Más de dos tercios (68%) de las organizaciones de infraestructuras críticas encuestadas carecen de una visibilidad completa y en tiempo real de los activos conectados a sus redes de tecnología operativa (OT, por sus siglas en inglés), lo que dificulta la protección frente a ciberataques. Así lo revela un nuevo informe encargado por Palo Alto Networks y elaborado por Sapio Research.
El informe, basado en una encuesta a más de 1.600 líderes en 11 países, señala que el 60% de las organizaciones experimentó un incidente de seguridad que afectó a sus operaciones durante el último año. Los encuestados pertenecen a sectores como la manufactura, la atención sanitaria y las ciencias de la vida, la energía y los servicios públicos, el transporte, así como el gobierno y el sector público. La tecnología operativa (OT) abarca los sistemas que supervisan o controlan equipos y procesos físicos.
«La visibilidad es fundamental, ya que sirve de base para tomar decisiones sobre la protección de las operaciones», explicó Harry Thomas, director de tecnología (CTO) y cofundador de Frenos, una firma especializada en pruebas de seguridad para entornos OT con sede en Fulton, Maryland.
«Saber que un dispositivo existe es solo el punto de partida», comentó. «Los equipos también necesitan entender qué controla dicho dispositivo, qué depende de él, quién tiene acceso al mismo y qué ocurriría si dejara de estar disponible o si se modificara su configuración».
«Ese contexto ayuda a los responsables de seguridad a priorizar los riesgos y determinar cómo actuar sin generar un problema operativo mayor», añadió.
Los sistemas heredados complican la visibilidad de los activos.
Anup Kumar, director ejecutivo (CEO) de Optiv Consulting —una consultora de ciberseguridad con sede en Ashburn, Virginia—, explicó que lograr visibilidad en entornos OT resulta complejo, ya que estos suelen combinar equipos antiguos (sistemas heredados), protocolos propietarios y sistemas diseñados para garantizar la fiabilidad, no para someterse a escaneos rutinarios.
«Lo que funciona en el ámbito de la tecnología de la información (TI) puede suponer un riesgo en el entorno de la tecnología operativa (OT)», señaló. «Sin visibilidad, las organizaciones no pueden identificar los activos expuestos, detectar actividades anómalas ni responder con rapidez ante las amenazas. Una visibilidad segura y continua es la base de la resiliencia operativa». Uno de los desafíos para proteger la infraestructura crítica radica en que esta depende de activos que no pueden desconectarse durante el tiempo suficiente para aplicar parches. Al mismo tiempo, las tensiones geopolíticas y la creciente conectividad aumentan la presión sobre los proveedores, quienes ya operan con recursos limitados, señaló Jacob Krell, director sénior de soluciones de IA segura y ciberseguridad en Suzu Labs, una empresa con sede en Las Vegas que ofrece servicios de ciberseguridad basados en inteligencia artificial.
«El informe de Palo Alto vincula esta presión con consecuencias operativas reales, tales como riesgos para la seguridad, tiempos de inactividad no planificados, interrupciones en la producción y pérdidas financieras», comentó.
«El denominador común es la falta de visibilidad integral en sistemas heredados, dispositivos no gestionados, redes 5G privadas y otros activos conectados», afirmó. «El hecho de contar con equipos de seguridad de TI (tecnologías de la información) y OT (tecnologías operativas) que trabajan por separado, junto con múltiples herramientas desconectadas entre sí, ralentiza la respuesta y dificulta su coordinación».
«La carga es aún mayor para empresas de servicios públicos, hospitales, fabricantes, operadores de transporte y organismos gubernamentales, ya que, para ellos, la ciberseguridad no puede abordarse como una simple tarea de mantenimiento de software», añadió. «Un equipo de seguridad puede saber que un controlador lógico programable (PLC) es vulnerable, pero aun así no tener una respuesta clara a la pregunta que resulta fundamental a nivel operativo: ¿qué bomba, etapa de producción o proceso de seguridad controla dicho dispositivo?».
La proliferación de herramientas de seguridad ralentiza la respuesta.
Las organizaciones encuestadas utilizan, en promedio, siete sistemas y herramientas de seguridad distintos. El 59% señaló que la multiplicidad de sistemas genera complejidad operativa; el 56% reportó mayores costos operativos, y el 41% mencionó retrasos en la respuesta ante incidentes.
El informe reveló que el 51% de las organizaciones todavía depende de puntuaciones de gravedad de vulnerabilidades o de la revisión manual de alertas para establecer prioridades.
«Cada herramienta adicional implica una consola más, otro modelo de datos y otro equipo que debe estar presente durante la gestión de un incidente», observó Gil Hecht, director ejecutivo y fundador de Core6, una empresa con sede en Tel Aviv (Israel) especializada en la seguridad de infraestructuras de datos empresariales.
«Con un promedio de siete sistemas de seguridad, las alertas no se pueden correlacionar, los equipos no pueden priorizar y la mitad de las organizaciones recurren a la revisión manual, como muestra el informe», dijo.
«Durante un incidente, se pierde tiempo reconciliando lo que dice cada herramienta antes de que alguien pueda actuar», dijo. «La resiliencia es una función de la rapidez con la que se puede comprender y recuperarse, y la complejidad ralentiza ambas cosas».
