Ciberseguretat en sectors crítics: reptes, amenaces i defensa

Informatec Digital » Recursos » Ciberseguretat en sectors crítics: reptes, amenaces i defensa

La ciberseguretat en sectors crítics ha esdevingut un dels grans temes de preocupació per a governs i empreses. No és només una qüestió tècnica: de la protecció d'aquestes infraestructures depenen la llum de casa nostra, l'aigua de l'aixeta, els diners que movem diàriament o l'atenció sanitària que rebem. Quan aquests sistemes fallen per un ciberatac, el problema deixa de ser informàtic per convertir-se en un assumpte social, econòmic i fins i tot geopolític.

A Espanya hi ha milers d'instal·lacions considerades infraestructura crítica la interrupció de les quals podria causar un dany molt seriós al país. Alhora, el nombre i la sofisticació dels atacs no deixa de créixer, impulsats per grups criminals, actors estatals i campanyes híbrides que barregen allò digital i allò físic. En aquest context, reforçar la ciberseguretat daquests sectors ja no és opcional: és una prioritat estratègica.

Què entenem per infraestructures crítiques i sectors estratègics

Les infraestructures crítiques són el conjunt d'instal·lacions, xarxes, sistemes, serveis i equips -físics o virtuals- la caiguda dels quals impactaria directament en el funcionament bàsic de l'Estat i en la vida quotidiana de la ciutadania. Parlem d'energia, aigua, transport, sanitat, finances, alimentació, telecomunicacions o serveis públics essencials. La identificació i classificació de vulnerabilitats és clau per prioritzar mesures i recursos en aquests entorns.

A la normativa espanyola, especialment a la Llei 8/2011 de protecció d'infraestructures crítiques , es distingeixen dos conceptes clau: infraestructures estratègiques i infraestructures crítiques. Totes les infraestructures crítiques són estratègiques, però no totes les estratègiques esdevenen crítiques.

Les infraestructures estratègiques abasten un ventall ampli d'instal·lacions i xarxes sobre les quals es recolzen serveis essencials, però que en alguns casos es podrien substituir o compensar amb alternatives. En canvi, una infraestructura es considera crítica quan el seu funcionament és absolutament indispensable i no hi ha una solució substitutiva viable en un termini raonable.

Per tant, una infraestructura crítica és un subconjunt especialment sensible de les infraestructures estratègiques: la seva pertorbació generaria un impacte greu en un o més serveis essencials, comprometent la seguretat, l'economia o el benestar social.

La Llei 8/2011 i el seu desenvolupament normatiu identifiquen com a sectors especialment vulnerables l'administració pública, l'espai, la indústria nuclear i química, el cicle de l'aigua, l'energia, la salut, les tecnologies de la informació i les comunicacions, el transport, l'alimentació i el sistema financer i tributari, entre d'altres. Tots ells depenen de manera creixent de sistemes digitals interconnectats.

Ciberseguretat en infraestructures crítiques: concepte i abast

La ciberseguretat aplicada a infraestructures crítiques engloba el conjunt de polítiques, tecnologies, processos i mesures organitzatives dirigides a protegir aquestes instal·lacions davant d'amenaces digitals, inclosa la seguretat al núvol . L'objectiu principal és garantir la disponibilitat, integritat i confidencialitat dels sistemes i les dades que sostenen els serveis essencials.

Això implica tant la protecció de sistemes d'informació corporatius (TI/IT) com dels entorns operacionals (OT), on resideixen els sistemes de control industrial (ICS), SCADA, PLC i altres equips que interactuen directament amb processos físics, com ara el control de la xarxa elèctrica, plantes de tractament d'aigua, oleoductes, refineries o sistemes ferroviaris.

Una característica molt rellevant en la ciberseguretat de sectors crítics és la convergència entre IT i OT . Durant anys es van mantenir aïllats: els sistemes de negoci i tractament de dades anaven per una banda, i els sistemes de control industrial de l'altra, moltes vegades sense connexió directa a Internet. La digitalització, l'IoT industrial i la necessitat de monitorització en temps real han enderrocat aquestes barreres.

