberanas, controladas por el cliente o gestionadas por entidades soberanas. Esto proporciona a la empresa de servicios públicos el control físico y tecnológico sobre los componentes de la red y las claves de cifrado, de modo que ninguna orden judicial gubernamental ni jurisdicción legal extranjera pueda acceder a sus comunicaciones sin su autorización.

• La solución: Las soluciones de comunicaciones móviles seguras y de alta fiabilidad, como las que ofrece BlackBerry, pueden proporcionar voz, mensajería y uso compartido de archivos certificados y cifrados de extremo a extremo. Esto permite a los equipos de mando y control comunicarse de forma segura sin intercepciones durante un evento de red a gran escala.

Pilar 2. Certificación y validación de alta seguridad

En sectores críticos, la «seguridad» debe demostrarse mediante una evaluación independiente y rigurosa realizada por terceros. Las certificaciones desplazan el foco de atención de las afirmaciones de marketing de los proveedores a la garantía de un organismo regulador independiente.  

Certificación de Criterios Comunes (CC)

Los Criterios Comunes (CC), formalizados como ISO/IEC 15408, son una norma internacional para evaluar productos de seguridad informática. Constituyen el estándar de referencia para muchas implementaciones gubernamentales y de infraestructuras críticas.  

• Perfiles de protección (PP): En EE. UU., la Asociación Nacional para la Seguridad de la Información (NIAP) exige que las evaluaciones se ajusten a los perfiles de protección (PP). Estos perfiles definen los requisitos de seguridad obligatorios para categorías específicas de productos (por ejemplo, dispositivos móviles, VPN), lo que garantiza que el producto se someta a pruebas basadas en un modelo de amenazas realista y consensuado.  

• Nivel de garantía: la certificación CC demuestra la solidez de la seguridad del hardware y el software de un producto, y abarca desde los permisos y el control de acceso hasta la implementación criptográfica (por ejemplo, el cifrado validado por FIPS 140-2).  

Cumplimiento normativo y del marco regulatorio

Mientras que las certificaciones validan la tecnología, los marcos de cumplimiento validan las prácticas y políticas relacionadas con dicha tecnología.

• NERC CIP: En el caso de la energía y los servicios públicos, las normas NERC CIP (Protección de Infraestructuras Críticas) exigen controles específicos en torno a los perímetros de seguridad electrónica, la gestión de los cambios de configuración y la planificación de la respuesta a incidentes para los sistemas cibernéticos del sistema eléctrico mayorista (BES).  

• Marcos del NIST: El Marco de Ciberseguridad (CSF) del NIST y las publicaciones especiales específicas del NIST proporcionan una taxonomía detallada de los resultados de seguridad que guían a las organizaciones en la gestión de sus riesgos cibernéticos, a menudo prescribiendo el uso de controles criptográficos sólidos y PKI para servicios de seguridad como la confidencialidad, la integridad y el no repudio.

La solución

La elección de herramientas certificadas para proteger las comunicaciones de una plantilla móvil amplia, distribuida y altamente regulada, como las de la suite BlackBerry® Secure Communications, ofrece soluciones de cifrado de extremo a extremo, ampliamente certificadas y de nivel gubernamental. Estas herramientas están diseñadas para proteger la información altamente confidencial y mantener la continuidad operativa frente a amenazas a nivel estatal y ciberataques sofisticados.

Pilar 3: Empoderar a la primera línea con herramientas seguras

La continuidad operativa depende en gran medida de las personas que gestionan los activos, tanto en la sala de control como sobre el terreno. Si sus herramientas son vulnerables, se pone en peligro su capacidad para mantener la resiliencia del servicio.

Colaboración segura para mayor rapidez y seguridad

El uso de herramientas de comunicación de consumo, como teléfonos personales y aplicaciones de chat sin cifrar para asuntos oficiales, crea enormes brechas de seguridad y cumplimiento normativo. Una plataforma segura y diseñada específicamente para este fin garantiza que:

• Contiene datos confidenciales: los datos operativos, los diagramas y las conversaciones confidenciales se mantienen en un entorno cifrado y controlado. Esto minimiza la fuga de datos y ayuda a la empresa de servicios públicos a mantener la propiedad y el control sobre su flujo de comunicaciones en tiempo real.

• Respuesta más rápida y segura ante incidentes: durante un corte de energía o un evento físico, la comunicación rápida es clave para restablecer el servicio. Las comunicaciones de voz y mensajería seguras permiten a los equipos compartir telemetría en tiempo real, coordinar al personal y ejecutar planes de recuperación complejos sin temor a que se produzcan interceptaciones o modificaciones. Esto se traduce directamente en tiempos de respuesta más rápidos y una reducción de la duración de los cortes.

La solución

Garantizar la resiliencia operativa durante cualquier incidente es el ámbito de una plataforma Critical Event Management CEM), como la solución BlackBerry® AtHoc®, altamente validada. Estas herramientas integran la notificación de emergencias y la respuesta a incidentes en un marco unificado. Diseñados para ofrecer resiliencia con capacidades nativas de conmutación por error, estos sistemas mantienen la comunicación fluida a través de múltiples canales para alertar al personal, coordinar la recuperación y mantener un registro de auditoría completo para el cumplimiento normativo, incluso si los sistemas principales de la empresa dejan de funcionar.

El camino a seguir: un llamamiento a la acción

El sector de la energía y los servicios públicos está experimentando una transformación digital imparable que es esencial para crear un futuro más sostenible y eficiente. Sin embargo, solo puede tener éxito si se basa en una seguridad inquebrantable con comunicaciones seguras como eje central. Los fallos en las comunicaciones no solo amenazan las operaciones de los servicios públicos, sino también la seguridad pública y la seguridad nacional. La creación de sistemas de comunicación resilientes permite al sector proteger las infraestructuras críticas, mantener el buen funcionamiento de los servicios y avanzar con confianza hacia el futuro.