IEEE Power & Energy Magazine - Spanish - Septiembre/Octubre 2016 - 64

los recursos e informar al nivel C y a la junta, dos aceleradores
probados de maduración en la estatura informática. Un programa "viviente" de seguridad informática de ICS debería ser
establecido para que desarrolle y emplee políticas de seguridad informática y de medición de ICS. Para saber qué proteger, las operadoras necesitan conocer qué activos de riesgo
han desplegado en toda la empresa, incluyendo todo el equipo
ubicado en el campo. Como consecuencia, se debe ejercitar
una extensiva revisión de todos los sistemas instalados, dispositivos y redes, en esencia se debe realizar una gestión de
activos de la empresa, una "revista del inventario". Al entender
la base de activos; lo que está conectado de forma electrónica
y qué versiones del hardware, software y parches están instalados; y qué versiones de los protocolos del sistema de control
de comunicaciones son usados, es un paso importante para
inventariar y desarrollar los espectros de riesgo del equipo. Un
programa sólido de evaluación de riesgo puede servir doblemente el trabajo de la seguridad informática y los objetivos de
fiabilidad del sistema. Un programa táctico también debería
preparar no solo para las intrusiones intencionales sino también para los incidentes no intencionales. Ver imagen 3.
El desarrollo, la documentación y la implementación de
políticas de seguridad informática de ICST y los procedimientos
que son compatibles con la segurida TI, la seguridad física y las
políticas de continuidad comercial deben introducirse de forma
efectiva. Las empresas deben evaluar sus capacidades internas,
habilidades y probabilidades de éxito. Contratar o traer expertos
para abordar las brechas, tanto de recursos como las basadas en el
conocimiento, es prudente. Un equipo de representantes, incluyendo el de TO, y el de TI deberían determinan las tecnologías
de seguridad, las normas, y los planes de implementación
priorizados por el riesgo. Esto va más allá de la simple implementación de cortafuegos y software de antivirus. Además, las
consideraciones de seguridad informática deben ser incorporadas en las actividades de adquisición, no solo para materiales de
compra sino para proteger de forma proactiva contra los posibles
riesgos transmitidos a través de proveedores, socios y contratistas mediante sus sistemas o acceso personal. Las especificaciones y los procesos de ofertas deberían incorporar requisitos
de seguridad informática para que puedan ser adecuadamente
comunicados como requisitos para los proveedores de diseño,
fabricación, prueba, y provisión de materiales.
Hay estrategias adicionales organizativas que pueden ayudar a mitigar el riesgo. Un desafío notable con respecto a la
protección de ICS y relacionado con el equipo ha sido la carencia de coordinación organizativa entre TI, las operaciones
tecnológicas, seguridad y gestión de emergencia y seguridad,
gestión de riesgos y funciones de gestión de crisis. La seguridad informática de ICS y de TO en silos organizativos, que eso
puede ser abordado una vez que se ha reconocido. De forma
tradicional, la seguridad informática de TI se ha centrado en
la brecha de datos, la propiedad intelectual y del cliente, la
protección de la privacidad de los datos, y mientras tanto, en
el lado de TO de la seguridad informática se ha centrado en
el cumplimiento de NERC CIP. El resultado de las posibles
64

ieee power & energy magazine

brechas es un enfoque integral y efectivo para la seguridad
informática de gestión de riesgos.

¿Estamos Cubiertos?
El mercado de los seguros también enfrenta un desafío ya que
las políticas relacionadas con TI dominan el área de la seguridad informática. Las políticas informáticas orientadas a TO son
menos comunes porque debe existir una norma común para la
operación, el activo físico y el compromiso basado en el TO.
Si bien los incidentes informáticos de las brechas de datos
se sospecha que son ampliamente no reportados, reportar un
incidente informático de brecha física de ICS es incluso más
raro, tal vez, debido a la dificultad para caracterizar los eventos,
además, de la falta de protocolos de informe de la industria
y los requisitos. La inmadurez en la seguridad informática en
ICS también puede estar relacionada con el hecho de que el
daño hecho a la planta física del servicio ha sido, típicamente,
una propiedad y preocupación de la política. Si un incidente es
atribuido al daño físico o informático puede o no puede estar
cubierto. Años de jurisprudencia se han establecido a través
de los procesos de adjudicación de cobertura de seguros, la
responsabilidad por los reclamos complejos de terceros, seguramente, se mantendrá incierta. También hay incertidumbre
para los aseguradores con respecto a declarar un nivel prudente
de interrupción de la capacidad de cobertura para ofrecer a los
asegurados hasta que las prácticas de atenuantes de riesgo sean
implementadas y las herramientas de cuantificación de pérdida
estén disponibles. De más certeza es el impacto del corte del
suministro eléctrico que de forma subsiguiente causa un corte
en el servicio a un cliente comercial. Esto, probablemente disparará los reclamos en la interrupción de los negocios de los
clientes comerciales y/o las políticas del seguro para la interrupción del servicio, creará posibles pérdidas a gran escala
para los asegurados y la posible igualdad a gran escala de litigios de responsabilidad, basados en la acumulación de riesgos.
Los ataques informáticos exitosos en el equipo de suministro, tales como las estaciones de producción de energía o
los grandes transformadores, no solo puede llevar a grandes
pérdidas capitales sino que también a una posible extensión
de los cortes por largos períodos. Los servicios y los asegurados pueden ser advertidos para coordinar el desarrollo adecuado de las medidas de seguridad informática de TO y para
comenzar a evaluar el daño físico y los cortes del servicio a
largo plazo causados por el riesgo cibernéticos de ICS, en
lugar de trabajar en las disposiciones y condiciones en virtud
de un escenario convencional de brecha de datos TI.
¿A quién más le importa el riesgo de seguridad informática
de TO? Las agencias de calificación crediticia (tales como
Moody´s, S&P, y Fitch). Públicamente humilladas por su complicidad activa o pasiva en la crisis del 2008, cuando las agencias de calificación se comprometieron a hacerlo bien en cuanto
al riesgo de impacto de la seguridad informática en la infraestructura crítica del sector. Como estas agencias racionalizaron
el motivo de "destrucción industrial" a problemas entre países
y hackers terroristas, se espera que, de forma adecuada, lleguen
septiembre/octubre 2016

Table of Contents for the Digital Edition of IEEE Power & Energy Magazine - Spanish - Septiembre/Octubre 2016