Aquesta convergència aporta eficiència, visibilitat i capacitat de gestió centralitzada, però també obre superfícies noves d'atac . Molts dispositius OT i IoT no han estat dissenyats amb criteris de seguretat robusts, el pegat és complex i els cicles de vida són llargs. El resultat és un ecosistema interconnectat on una bretxa a IT pot acabar afectant sistemes industrials que abans estaven aïllats.

En aquest context, les estratègies de defensa busquen evitar la interrupció de serveis, el sabotatge, l'espionatge, la manipulació de processos i el robatori o el segrest d'informació, mantenint alhora la continuïtat operativa i el compliment de requisits normatius i reguladors específics de cada sector.

Serveis essencials i creixent vulnerabilitat digital

Pràcticament tots els serveis essencials moderns es recolzen en sistemes digitals: centrals elèctriques automatitzades, xarxes intel·ligents de distribució, plantes de tractament d'aigua, aeroports, ports, xarxes de metro, hospitals hiperconnectats, caixers automàtics, plataformes de banca en línia o sistemes tributaris electrònics.

Aquesta dependència tecnològica té una conseqüència directa: qualsevol ciberatac seriós es tradueix ràpidament en un problema tangible per a la població . No es queda en un incident informàtic intern, sinó que pot deixar barris sense llum, paralitzar línies de tren, bloquejar cirurgies o impedir que milions de persones accedeixin als diners.

Exemples recents mostren fins a quin punt estem exposats. L'atac de ransomware al servei de salut irlandès el 2021 va obligar a tancar sistemes clínics i cancel·lar cites i tractaments durant hores, generant un caos operatiu i posant en risc la seguretat dels pacients. Situacions similars s'han donat a altres països, afectant hospitals, cadenes logístiques o xarxes de combustible. Aquests incidents requereixen una anàlisi forense digital especialitzada per entendre l'abast i recuperar operacions.

A Espanya, les dades reflecteixen un augment significatiu dels incidents que afecten organitzacions de sectors estratègics. En un sol any, el percentatge d'entitats que van patir accessos no autoritzats als seus sistemes es va disparar més de vint punts percentuals, cosa que mostra l'acceleració del risc digital i la necessitat d' actualitzacions crítiques i el reforç continu.

Tot això explica que la protecció d'infraestructures crítiques s'hagi convertit en una prioritat tant de seguretat nacional com empresarial , i que s'impulsin marcs reguladors europeus i nacionals específicament orientats a reforçar-ne la resiliència.

Principals ciberamenaces en sectors i infraestructures crítiques

El panorama d'amenaces que envolta les infraestructures crítiques és cada cop més complex. Es combinen campanyes de ciberdelinqüència amb fins econòmics , operacions de ciberespionatge i sabotatge recolzades per estats, atacs de hacktivistes i errors humans o abusos de confiança per part de persones amb accés legítim.

Un tipus d'amenaça especialment rellevant són les Amenaces Persistents Avançades (APT) . Són operacions prolongades en el temps, molt dirigides i organitzades, sovint associades a serveis d'intel·ligència o grups patrocinats per estats. Solen desenvolupar-se en diverses fases: entrada a la xarxa a través de vulnerabilitats o pesca molt treballat, moviment lateral i escalada de privilegis, i finalment exfiltració d'informació sensible o preparació d'accions de sabotatge.

Diverses anàlisis apunten que una gran part dels atacs dirigits a infraestructures crítiques té motivació econòmica , ja sigui mitjançant extorsió, robatori de propietat intel·lectual o frau. Entre els grups més actius se citen per exemple APT28 (Fancy Bear), vinculat freqüentment a interessos russos; Mustang Panda, associat a campanyes procedents de la Xina a Europa i altres regions; o APT34 (OILRIG), amb focus al sector energètic de l'Orient Mitjà.

