Proteger la infraestructura crítica de ciberataques y otras amenazas

Hay 16 sectores de infraestructura crítica que el Departamento de Seguridad Nacional de los Estados Unidos (DHS) ha definido como "aquellos sistemas físicos y basados en cibertecnología esenciales para las operaciones mínimas de la economía y el gobierno". Cada uno de estos 16 sectores es vital para la salud, seguridad y protección de la nación. El DHS supervisa la infraestructura crítica con la aportación y el apoyo de otras entidades, como gobiernos estatales y locales, socios de la industria privada y agencias específicas del sector (SSAs) como la Agencia de Protección Ambiental (EPA).

Cuatro sectores fundamentales

La infraestructura crítica está llena de dependencias, sinergias e intereses superpuestos que mantienen a los sectores entrelazados entre sí. Esto es especialmente cierto para la energía, las comunicaciones, el agua y el transporte. La Agencia de Seguridad de Ciberseguridad e Infraestructura (CISA) considera estos cuatro sectores como críticos para las operaciones entre sí y de todos los demás sistemas. Una falla o un ataque en un sector puede afectar a muchos otros simultáneamente. Por ejemplo, el ataque de ransomware al Colonial Pipeline en 2021 provocó una interrupción regional del suministro de combustible que tensionó el sector del transporte y puso de manifiesto vulnerabilidades en múltiples cadenas de suministro.

Aquí tienes un vistazo más de cerca a estos cuatro sectores y sus relaciones con otros:

Existen relaciones similares entre los componentes dentro de cada sector. El siguiente gráfico es una ilustración básica de este concepto en funcionamiento en el Sector de Sistemas de Agua y Aguas Residuales:

Estos componentes también se denominan subsistemas o activos. El punto clave es que la base de cada sector es una red de sistemas dentro de otros sistemas. Cada uno de estos sistemas contribuye a la seguridad, la economía y la salud pública en los Estados Unidos (EE.UU.).

Los 12 sectores restantes de infraestructura crítica se enumeran a continuación:  

• Químico
• Instalaciones Comerciales
• Fabricación Crítica
• Presas
• Base Industrial de Defensa
• Servicios de emergencia
• Servicios financieros
• Alimentación y agricultura
• Instalaciones gubernamentales
• Asistencia sanitaria y salud pública
• Tecnología de la Información
• Reactores nucleares, materiales y residuos

Estados Unidos también tiene varios sectores de infraestructura que no están designados como críticos. Medios de comunicación y entretenimiento, hostelería y turismo, e inmobiliaria y construcción son algunos ejemplos de sectores que son importantes para el país, pero no vitales para la salud pública y la seguridad nacional.

La administración de Biden emitió el Memorándum de Seguridad Nacional sobre la Seguridad y Resiliencia de la Infraestructura Crítica (NSM-22) en abril de 2024. Este documento ordena el desarrollo de un Plan Nacional de Gestión de Riesgos de Infraestructura que enfatice la responsabilidad compartida y un enfoque basado en riesgos para la seguridad.

CISA anunció que utilizaría "todas las herramientas, recursos y autoridades federales disponibles para gestionar y reducir los riesgos a nivel nacional, incluidos aquellos que se extienden por los sectores de infraestructuras críticas" mientras desarrollaba este nuevo plan de gestión de riesgos. CISA también reconoció que el Plan Nacional 2025 tomará en cuenta la evolución de las amenazas, vulnerabilidades y consecuencias más allá del ámbito de los ciberataques. Se evaluarán y abordarán el terrorismo, los desastres naturales y otros riesgos.

Estos recursos tienen más información sobre cómo los EE. UU. están defendiendo la infraestructura crítica:

• Memorándum de Seguridad Nacional sobre la Seguridad y Resiliencia de la Infraestructura Crítica
• CISA - Memorando de Seguridad Nacional sobre Seguridad y Resiliencia de Infraestructura Crítica
• Sectores de Infraestructura Crítica
• Sistemas de Infraestructura Crítica

Durante los próximos meses, examinaremos más de cerca la defensa de la infraestructura. Nuestra próxima publicación explorará las ciberamenazas a los sistemas de gestión de agua y aguas residuales.