Cómo una empresa de suministro de agua norteamericana reforzó su ciberresiliencia con OPSWAT

Uno de los mayores retos a los que se enfrentaba la empresa de servicios públicos eran sus sistemas obsoletos. Los antiguos sistemas de tecnología operativa (OT), con vulnerabilidades sin parchear, creaban importantes brechas de seguridad que los atacantes podían aprovechar. Estas vulnerabilidades no solo suponían un riesgo de interrupción del servicio, sino que también podían provocar daños físicos en sistemas críticos. La empresa de servicios públicos reconoció que la implementación de la segmentación de la red y de controles de acceso sólidos era fundamental para mitigar estos riesgos y garantizar al mismo tiempo la continuidad de las operaciones.

Las amenazas internas suponían otro riesgo importante debido a errores de configuración accidentales, un uso indebido o modificaciones intencionadas del sistema. Los empleados y contratistas con acceso a entornos de tecnología operativa pueden interrumpir involuntariamente las operaciones o, en casos excepcionales, alterar de forma maliciosa los sistemas críticos.

Al mismo tiempo, es imprescindible garantizar un acceso seguro tanto para el personal interno como para los proveedores externos. El acceso no autorizado —ya sea debido a credenciales comprometidas, privilegios de administrador excesivos o sesiones remotas no supervisadas— puede dejar la infraestructura crítica en una situación de vulnerabilidad.

Nuestra evaluación in situ puso de manifiesto deficiencias graves en la documentación relativa a los equipos instalados sobre el terreno, lo que supone un riesgo significativo en materia de cumplimiento normativo. Uno de los mayores problemas era la falta de un inventario y una clasificación precisos de los activos, ya que muchas organizaciones seguían dependiendo de métodos de registro manuales y obsoletos. Sin un sistema estructurado de gestión de activos, resulta difícil realizar un seguimiento de los dispositivos, evaluar los riesgos cibernéticos y aplicar controles de seguridad, lo que pone en peligro el cumplimiento de las normas NERC CIP, IEC 62443 y NIST 800-82.

Más allá de la gestión de activos, las evaluaciones de riesgos cibernéticos, las políticas de control de acceso y los planes de respuesta ante incidentes eran incompletos o inexistentes. Estas carencias dejaban a los equipos de seguridad sin directrices claras para gestionar las amenazas, restringir el acceso no autorizado o responder a los incidentes de seguridad de una manera estandarizada y conforme a la normativa.

Además de estos retos, las imprecisiones en los diagramas de la red tal y como está construida dificultaban la capacidad de trazar la topología actual de la red y validar las configuraciones de seguridad, lo que aumentaba el riesgo de configuraciones erróneas y fallos de seguridad.

Cuando nuestro cliente sufrió una serie de incidentes cibernéticos dirigidos contra sus sistemas SCADA, su director de seguridad de la información (CISO) supo que necesitaban un enfoque más sólido para proteger su infraestructura hidráulica.

Aunque la ciberseguridad fue la principal motivación, la empresa de servicios públicos descubrió otras ventajas operativas. La visibilidad completa de sus sistemas de control ayudó a identificar ineficiencias en sus operaciones de bombeo, lo que se tradujo en un ahorro energético de aproximadamente un 14 % en toda su red de distribución.

A medida que la normativa federal y estatal en materia de seguridad del agua sigue evolucionando, MetaDefender ha permitido a la empresa de suministro de agua del condado cumplir con la normativa con un esfuerzo adicional mínimo.