El cierre del mayor oleoducto de EE. UU. Por un ataque de ransomware pone de relieve una vulnerabilidad sistémica: los operadores de oleoductos no tienen la obligación de implementar ciberdefensas.
El gobierno de EE. UU. Ha tenido protocolos de seguridad cibernética obligatorios y sólidos para la mayor parte de la red eléctrica durante aproximadamente 10 años para evitar ataques debilitantes por parte de delincuentes o actores estatales.
Pero los 4,3 millones de kilómetros (2,7 millones de millas) del país de oleoductos, gas natural y oleoductos líquidos peligrosos tienen solo medidas voluntarias, lo que deja la seguridad a los operadores individuales, dijeron los expertos.
«El simple hecho de alentar a los oleoductos a adoptar voluntariamente las mejores prácticas es una respuesta inadecuada al número cada vez mayor y la sofisticación de los ciber actores malévolos», dijo Richard Glick, presidente de la Comisión Federal Reguladora de Energía (FERC).
Las protecciones podrían incluir requisitos de encriptación, autenticación multifactor, sistemas de respaldo, capacitación del personal y segmentación de redes para que se pueda restringir el acceso a los elementos más sensibles.
La autoridad de la FERC para imponer estándares cibernéticos en la red eléctrica provino de una ley de 2005, pero no se extiende a las tuberías.
Colonial Pipeline, el oleoducto de productos petrolíferos más grande de EE. UU. Y fuente de casi la mitad del suministro en la costa este, ha estado cerrado desde el viernes después de un ataque de ransomware que el FBI atribuyó a DarkSide, un grupo que los expertos cibernéticos creen que tiene su sede en Rusia o Europa del Este.
La interrupción ha provocado un aumento de los precios de la gasolina en el sur de EE. UU. Y la preocupación por una escasez más amplia y un aumento potencial de los precios antes del feriado del Día de los Caídos.
Colonial no respondió de inmediato a una consulta sobre si los estándares de ciberseguridad deberían ser obligatorios.
El grupo de presión del American Petroleum Institute dijo que estaba hablando con la Administración de Seguridad del Transporte (TSA), el Departamento de Energía y otros para comprender la amenaza y mitigar el riesgo.
PERSONAL DELGADO
La supervisión cibernética de los oleoductos recae en la TSA, una oficina del Departamento de Seguridad Nacional (DHS), que ha proporcionado pautas de seguridad voluntarias a las empresas de oleoductos.
La Oficina de Responsabilidad General, el organismo de control del Congreso, dijo en un informe de 2019 que la TSA solo tenía seis empleados de tiempo completo en su rama de seguridad de la tubería hasta 2018, lo que limitó las revisiones de la oficina de las prácticas de seguridad cibernética.
La TSA dijo que desde entonces ha ampliado el personal a 34 puestos en oleoductos y ciberseguridad. No respondió de inmediato a una solicitud de comentarios sobre si apoya las protecciones obligatorias.
Cuando los periodistas le preguntaron si la administración de Biden establecería reglas, el secretario del DHS, Alejandro Mayorkas, dijo que estaba discutiendo opciones administrativas y legislativas para «elevar la higiene cibernética en todo el país».
El presidente Joe Biden espera que el Congreso apruebe un paquete de infraestructura de $ 2.3 mil millones, y los requisitos de la tubería podrían incluirse en esa legislación. Pero los expertos dijeron que no había una solución rápida.
«La parte difícil es a quién le dices qué hacer y qué les dices que hagan», dijo Christi Tezak, analista de ClearView Energy Partners.
Los representantes estadounidenses Fred Upton, un republicano, y Bobby Rush, un demócrata, dijeron el miércoles que han reintroducido una legislación que requiere que el Departamento de Energía garantice la seguridad de las tuberías de gas natural y de líquidos peligrosos. Dicha legislación podría incorporarse a un proyecto de ley más amplio.
La red eléctrica está regulada por la FERC y, en su mayoría, está organizada en organizaciones regionales sin fines de lucro. Eso hizo que fuera relativamente fácil para los legisladores presentar la ley de 2005 que permite a la FERC aprobar medidas cibernéticas obligatorias.
Diversas empresas públicas y privadas poseen oleoductos. En su mayoría operan de forma independiente y carecen de un regulador federal sólido.
Su supervisión se rige por diferentes leyes según lo que lleven. Los productos incluyen petróleo crudo, combustibles, agua, líquidos peligrosos y, potencialmente, dióxido de carbono para enterrar bajo tierra para controlar el cambio climático. Esta diversidad podría dificultar que los legisladores impongan un requisito unificado.
Tristan Abbey, ex asistente de la senadora republicana Lisa Murkowski que trabajó en el consejo de seguridad nacional de la Casa Blanca bajo el ex presidente Donald Trump, dijo que el Congreso es la mejor y la peor manera de abordar el problema.
«La legislación puede ser necesaria cuando la jurisdicción es ambigua y las agencias carecen de recursos», dijo Abbey, ahora presidente de Comarus Analytics LLC.
Pero un proyecto de ley no debe verse como una varita mágica, dijo.
«Los estándares pueden ser parte de la respuesta, pero las regulaciones federales deben combinarse con los requisitos estatales sin sofocar la innovación».
Fuente: reuters
