La ciberseguridad de las centrales nucleares brilla por su ausencia

Uno de los grandes problemas a los que se afrontan las empresas son los ciberataques, y uno de los sectores que no se libra de ellos es el energético, y más en concreto el eléctrico, sobre todo en las centrales nucleares. ¿Son seguras las centrales nucleares? Desde el punto de vista de la instalación, desde el accidente de Fukushima ha cambiado bastante el panorama. Ha aumentado muchísimo la seguridad, pero el funcionamiento de una central nuclear tiene otros enemigos que no son tan visibles y que como la mayoría no suelen avisar. Hablamos de los ciberataques.

Internet está lleno de bichos, de gusanos, de virus que destrozan todo lo que se ponga por delante, incluso los sistemas más infranqueables que se puedan desarrollar. Cualquier sistema de seguridad puede ser vulnerado. No hay nada perfecto, pero lo mínimo que se puede exigir a determinados organismos, empresas o instituciones es que pongan todo su esfuerzo por evitar males mayores, y más si estamos hablando de centrales nucleares que pueden dañar, por no decir quitar, la vida a millones de personas.

El think tank británico The Chatham House ha elaborado un informe en el que asegura que la gran mayoría de las centrales nucleares del mundo no están preparadas para protegerse de ciberataques.  El estudio, realizado durante 18 meses, se denomina _Seguridad Cibernética en las instalaciones nucleares civiles: La comprensión de los riesgos. _En él se pone en evidencia que gran parte de las centrales nucleares del mundo, sobre todo de Reino Unido y EEUU (pero de las que tampoco salen bien paradas las de países como Japón, Corea del Sur, Francia o Rusia).

El informe resalta que los operadores de las plantas nucleares se centran principalmente en la seguridad operacional y la seguridad de la infraestructura física de la central. Para el think tank estamos ante una "cultura de la negación" sobre la ciberseguridad en el mundo, que la industria nuclear apenas ha comenzado a tratar.

Pero, ¿por qué las compañías eléctricas no apuestan por protegerse de estos ataques cuando están al orden del día? EEUU y las grandes potencias mundiales aseguran que uno de los mayores retos es protección de los ciberataques. Internet se puede convertir en un arma de destrucción masiva y buena parte de la sociedad no se da cuenta de ello.

Los autores del informe destacan que " "incluso un incidente de seguridad cibernética a pequeña escala en una instalación nuclear sería más que probable que tenga un efecto desproporcionado sobre la opinión pública y el futuro de la industria nuclear civil". No le falta razón. Un ataque de estos puede ser la gota que colme el vaso de una industria que desde Chernóbil vive continuamente en un alambre a mil metros de altura.

Este martes publicaba el diario El País este informe y recogía declaraciones de expertos españoles en la materia. Por ejemplo, el Consejo de Seguridad Nuclear de España ha señalado al diario que ningún sistema de las centrales españolas está conectado a Internet. Además, no ha facilitado información de posibles ciberataques contra estas instalaciones. Pero, ¿no estar en Internet es sinónimo de seguridad? Ni mucho menos.

El mejor ejemplo lo cuenta el propio El País. Un gusano informático, Stuxnet, se introdujo —probablemente a través de un pendrive— en dos centrales iraníes en 2010 y en una rusa, y logró infectar sus sistemas. Dicen los expertos que este ataque pudo haber provocado una catástrofe como la de Chernóbil. ¿Se lo imaginan? Por un simple pendrive lo que puede suceder.

La gran mayoría de las centrales que están conectadas a Internet, o que tienen sus sistemas integrados en la red poseen sistemas de seguridad basados en redes virtuales privadas. Peroesto no es suficiente. Para el experto en ciberseguridad Arturo Ribagorda, catedrático de la Universidad Carlos III de Madrid, las redes privadas no ofrecen garantías suficientes de protección: "Al fin y al cabo están conectadas a Internet y, por tanto, muestran también vulnerabilidades; permiten introducir, por ejemplo, información maliciosa", ha señalado. Por fortuna, es preciso disponer de conocimientos "muy sofisticados" para burlar estos sistemas, que suelen ser específicos para cada central.

Es cierto que no todo el mundo tiene los conocimientos necesarios para realizar ciberataques tan complejos, pero existen saboteadores. Entonces ¿por qué existen tantos ciberataques? Solo hay que leer un poco los periódicos y las páginas web para darse cuenta. El ciberataque a Sony, a la CIA con todos sus cables por las embajadas de medio mundo, o los que sufren a menudo Facebook u otras empresas de internet. Nadie se libra de ello. Y las centrales nucleares son a día de hoy un blanco fácil porque no se han puesto los remedios necesarios.

The Chatham House ha elaborado una serie de recomendaciones para que los operadores eléctricos tomen medidas efectivas contra los ciberataques. Entre ellas destacan la elaboración de directrices de seguridad cibernética para la industria nuclear, incluyendo un proceso de evaluación integral del riesgo que tenga en cuenta tanto las medidas de seguridad y protección; la sensibilización por parte de los ingenieros, contratistas y gerentes de las plantas; hacer cumplir las normas de aplicación y ciberseguridad; y alentar la adopción universal de las normas reglamentarias.

A día de hoy, dice el informe, “existe una guía, que aplican los países pertenecientes a la Agencia Internacional de Energía Atómica (AIEA), pero es muy básica y, además, no es vinculante”. Ya es hora de que las empresas tomen cartas en el asunto.