Paral·lelament, el ransomware s'ha consolidat com una de les amenaces més devastadores per als sectors crítics. En aquests atacs, els sistemes es xifren o queden bloquejats fins a pagar un rescat, sovint acompanyat de l'amenaça de filtració de dades sensibles. El cas de Colonial Pipeline el 2021, que va provocar interrupcions de subministrament de combustible a una part dels Estats Units, és un exemple paradigmàtic de com un atac digital es pot traduir en cues a les benzineres i problemes d'abastament.

El sabotatge i l'espionatge amb motivació geopolítica també s'han incrementat. Els operadors d'energia, transport i sanitat són al punt de mira de campanyes que busquen desestabilitzar, pressionar o simplement obtenir informació estratègica. L'incident de Stuxnet, que va afectar les centrifugadores de la planta nuclear iraniana de Natanz, continua sent un dels casos més estudiats de codi maliciós específicament dissenyat per alterar processos industrials físics.

Un altre vector de risc gens menyspreable són les amenaces internes . No sempre són empleats malintencionats; moltes bretxes s'originen en errors de personal propi o de proveïdors, manca de formació, males pràctiques de gestió de contrasenyes o negligències en l'aplicació de polítiques de seguretat.

La cadena de subministrament afegeix una capa addicional de complexitat. Les infraestructures crítiques depenen d'un entramat de fabricants, integradors, empreses de manteniment, proveïdors de programari i serveis al núvol. Un atacant pot aprofitar-se de la baula més feble -per exemple, una actualització compromesa, un dispositiu preconfigurat insegur o un proveïdor amb males pràctiques- per entrar al sistema d'un operador crític sense atacar-lo directament.

El sector del transport il·lustra molt bé aquest risc, ja que concentra un elevat percentatge d'incidents en alguns informes nacionals. Un atac a un operador ferroviari o aeroportuari, o als seus subministradors de tecnologia, pot generar efectes en cascada: interrupcions de rutes, mercaderies detingudes a ports o plataformes logístiques, trencaments d'estoc i pèrdues econòmiques significatives.

A més, guanyen protagonisme els atacs híbrids , que combinen accions cibernètiques amb incidents físics per amplificar l'impacte. L'apagada parcial provocada a Ucraïna el 2015, després d'un ciberatac contra empreses elèctriques, o les campanyes de sobrevol de drones a aeroports escandinaus que van obligar a tancar l'espai aeri per seguretat, són exemples de com el digital i el físic s'entrellacen.

Marc normatiu, resiliència i resposta davant d'incidents

La defensa de les infraestructures crítiques es recolza en un marc normatiu i organitzatiu específic que combina la legislació nacional, les directives europees i els estàndards tècnics. A Espanya, la ja esmentada Llei 8/2011 estableix com a objectiu principal la protecció d'aquestes infraestructures davant d'amenaces, mitjançant la implementació de mesures integrades que abastin tant la seguretat física com la lògica. La definició de polítiques i normes, com les que recullen entorns multiusuari i multitenant, forma part d‟aquest marc.

Un dels conceptes clau és la ciberresiliència , entesa com la capacitat d'anticipar, resistir, adaptar-se i recuperar-se d'un incident sense perdre, o perdent només de manera limitada, la capacitat operativa. En aquest enfocament s'enquadren els Plans de Protecció Específics (PPE), que inclouen anàlisis de riscos, mesures de seguretat tècnica i organitzativa i protocols clars d'actuació en cas d'incident.

A nivell europeu, la Directiva sobre la resiliència d'entitats crítiques (CER), adoptada el 2022, reforça l'objectiu de reduir vulnerabilitats i millorar la capacitat de recuperació després d'incidents greus, inclosos els atacs híbrids. Obliga els Estats membres i les entitats crítiques a adoptar mesures concretes de seguretat, gestió de riscos i notificació d'incidents.

