Digitalización en puertos y terminales: avances tecnológicos que aumentan el riesgo

Container ship export import business logistics Shipping cargo to harbor by crane

Los puertos y terminales inteligentes hoy en día están adoptando nuevas tecnologías en operaciones remotas, sistemas autónomos, plataformas integradas de información y comunicaciones. Esto con el fin de realizar un mejor rastreo y supervisión de los buques, así como agilizar las entregas, el almacenamiento y el paso por aduanas. El objetivo es aumentar la productividad y mejorar la experiencia del cliente.

En la búsqueda de incrementar la velocidad, reducir los retrasos, fomentar la visibilidad de las operaciones de la cadena de suministro y generar una mayor eficiencia en los plazos, se ha incrementado la dependencia tecnológica en puertos y terminales. De la misma manera, esta dependencia conlleva a una mayor exposición a riesgos cibernéticos; aún si esto representa una oportunidad para tomar ventaja con mayores volúmenes de carga, una mejora en el rendimiento, y la superación de los riesgos asociados, siempre que se gestionen correctamente.

Los ajustes e inversiones aislados en tecnologías, que se realizan normalmente a lo largo de los años, han dado lugar a una estructura tecnológica heredada, que no resulta homogénea y que es mucho más susceptible a las ciberamenazas.

Estas grandes capacidades de datos y de tecnologías conectadas (tanto internas, como con terceros) generan no solo nuevos puntos de acceso, sino también, nuevas vulnerabilidades. Estas podrían convertirse en el punto de entrada, de diferentes amenazas avanzadas y de acceso a las redes.

Aumento de las vulnerabilidades en una superficie de ataque más extensa

Como ocurre en cualquier industria, las nuevas tecnologías implementadas en puertos y terminales, vienen acompañadas no solo de vulnerabilidades, sino que también son susceptibles de ataque, ya que utilizan las bases de datos públicas en línea, como fuente de datos.

El aumento de los puntos de contacto, incrementa considerablemente la superficie de ataque. Esto hace referencia al conjunto de vulnerabilidades, puntos débiles conocidos, desconocidos y potenciales, en personas, hardware, software y componentes de redes, que puedan suponer un punto de entrada para los ciberdelincuentes.

Un importante incidente cibernético podría paralizar un puerto o una terminal durante horas, días o incluso semanas. Al ser infraestructuras críticas, este tipo de interrupciones pueden extenderse a las cadenas de suministro mundiales, causando importantes retrasos y problemas adicionales.

Además, los ciberataques pueden provocar daños físicos que amenacen no solo las operaciones, sino la seguridad de los trabajadores y de otras personas. Los responsables de la amenaza podrían, por ejemplo, manipular los sensores y termostatos de un puerto, provocando un incendio que afecte a los barcos atracados, especialmente los que transportan combustibles y productos químicos inflamables.

Estos riesgos ponen de manifiesto la importancia de invertir en una estrategia de digitalización “Smart” o inteligente, que identifique y aborde las vulnerabilidades, creando una organización con capacidad de resiliencia, capaz de soportar y recuperarse de los ciberataques.

Las ciberamenazas no se limitan a los programas informáticos maliciosos (malware) que pueden propagarse hacia o desde los proveedores y clientes, sino que también pueden incluir:

El aumento de las ciberamenazas ha llevado a algunos organismos, como la Agencia de la Unión Europea para la Ciberseguridad (ENISA), a publicar guías destinadas a mejorar la ciberseguridad. El informe de la ENISA sobre la gestión del Riesgo Cibernético en los puertos, publicado en diciembre de 2020, tiene como objetivo presentar un enfoque específico para la evaluación de Riesgos Cibernéticos en los puertos.

En 2017, la Organización Marítima Internacional (OMI), encargada de regular el transporte marítimo y el Comité de Seguridad Marítima (MSC), publicaron una serie de recomendaciones para ayudar a las empresas marítimas, incluidos puertos y terminales, a gestionar su creciente panorama de riesgos cibernéticos. Ambos reconocieron la necesidad de sensibilizar sobre el tema de las amenazas y las vulnerabilidades cibernéticas.

