Apagón eléctrico: ¿Están protegidas las infraestructuras críticas ante ciberataques?

En los últimos años, hemos asistido al proceso de cómo los ataques informáticos y los ciberdelincuentes han evolucionado de manera espectacular: hemos pasado del hacker adolescente cuya intención era entrar en el Pentágono o la CIA para presumir con sus amigos a un delincuente sofisticado, altamente innovador, que percibe la ciberdelincuencia como una actividad lucrativa de alto rendimiento y que requiere de medios técnicos sofisticados y muy costosos.

Hemos visto nacer las plataformas de hacking al igual que las hay de software o servicios informáticos y hoy la lucha entre los ciberdelincuentes y quienes los persiguen es una carrera de innovación y estamos en el borde de adentrarnos en terra incógnita: el uso por parte de los ciberdelincuentes de la inteligencia artificial generativa. La deep web también tiene su ChatGPT.

"Si el origen del apagón eléctrico de ayer hubiese sido un ataque cibernético por razones políticas o de lucro los escépticos de las guerras híbridas deberían repensarse su escepticismo"

El último paso en este proceso ha sido la irrupción de la ciberdelincuencia por razones políticas por parte de activistas o por razones geopolíticas, mucho más grave, promovida por gobiernos interesados en practicar la guerra por otros medios.

La efectividad y la relación coste/beneficio de un ataque informático a una infraestructura básica es incomparable con la guerra convencional, que tiene que utilizar artefactos muy sofisticados y muy costosos cuyo impacto dañino es mucho menor que el bloqueo de una infraestructura básica en todo un país. Esta delincuencia que tiene su origen, entre otros países, en Rusia, Irán o Corea de Norte, es mucho más difícil de prever por la complejidad de sus motivaciones. Sus consecuencias son mucho más difíciles de reparar porque, al contrario que en los ataques cibernéticos por motivos económicos, no hay nadie dispuesto a dar la solución a cambio de un rescate económico.

Todavía es pronto para conocer los detalles que pueden haber causado el apagón eléctrico de este lunes, pero, si su origen hubiese sido un ataque cibernético por razones políticas o de lucro, los escépticos de las guerras híbridas deberían repensar su escepticismo. Cuando se establecen medidas regulatorias y de gestión por parte de la UE o los gobiernos nacionales, todos deberíamos entender mejor su necesidad, las empresas y los ciudadanos.

La necesidad de que las empresas estén siempre preparadas para una situación de este tipo y sus consejos sean responsables legalmente, por ello se ve claramente en crisis de este tipo. Si no se ha preparado la respuesta resiliente e inmediata a un ataque de gran magnitud (o a una torpeza de un empleado o suministrador), el día en el que se ha sufrido el ataque ya es demasiado tarde para ello.

"La tramitación de la nueva Ley de Ciberseguridad es una gran oportunidad que ni puede ni debe desaprovecharse"

De la misma manera, los gobiernos europeos, y el español entre ellos, deben adecuar no solo su regulación sino sus sistemas de respuesta a la magnitud y sofisticación de los ataques.

Solo desde un mecanismo de sólida coordinación dentro de la Administración y que sea capaz de contribuir a dar una solución técnica y soporte tecnológico a estos incidentes cada vez más complejos, pueden nuestras autoridades estar a la altura del desafío. Cuando una empresa sufre un ataque de esta magnitud, necesita que en la Administración haya un equipo suficiente de personas con experiencia, disponibilidad y conocimientos técnicos suficientes como para contribuir a la rápida solución del problema.

La tramitación de la nueva Ley de Ciberseguridad, que tiene que adaptar, con retraso, la directiva NIS2 al derecho español, es una gran oportunidad que ni puede ni debe desaprovecharse. La Ley de Ciberseguridad incorpora grandes avances para fortalecer la ciberresiliencia de nuestras empresas y un sistema de sanciones para hacerlo efectivo, pero no basta esto para garantizar el nivel de ciberseguridad que merece nuestro país.

Se ha avanzado sustancialmente en los mecanismos de coordinación administrativa de las competencias en materia de ciberseguridad con la creación de un organismo de coordinación, pero quizá este sea el momento oportuno —y todavía estamos a tiempo— para establecer un organismo único que reúna las competencias públicas sobre ciberseguridad al modo del Reino Unido y otros países europeos.