A l'àmbit operatiu espanyol, l' INCIBE-CERT (Centre de Resposta a Incidents de Seguretat d'INCIBE) actua com a centre de referència nacional per a la gestió de ciberincidents. Proporciona serveis 24x7x365, emet alertes de vulnerabilitats i amenaces, i coordina la resposta tècnica amb organismes públics i privats.

Quan els incidents afecten operadors crítics del sector privat, la resposta es coordina amb l' Oficina de Coordinació de Ciberseguretat (OCC) del Ministeri de l'Interior, que treballa com a punt de trobada entre forces i cossos de seguretat i els diferents organismes implicats.

La supervisió contínua dels sistemes a través de tecnologies de monitorització avançada permet detectar comportaments anòmals en temps gairebé real . INCIBE-CERT i altres centres especialitzats fan servir fonts d'intel·ligència agregada, alimentades per múltiples sensors i informes, per elaborar avisos primerencs i notificar incidents a les organitzacions potencialment afectades; l' anàlisi de logs és una peça essencial en aquest procés.

A la pràctica, la majoria d'operadors crítics combinen centres d'operacions de seguretat (SOC) amb equips de resposta a incidents (CSIRT), alineats amb les obligacions reguladores i connectats amb els canals oficials de report i coordinació.

Estratègies tècniques clau: segmentació, monitorització i control daccessos

En infraestructures crítiques no n'hi ha prou d'instal·lar un antivirus i un tallafocs. Cal desplegar arquitectures de seguretat per capes que limitin al màxim l'impacte d'un possible compromís i permetin contenir l'atacant.

Una de les pràctiques més esteses és la segmentació de xarxes . Consisteix a dividir l'entorn en zones o segments separats, amb controls d'accés i filtratge de trànsit entre aquests. D'aquesta manera, encara que un atacant aconsegueixi entrar en un punt, resultarà molt més difícil moure's lliurement per la resta de la xarxa.

Als entorns industrials és molt habitual recolzar-se en el model Purdue , que organitza els sistemes en diferents nivells, des de l'equip de camp i control fins a la xarxa corporativa. Entre els nivells s'estableixen zones desmilitaritzades industrials, tallafocs, proxies i altres controls que eviten l'exposició directa dels sistemes OT més sensibles a xarxes corporatives o Internet.

Sobre aquesta base, moltes organitzacions fan un pas més mitjançant la microsegmentació , que afegeix controls més granulars encara, per exemple, a nivell d'aplicació o de flux concret. Aquesta estratègia és especialment útil en infraestructures crítiques amb sistemes antics, difícils de pegats, on es redueix al màxim la superfície accessible des d'altres segments.

La monitorització i la detecció primerenca completen el quadre. Les organitzacions despleguen eines de monitorització contínua, sistemes de detecció i prevenció d'intrusions (IDS/IPS) , anàlisi de trànsit de xarxa i solucions d'anàlisi de comportament d'usuaris i entitats (UEBA), capaces d'identificar patrons anòmals que escapen dels controls tradicionals basats en signatures.

La intel·ligència artificial comença a jugar un paper protagonista en aquests centres d'operacions de seguretat, ja que permet detectar desviacions subtils en el comportament normal dels sistemes OT i IT, correlacionar esdeveniments en grans volums de dades i generar alertes més precises, reduint el soroll i el nombre de falsos positius.

Finalment, els controls d'accés robusts -incloent-hi autenticació multifactor, gestió estricta de privilegis, separació de funcions i registre exhaustiu d'activitats- són imprescindibles per minimitzar el risc associat a usuaris interns, comptes de servei i accessos remots de proveïdors, juntament amb bones pràctiques de seguretat en sistemes i servidors.

Factor humà, cultura de seguretat i col·laboració

En molts incidents greus es demostra que la baula més feble continua sent el factor humà . Un clic en un correu de phishing , una contrasenya reutilitzada, un portàtil sense xifrar o una mala gestió d'accessos privilegiats poden obrir la porta a un atac que acabi impactant en un servei crític.