El software generado por IA podría añadir otra capa de complejidad. «Lo que me preocupa aún más es la próxima era de la IA, donde las personas pueden crear aplicaciones y servicios SaaS increíblemente rápido sin necesariamente saber codificar», dijo John Strand, propietario de Black Hills Information Security, una empresa de pruebas de penetración, red teaming y búsqueda de amenazas en Spearfish, S.D.
«Creo que la complejidad técnica de estos entornos aumentará, no disminuirá», dijo. «Y la complejidad es el enemigo de la seguridad informática».
Preocupación por los ataques de IA.
El informe también destacó la preocupación generalizada por los ataques impulsados por IA de vanguardia, es decir, los modelos de IA más avanzados, junto con las expectativas de que la IA podría fortalecer las defensas.
El noventa y cinco por ciento de los encuestados expresaron al menos cierta preocupación por este tipo de ataques dirigidos a infraestructuras críticas, mientras que el 91% esperaba que las soluciones de ciberseguridad impulsadas por IA ayudaran a defenderse contra ellos. Sólo el 19% informó haber implementado IA en cuatro o más áreas operativas de sus negocios.
«La IA puede ayudar a iluminar partes de los entornos OT que históricamente han sido difíciles de ver y analizar», dijo Louis Eichenbaum, CTO federal de ColorTokens, un proveedor de soluciones de microsegmentación de confianza cero en San José, California.
«Eso incluye activos no documentados, dependencias de software heredadas, configuraciones inseguras, comunicaciones inusuales entre TI y OT y rutas de ataque que abarcan múltiples sistemas», continuó.
«También puede analizar grandes volúmenes de telemetría de red, archivos de configuración, documentación de ingeniería y datos de vulnerabilidad mucho más rápido que un equipo humano», añadió.
La IA erosiona la seguridad por la oscuridad.
Richard Springer, director senior de soluciones OT en Fortinet, un proveedor de firewalls, sistemas de prevención de intrusiones, seguridad de endpoints y programas antivirus en Sunnyvale, California, explicó que históricamente, los dispositivos y protocolos OT especializados crearon barreras para los atacantes, brindando cierta protección a través de «seguridad por oscuridad».
«La IA está cambiando esa dinámica al facilitar la identificación de dispositivos OT, interpretar protocolos industriales y brindar orientación que antes requería experiencia especializada», dijo. «Esto podría permitir que más actores de amenazas apunten a entornos OT, con consecuencias potencialmente significativas dada la dependencia de la sociedad de la infraestructura crítica».
«La velocidad de los ataques impulsados por IA ha reducido el tiempo de explotación a un par de días como máximo», añadió John Gallagher, vicepresidente de Viakoo, una empresa de seguridad de IoT empresarial en Mountain View, California.
«Gracias a la IA, nos encontramos en un punto en el que el 29% de las vulnerabilidades se explotan en menos de 24 horas, mientras que el tiempo necesario para aplicar un parche es, en promedio, de 55 días», comentó.
Esta comparación pone de relieve el estrecho margen de maniobra del que disponen los equipos de defensa, especialmente en entornos de tecnología operativa (OT), donde las actualizaciones requieren pruebas rigurosas y periodos de inactividad programados.
Según Viakoo, los entornos de tecnología operativa (OT) e internet de las cosas (IoT) emplean más de 150.000 sistemas operativos distintos. Gallagher señaló que la IA debilita la protección que, históricamente, estos sistemas especializados obtenían mediante la «seguridad por oscuridad».
«Los modelos de IA de vanguardia pueden automatizar la detección de vulnerabilidades, realizar ingeniería inversa de la lógica industrial y generar rápidamente scripts de ataque personalizados para entornos operativos específicos; esto permite a los actores maliciosos escalar sus campañas dirigidas con una eficiencia sin precedentes», explicó.
La detección supera a la remediación.
La IA podría ampliar la brecha entre el descubrimiento de vulnerabilidades y su corrección, tanto en entornos de TI como de OT. «El desafío fundamental es que los equipos de defensa ya tienen dificultades para seguir el ritmo al volumen de vulnerabilidades existentes», afirmó Ramy Rahman, ingeniero principal de soluciones en ArmorCode, una empresa con sede en Palo Alto (California) especializada en la gestión unificada de vulnerabilidades.
«La IA acelera la detección, el análisis y, potencialmente, la explotación, pero no necesariamente los procesos operativos necesarios para solucionar dichos problemas», declaró. «En el caso de las infraestructuras críticas, donde la remediación puede requerir ventanas de mantenimiento, coordinación con proveedores o pruebas exhaustivas, este desequilibrio resulta especialmente preocupante».
«La IA no introduce, necesariamente, técnicas de ataque totalmente nuevas», continuó. «Lo que hace es que las técnicas existentes sean más rápidas, más accesibles y más fáciles de escalar. Tanto los equipos de seguridad pequeños como los grandes sentirán esa presión».
«Si bien la IA puede ayudar a los equipos de defensa a correlacionar información e identificar trayectorias de ataque relevantes, también puede aumentar drásticamente el volumen de vulnerabilidades y posibles exposiciones que requieren atención», explicó.
«En última instancia, la resiliencia no consiste en eliminar todas y cada una de las vulnerabilidades», añadió. «Se trata de comprender qué riesgos son los más importantes, identificar medidas de mitigación viables y garantizar que las mejoras en seguridad no provoquen, precisamente, las interrupciones operativas que intentamos evitar».
