La distribución eléctrica, la infantería en la batalla de la ciberseguridad en el sector energético

Normas más estrictas y mejor protección. Esta es la nueva estrategia de seguridad cibernética que la UE ha aprobado a finales de junio y donde se abre la puerta a que la Comisión Europea empiece a trabajar en un nuevo 'código de red' que todas las empresas deberán implementar en sus sistemas cuando esté disponible (se espera que entre un año y un año y medio).

Y dentro de esta **Ley de Seguridad Cibernética **se reconoce al sector energético como una de las prioridades para proteger de los ciberataques, no solo porque cada vez está más digitalizado sino porque los incidentes en ciberseguridad pueden poner en peligro la seguridad del suministro de energía o la privacidad de los datos del consumidor. La UE quiere coordinar esfuerzos y diseñar un enfoque más holístico porque es un hecho que los ataques cibernéticos a menudo tienen lugar a través de las fronteras y las respuestas políticas son sobre todo nacionales.

Además, una red eléctrica descentralizada es más vulnerable a los ataques cibernéticos debido a la conexión de múltiples dispositivos inteligentes con medidas de seguridad mucho más bajas que los activos de gran infraestructura tradicional.

Tanto el sector eléctrico como el gasista tienen un gran desafío por delante, porque es un mercado más complejo, ya que al tener que funcionar en tiempo real, puede provocar que las medidas de seguridad típicas, como el cifrado o la autenticación, sean más difíciles. Además, existe el "efecto en cascada" que significa que un potencial apagón de energía podría tener serias consecuencias para otros sectores.

Es lo que han dicho los expertos del Council of European Energy Regulators (CEER), una asociación para la cooperación de los reguladores independientes de energía de Europa, en una jornada celebrada a tal fin, y además advierten que las nuevas tecnologías y los dispositivos inteligentes se están conectando con sistemas que tienen entre 20 y 30 años de antigüedad y no están diseñados para la forma en que se solicita a la red que funcione, lo que facilita la entrada de cualquier software malicioso o el hackeo de los datos.

Además, coinciden en afirmar que los operadores del sistema de distribución serán la infantería para el sector energético en su batalla por la seguridad cibernética, por lo que los reguladores y los gobiernos deben conocer la magnitud del problema y los recursos necesarios para enfrentarlo. Así se refleja en la Recomendación 2019/553 de la Comisión Europea sobre la ciberseguridad en el sector de la energía del pasado 3 de abril de 2019.

“El sistema energético está en transición, se está descarbonizando gracias a una mayor electrificación de los sectores económicos. Al mismo tiempo, se está volviendo más digitalizado y más descentralizado. Y estos tres elementos resaltan, por un lado, la importancia de la seguridad cibernética y, por otro lado, el papel aún más importante de las distribuidoras eléctricas en el futuro. Esto se debe principalmente a que tendrán que lidiar con una superficie de ataque en continua expansión, lo que podría aumentar su vulnerabilidad general a futuros ataques. El informe de seguridad cibernética de CEER 2018 crea conciencia y contribuye al establecimiento de un entendimiento común", explica Ioannis Retsoulis, uno de los participantes en la jornada, según publica Engerati Network,"éstos son factores esenciales para facilitar la aceptación de los gastos necesarios y la asignación de fondos para responder al desafío de la seguridad cibernética".

Las energéticas van a tener que adoptar nuevas medidas lo que va a complicar aún más sus obligaciones. No solo deben asumir los cambios que se produzcan por la transición energética , asumidas o impuestas, como son medidas de eficiencia, de reducción de emisiones o de sostenibilidad climática. También tendrán que implementar los 'códigos de red' para proteger de esos ciberataques, y mientras no olvidar que entre sus obligaciones están los aspectos éticos y de transparencia que los consumidores o los movimientos sociales espera de la responsabilidad social corporativa.

"Se trata de tecnología, pero también se trata de la forma en que trabajamos, los procesos y cómo todo va de la mano. La legislación por sí sola no nos salvará y no mejorará la ciberseguridad en este mundo", dijo Frederik Geerts, de la Comisión Europea durante esa jornada.

Los ciberataques ya se están produciendo. Por ejemplo hay piratas informáticos que utilizan dispositivos inteligentes o dispositivos del Internet de las Cosas como puntos de entrada a sistemas que de otra manera serían seguros, o la infección por malware en Ucrania a través de un_ software_ de contabilidad, o un incidente de 2008 cuando se accedió al sistema de control de un oleoducto a través de una cámara de seguridad... Incluso se ha llegado a robar la información de 40 millones de tarjetas de crédito usando un sistema de aire acondicionado.

Y aunque no hay que dar ideas, Frederico Oliveira Da Silva de la Organización Europea de Consumidores advirtió, también en esa jornada, que si los contadores inteligentes son pirateados, algo tan simple como poner muchos termostatos al máximo nivel podría sobrecargar la red. El gasto en sistemas para combatir los ciberataques es esencial, "si los gobiernos no comprenden la necesidad de la seguridad cibernética y los cambios que implicarán, entonces estaremos en problemas".