Per això, més enllà de la tecnologia, les organitzacions que gestionen infraestructures crítiques necessiten programes sòlids de formació i conscienciació per a tot el personal, incloent-hi directius, tècnics, personal de planta i equips de suport. No es tracta només de fer cursos puntuals, sinó de construir una autèntica cultura de seguretat.

Això implica integrar la gestió del risc de ciberseguretat en els processos de negoci i d'operació diària , definir responsabilitats clares, revisar regularment polítiques i procediments i fomentar que qualsevol comportament sospitós es pugui reportar sense por de represàlies.

La col·laboració entre departaments interns –IT, OT, operacions, legal, compliment, recursos humans– és també crucial. Històricament, els equips de tecnologies de la informació i els responsables de planta industrial han viscut a mons gairebé separats, però la convergència digital exigeix ​​treballar de manera coordinada en la gestió de riscos.

En sectors crítics, igualment important és la col·laboració amb autoritats públiques i organismes reguladors . Alguns marcs normatius exigeixen notificar incidents en terminis concrets, compartir informació sobre amenaces i coordinar plans dactuació amb ministeris, forces de seguretat o agències especialitzades.

Aquest treball conjunt permet elevar el nivell de protecció de tot l'ecosistema , ja que la informació sobre un atac detectat en una empresa pot servir per prevenir incidents a altres organitzacions del mateix sector oa infraestructures relacionades.

Nous desafiaments: intel·ligència artificial, dades automatitzades i computació quàntica

La revolució digital actual introdueix tant noves eines defensives com nous vectors d'atac . La intel·ligència artificial, l'automatització avançada i, en un horitzó no gaire llunyà, la computació quàntica estan transformant d'arrel la manera d'entendre la ciberseguretat en sectors crítics.

D'una banda, la intel·ligència artificial defensiva permet analitzar volums massius de dades operacionals i de seguretat, detectar patrons inusuals en temps real i desencadenar respostes automatitzades, com l'aïllament d'un node compromès, la reconfiguració d'una xarxa o l'ajustament dinàmic de polítiques d'accés.

La IA generativa pot ajudar a sintetitzar informació sobre amenaces ia elaborar regles complexes de detecció, mentre que la IA de tipus agèntic és capaç de planificar i executar accions autònomes dins de marcs predefinits per mantenir la continuïtat del servei davant d'incidents.

Tot i això, exactament les mateixes capacitats s'utilitzen del costat ofensiu. Els atacants ja empren IA per optimitzar campanyes de phishing , generar codi maliciós més evasiu, descobrir vulnerabilitats o automatitzar moviments laterals en xarxes complexes. A més, els mateixos models d'IA que utilitzen les infraestructures crítiques es poden convertir en objectiu: atacs contra les dades d'entrenament, manipulació d'algorismes, injecció de dades malicioses o alteració de resultats poden portar a decisions errònies en processos automatitzats.

Per això, la protecció de sistemes d'IA exigeix ​​mesures específiques : assegurar la integritat i la confidencialitat de les dades d'entrenament, supervisar les inferències i sortides dels models per detectar anomalies, establir controls d'accés estrictes als entorns de desenvolupament i desplegament, i revisar contínuament els models davant de possibles manipulacions.

En paral·lel, la computació quàntica planteja un desafiament de fons a mitjà i llarg termini. Molts dels algorismes criptogràfics actualment en ús podrien veure's compromesos per ordinadors quàntics prou potents. Tot i que encara no es disposa d'equips de propòsit general capaços de trencar en producció la criptografia estàndard, diferents estimacions situen aquest risc a l'horitzó d'una o dues dècades.

