El ciberataque a la CNMC y la central británica elevan la alerta sobre la vulnerabilidad de la red eléctrica en España

Dos incidentes recientes marcan la amenaza

El sector energético europeo ha recibido un doble aviso en los últimos meses. Por un lado, una pequeña central eléctrica en el Reino Unido estuvo cuatro días fuera de servicio tras sufrir un ciberataque el pasado mes de julio. Por otro, en España, el ataque al Sistema de Información de Puntos de Suministro (SIPS) de la Comisión Nacional de los Mercados y la Competencia (CNMC) el 7 de septiembre puso de manifiesto la exposición del sector.

El atacante afirmó haber extraído más de 40 millones de registros de la base de datos de la CNMC, que contiene información técnica, comercial y de consumo de los puntos de suministro de electricidad y gas natural en todo el país. Aunque el impacto directo sobre el suministro no se detalló, el incidente ha planteado una cuestión clave: ¿conocen las empresas energéticas españolas todos sus activos OT y cómo podrían ser atacados?

La convergencia IT-OT amplía la superficie de ataque

El riesgo no es solo digital. La convergencia entre las tecnologías de la información (IT) y las tecnologías operativas (OT) permite que los datos fluyan entre activos de generación, centros de control, redes inteligentes, instalaciones renovables y plataformas externas. Esta conectividad mejora la operación, pero también abre nuevas vías de entrada para los atacantes.

El experto Carlos Castañeda-Marroquín, director de Soluciones e Innovación en Integrity360 España, señala que "la superficie de ataque crece mientras la IA acelera las posibles vías de ataque". Además, recuerda que los activos OT controlan procesos físicos de generación, transporte y distribución de energía, por lo que un ciberataque puede tener consecuencias tangibles sobre el suministro eléctrico.

La dispersión geográfica de estos activos agrava el problema: subestaciones, instalaciones renovables y plantas más pequeñas se gestionan de forma remota, a menudo con pocas medidas de seguridad. Los fabricantes de equipos, proveedores de mantenimiento y socios de ingeniería también requieren acceso remoto, lo que multiplica los puntos de entrada potenciales.

La protección OT exige priorizar la disponibilidad

Proteger los sistemas OT requiere un enfoque distinto al de los sistemas IT. En IT priman la confidencialidad y la protección de datos, mientras que en el entorno operativo del sector energético el foco está en la seguridad, la integridad, la disponibilidad y la continuidad del servicio. Un incidente en OT puede detener una operación física, y la seguridad no puede poner en peligro la operación.

Un parche incompatible, un reinicio inesperado o una medida mal diseñada pueden interrumpir procesos críticos. Por ello, la ciberseguridad industrial debe adaptarse a esa realidad. El primer paso es saber qué se tiene conectado: elaborar un inventario actualizado del hardware, software, firmware y protocolos industriales, así como de las conexiones de red y sus responsables.

También es fundamental determinar qué activos son críticos y qué ocurriría si dejaran de funcionar. Esa visibilidad permite concentrar los esfuerzos de seguridad donde una interrupción tendría mayores consecuencias y supervisar la infraestructura para detectar comportamientos anómalos, especialmente cuando un atacante intenta pasar de un sistema corporativo comprometido a operaciones críticas.

Preparación y respuesta ante incidentes

La planificación no evita todos los ataques, pero reduce el impacto. Un plan de respuesta específico para OT debe establecer cómo detectar, contener y restablecer la actividad tras un incidente. Su desarrollo no puede recaer únicamente en el equipo de ciberseguridad: los responsables de operaciones, los ingenieros y los proveedores deben participar.

Los ejercicios periódicos son esenciales para comprobar qué ocurriría ante escenarios reales como la pérdida de visibilidad remota, la propagación de ransomware desde IT hacia OT o el compromiso del acceso de un tercero. Además de estar preparado frente al ataque, la organización debe contar con un plan de contingencia que le permita seguir operando cuando algo sale mal.

"La verdadera medida del éxito no será cuántos controles de ciberseguridad se hayan implantado, sino algo mucho más tangible: que, incluso frente a un ataque, la energía siga llegando allí donde España la necesita", concluye Castañeda-Marroquín.