Autoevaluaciones y planificación de escenarios: factores clave para evaluar las amenazas

Con el fin de proteger las operaciones de amenazas que cada vez más desafiantes, es recomendable que los puertos y las terminales, incorporen controles eficaces de ciberseguridad en sus sistemas y procesos. Las protecciones de ingeniería eficaces y ágiles, junto con una serie de controles adecuados, pueden ayudar a las empresas a proteger los activos contra accesos no autorizados, daños, robos y pérdidas.

Entre las acciones que los puertos y terminales pueden contemplar, para mejorar la ciberseguridad están:

Evaluación de Riesgos Cibernéticos

Un primer paso fundamental para mejorar la ciberseguridad, es llevar a cabo una evaluación de riesgos cibernéticos en profundidad, involucrando a terceros. Esta evaluación debe centrarse en la identificación de los activos clave de las tecnologías de la información (IT) y de tecnologías operacionales (OT), así como de los servicios portuarios a los que dan soporte. Al revisar el entorno cibernético general y la superficie de ataque, los puertos y las terminales podrán comprender mejor su perfil general de ciberseguridad.

Estas herramientas creadas a partir de las mejores prácticas, pueden ayudar a evaluar la madurez de un programa de ciberseguridad. Por ejemplo, una autoevaluación puede poner al descubierto que un socio logístico, tiene un acceso privilegiado e innecesario a la red de un puerto. La información puede ser fundamental para que las empresas identifiquen y aborden de forma proactiva, cualquier deficiencia que pueda dar lugar a vulnerabilidades peligrosas..

Planificación de escenarios

Como parte indisociable de una estrategia de gestión de riesgos cibernéticos, la planificación de escenarios permite a su empresa comprender el impacto de posibles ataques y practicar una respuesta ante los mismos. Los profesionales de la ciberseguridad, trabajando junto con su empresa, pueden identificar las vulnerabilidades y recomendar acciones para mejorar sus defensas.

Cuantificación de riesgos

Entender los costes reales de los distintos escenarios, le ayudará a saber dónde invertir estratégicamente recursos, que no son ilimitados. Por ejemplo, ¿cuánto le costaría a un puerto la paralización total o parcial de las operaciones durante unas horas o unos días? ¿Cuáles serían las repercusiones financieras y de otro tipo si una parada total del sistema provocara un accidente grave?

Analizar y cuantificar una variedad de escenarios (además de disponer de una respuesta en caso de producirse) debería proporcionar una imagen más clara de las repercusiones financieras, de los eventos cibernéticos. Esto, a su vez, ayudará a tomar decisiones sobre las inversiones en ciberseguridad, incluida la compra de un ciberseguro con una cobertura suficiente.

Cinco acciones para gestionar los Riesgos Cibernéticos

Ya que la digitalización plantea nuevas vulnerabilidades, los puertos y terminales, pueden evaluar la posibilidad de integrar en su autoevaluación, estos cinco pasos indicados en el marco de ciberseguridad del Instituto Nacional de Normas y Tecnología (NIST):

Gestión de riesgos cibernéticos con controles de ciberseguridad

La perspectiva de una mayor eficiencia en el futuro, hará que los puertos y terminales sigan adoptando tecnologías inteligentes. Sin embargo, a medida que su superficie de ataque, gane una mayor extensión, también lo harán sus retos financieros, normativos y de reputación.

Disponer de controles de ciberhigiene resulta fundamental para reducir los riesgos cibernéticos. Muchas aseguradoras están examinando cuidadosamente los controles cibernéticos de las compañías, para que quienes no cumplan con sus expectativas, se expongan a una no renovación o no asegurar su cobertura o no obtener el precio deseado.

De acuerdo a esta realidad según el Informe del Mercado Mundial de Seguros, los precios de los seguros cibernéticos en Latinoamérica, se han visto incrementados entre un 40- 400%, impulsados en gran parte por la frecuencia y la gravedad de las reclamaciones

Aunque los controles de ciberhigiene hacen parte de las mejores prácticas, establecidas durante muchos años, no todas las empresas las han arraigado en sus procesos cotidianos. Aunque hay 12 controles principales que deben adoptarse, las empresas pueden empezar por centrarse en:

¿Dónde empezar?

Aunque los riesgos cibernéticos no pueden eliminarse por completo, con una estrategia de gestión de riesgos adecuada y un programa sólido de seguro, no solo puede mitigar el riesgo, sino también estar preparado para recuperarse rápidamente ante un posible evento.