Aquesta perspectiva impulsa l'estratègia de “recollir ara, desxifrar després” : els atacants emmagatzemen avui dades xifrades amb l'expectativa de poder-les desxifrar quan la tecnologia quàntica maduri. Per a les infraestructures crítiques, que manegen informació sensible de llarg cicle de vida, aquest enfocament suposa un risc considerable.

Com a resposta, creix l'interès per la criptografia postquàntica , un conjunt d'algorismes de xifratge i signatura dissenyats per resistir atacs de futurs ordinadors quàntics. Moltes organitzacions ja comencen a avaluar i planificar migracions cap a aquests esquemes, conscients que no es tracta d'una transició que es pugui improvisar d'un dia per l'altre.

Aquests canvis tecnològics també impulsen models de seguretat més dinàmics, com ara la microsegmentació basada en comportament , que ajusta contínuament les polítiques de filtre segons el context, o els enfocaments de confiança zero (zero trust), que assumeixen que cap connexió és fiable per defecte i exigeixen verificació contínua d'identitat i context, fins i tot dins de la pròpia xarxa interna.

Capacitats de seguretat i casos dús en sectors clau

Perquè tot això funcioni a la pràctica, les infraestructures crítiques han de desenvolupar un conjunt de capacitats de seguretat ben integrades . Una de les més importants és la visibilitat unificada dels entorns OT i IT, amb inventaris clars dactius, mapes de dependències i monitorització centralitzada.

Sobre aquesta visibilitat es construeixen capacitats de detecció d'amenaces en temps real , recolzades en sistemes de correlació d'esdeveniments, anàlisi de trànsit, detecció d'intrusions i, cada cop més, analítica avançada de comportament. Això permet identificar accessos no autoritzats, patrons dús estranys, comunicacions amb dominis de comandament i control o intents descalada de privilegis.

Igualment rellevants són les funcions de resposta automatitzada , capaces d'aplicar contramesures sense intervenció humana quan es detecta un incident greu: aïllament de dispositius, bloqueig de comptes, segmentació d'emergència, reversió de configuracions, etc. En entorns on cada minut compta aquesta rapidesa pot marcar la diferència.

Al sector de l'energia, per exemple, moltes companyies han posat en marxa SOCs específics per a OT que integren el monitoratge de sistemes SCADA amb l'anàlisi de trànsit de xarxa industrial. Aquests centres han aconseguit bloquejar intents de sabotatge que cercaven interrompre el subministrament elèctric, gràcies a la detecció primerenca d'accessos irregulars a sistemes de control.

Al transport, especialment en aviació i ferrocarril, la protecció de sistemes de senyalització, control de trànsit i comunicacions és crítica. Mitjançant una segmentació avançada en zones d'alta seguretat , connectades només a través de passarel·les estrictament controlades, s'ha aconseguit que intrusions en xarxes corporatives no arribin a afectar els sistemes operatius que gestionen la circulació i la seguretat de passatgers.

L'àmbit sanitari, per la seva banda, pateix una pressió creixent, ja que les dades de salut són especialment valuoses al mercat negre. Els hospitals i les xarxes sanitàries se centren tant en reforçar la formació de les seves plantilles davant del phishing i el ransomware com en desplegar xifratge d'extrem a extrem per a la informació de pacients i plans de suport i recuperació que permetin restaurar historials clínics i sistemes diagnòstics amb rapidesa.

En tots aquests sectors, la combinació de tecnologies avançades, processos madurs de gestió de riscos i personal conscienciat marca la diferència entre una infraestructura vulnerable i una altra capaç de resistir, recuperar-se i continuar prestant serveis essencials fins i tot al pitjor escenari de ciberatac.

La realitat actual demostra que la protecció de la ciberseguretat en sectors crítics ja no es pot abordar com un projecte puntual ni com un mer requisit normatiu: exigeix ​​una estratègia contínua, multidimensional i coordinada, on convergeixen tecnologia, processos, persones i col·laboració publicoprivada per mantenir fora de perill els pilars que sostenen el funcionament de la nostra societat.