Los puertos y terminales pueden tomar medidas para ser más resistentes en el ámbito cibernético, empezando por estos cinco pasos:

Mejorar la formación y la educación. Muchos empleados de todos los niveles del sector marítimo, no han recibido la formación tecnológica y digital adecuada para preparar su papel, en la gestión de los riesgos cibernéticos a los que se enfrenta un sector cada vez más digitalizado. Las acciones de las personas representan un gran desafío para las empresas que buscan ser más resilientes, por lo que reducir los errores humanos es crucial para mantener la seguridad de los puertos y terminales. Es importante reconocer que los trabajadores tienden a tener diferentes niveles de conciencia cibernética en base a diferentes experiencias y capacidades. Una formación y educación adecuadas de su personal son factores cruciales para apuntalar la resiliencia cibernética de su empresa..
Invertir en personal especializado en ciberseguridad. Los programas de formación generalizados, son esenciales para reducir los errores humanos, que pueden dar lugar a infracciones informáticas. Sin embargo, teniendo en cuenta los riesgos potenciales asociados a la creciente digitalización, los puertos y terminales, también deberían considerar la posibilidad de invertir en personal con una sólida formación en procesos de ciberseguridad para dirigir el esfuerzo. Este equipo debe incluir a especialistas en función del el tamaño y la complejidad de su empresa; en el caso de las organizaciones de mayor envergadura, el equipo debe estar dirigido por un director de Seguridad de la Información (CISO, por sus siglas en inglés) que informe a la junta directiva..
Entender los riesgos de terceros. Los puertos y terminales operan dentro de un complejo ecosistema de proveedores, usuarios y clientes. Un puerto, por ejemplo, puede tener cientos de partes interesadas que prestan servicios, cada una de ellas con diversos puntos fuertes y débiles en materia de ciberseguridad. La descripción de los puntos de contacto y de la conexión de las operaciones, ayudará a comprender en qué medida contribuye cada agente de la cadena con las vulnerabilidades de ciberseguridad. Es importante trazar y evaluar el riesgo de los proveedores, e incluir en los contratos los requisitos para proteger a la organización. La comunicación frecuente con las partes interesadas, es fundamental para entender cualquier cambio en términos de ciberseguridad. Asimismo, se recomienda que las organizaciones consideren la posibilidad de revocar accesos innecesarios que tienen los proveedores externos a sus sistemas informáticos.
Abordar los puntos débiles del sistema. Muchos puertos y terminales operan con activos heredados (incluidos los sistemas tecnológicos operativos, las redes informáticas, los dispositivos de los usuarios finales y los componentes de comunicación) anticuados y/o no han recibido las actualizaciones de seguridad necesarias. La integración de las nuevas tecnologías con sistemas heredados, también podría generar problemas de seguridad. Los especialistas en ciberseguridad que tengan una visibilidad de toda la organización, pueden ayudar a identificar los puntos débiles del sistema, donde se podrían generar las exposiciones cibernéticas y de esta manera recomendar acciones para abordar estos desafíos..
Ponerse al día con los cambios normativos. Las jurisdicciones de todo el mundo están redactando reglamentos de ciberseguridad, generando un entorno normativo complejo y en constante cambio. La OMI y su Comité de Seguridad Marítima, han formulado algunas recomendaciones sobre la gestión de riesgos cibernéticos marítimos, mientras que en distintas geografías se mantienen sus propios requisitos y sanciones por incumplimiento. Los grupos portuarios pueden operar conforme a más de un régimen normativo, lo que exige diligencia a la hora de garantizar que sus operaciones cumplen todos los requisitos. Es probable que el entorno normativo siga siendo complejo, y las empresas marítimas tengan que dedicar recursos para seguir cumpliendo con dichos reglamentos.

Abordar los retos actuales y avanzar hacia la ciber-resiliencia o resistencia cibernética, requiere un indiscutiblemente un cambio de mentalidad. Aunque los puertos y terminales tengan muchos años de experiencia en la protección de sus activos contra ataques físicos y accidentes, es necesario que apliquen este mismo enfoque, en la protección de las operaciones contra ciberataques y eventos cibernéticos. Una sólida estrategia de ciberseguridad que incluya la formación y la mejora de los controles cibernéticos, es clave para lograr el objetivo. Cuando los riesgos asociados a los eventos cibernéticos se entienden, se cuantifican y se gestionan correctamente, las oportunidades en la digitalización los superan y tienen un gran alcance.