Vaca Muerta es la joya energética de la Argentina y, de a poco, se convirtió también en una pieza importante del tablero digital global. Mientras los taladros y toda la infraestructura de extracción se digitalizan cada vez más rápido, del otro lado de la pantalla crece una amenaza que no hace ruido, el ciberataque contra la infraestructura crítica.
Hoy los sistemas industriales, conocidos como OT por tecnología operativa, conviven con las redes corporativas de las empresas, y los ataques se vuelven más sofisticados gracias a la inteligencia artificial. Por eso la ciberseguridad dejó de ser un tema exclusivo de los equipos de sistemas para pasar a ser un asunto de soberanía y de continuidad de la producción de Vaca Muerta.
Flavia Méndez, fundadora y directora general ejecutiva de Cyber Summit, repasó en una entrevista que le realicé la situación de las petroleras que operan en Vaca Muerta y puso el foco en tres frentes, las fallas en la cadena de proveedores, el peso del espionaje industrial y la urgencia de adaptar las defensas a un terreno donde un error digital puede terminar en un daño físico real.
¿Qué tan vulnerable está hoy Vaca Muerta frente a un ciberataque?
Según Méndez, el sector energético se convirtió en uno de los objetivos más codiciados del mundo, y la Argentina no queda afuera de esa lista. Las operadoras que trabajan en Vaca Muerta manejan infraestructura para la producción y la economía del país, lo que las vuelve un blanco de alto valor para cualquier atacante.
La especialista señaló que buena parte de las empresas todavía piensa la seguridad como si fuera un problema exclusivamente informático, cuando los sistemas industriales funcionan distinto, usan tecnología antigua, protocolos propios, necesitan estar disponibles las 24 horas sin margen para pausas de mantenimiento, y un fallo puede traducirse en daños físicos reales.
Para Méndez, la ciberseguridad industrial en el país avanza, pero todavía no al ritmo que exige la digitalización de los yacimientos de Vaca Muerta.
¿El peligro viene más de gobiernos o de bandas de cibercrimen?
Las dos amenazas conviven, dijo Méndez, aunque no se comportan igual. Los grupos vinculados a gobiernos buscan sobre todo espiar y quedarse adentro sin ser vistos, con una mirada de largo plazo. Los grupos de cibercrimen, en cambio, van directo a la rentabilidad rápida a través de ransomware, extorsiones o la venta de accesos en foros clandestinos.
Para una petrolera de la zona de Vaca Muerta, ambos escenarios son riesgosos pero exigen respuestas distintas. Lo que menos se tiene en cuenta en la región, apuntó la especialista, es el espionaje industrial, el robo de datos, contratos y tecnología de perforación. Es un daño que no genera un titular inmediato, pero que puede pesar mucho con el paso del tiempo.
¿Por qué ahora prefieren robar datos en silencio antes que bloquear los sistemas?
Antes, una empresa se enteraba de que la habían atacado porque sus sistemas quedaban cifrados. Hoy el patrón cambió, explicó Méndez, el atacante entra, se queda meses adentro de la red, copia información, planos y acuerdos comerciales sensibles, y se va sin dejar huellas visibles.
El daño no se nota ni en el balance ni en los sistemas. Aparece después, cuando esa información termina en manos de un competidor que de golpe sabe algo que no debería saber, o cuando una negociación se cae por motivos que nadie logra explicar. Por eso, según la fundadora de Cyber Summit, hoy la pregunta que importa ya no es si hubo un ataque, sino «cuánto tiempo llevan adentro».
¿Cómo se cuida una infraestructura donde sensores y sistemas viejos conviven?
Vaca Muerta suma cada vez más sensores, telemetría y servicios en servidores de acceso remoto (computación en la nube, en la jerga informática), pero esa tecnología convive con sistemas de control que vienen de protocolos mucho más viejos.
Ahí está, para Méndez, el centro del problema, la unión entre TI y OT abrió puertas de ataque que antes no existían. Un sensor conectado a Internet puede terminar siendo la vía de entrada hacia un sistema que regula presión, temperatura o flujo en Vaca Muerta.
La defensa, dijo la especialista, pasa por dividir las redes en segmentos, tener visibilidad completa de todo el entorno OT y contar con protocolos de respuesta pensados para plantas que no se pueden apagar y reiniciar de un momento a otro.
El marco que ordena esto es la norma IEC 62443, que fija niveles de seguridad para sistemas de control industrial y que en la región todavía se aplica poco. Lo alentador, remarcó Méndez, es que cada vez más operadoras empiezan a pedirle ese estándar como requisito mínimo a sus proveedores y contratistas en Vaca Muerta.
¿Los defensores pelean con las mismas armas de inteligencia artificial que los atacantes?
Los atacantes ya usan inteligencia artificial para automatizar el reconocimiento de blancos, armar campañas de «phishing» a medida y explotar vulnerabilidades mucho más rápido. Los “deepfakes” con audios o videos falsos de directivos que autorizan transferencias o cambios en la configuración de los sistemas dejaron de ser algo de película, son parte del día a día, sostuvo Méndez.
El problema, agregó, es que los equipos de respuesta ante incidentes de buena parte de las energéticas latinoamericanas todavía trabajan con herramientas reactivas y planteles chicos. La diferencia no pasa solo por la tecnología sino por la velocidad para reaccionar, si el atacante usa inteligencia artificial y el defensor sigue con procesos manuales, la desventaja es de base.
El desafío, resumió la directora de Cyber Summit, es sumar detección basada en inteligencia artificial sin perder el criterio humano, que sigue siendo imprescindible para tomar decisiones en entornos donde un error puede tener consecuencias graves.
¿Las pymes contratistas son la puerta más fácil para entrar?
Cerca de un tercio de las brechas de datos arrancan por el lado de un tercero, y para Méndez ese es justamente uno de los puntos más flojos y menos atendidos de todo el sistema de Vaca Muerta.
Una operadora grande de Vaca Muerta puede tener una seguridad razonable, pero sus contratistas, empresas de logística, mantenimiento o servicios de campo, muchas veces ni siquiera tienen una política básica de contraseñas. Y esas pymes, tarde o temprano, terminan conectadas a los sistemas de la operadora principal.
El atacante no necesita forzar la puerta más resistente, busca la lateral más floja, dice la especialista. La trama de empresas chicas que rodea a Vaca Muerta es, para ella, un ejemplo perfecto de esa superficie de ataque que se agranda. La solución no pasa por pedirle a una pyme el mismo nivel de una multinacional, sino por fijar requisitos mínimos bien definidos, segmentar los accesos y vigilar cada punto de conexión.
¿Por qué cuesta tanto conseguir especialistas en ciberseguridad industrial?
A nivel mundial faltan más de 4 millones de profesionales de ciberseguridad, según datos de ISC2. En América latina esa falta se agrava porque encima se necesita un conocimiento puntual, el que combina ingeniería de sistemas con seguridad informática aplicada a plantas industriales, un perfil escaso en cualquier parte del mundo.
Las empresas de la región compiten por esas personas contra sueldos de Europa y los Estados Unidos que superan varias veces los locales.
Para Méndez, la salida no puede limitarse a salir a contratar, hay que formar personas. Eso implica que las compañías inviertan en capacitación interna, que las universidades sumen estas carreras a su oferta y que existan espacios donde ese conocimiento circule entre pares.
Según contó, esa fue la razón por la que nació Cyber Summit, un espacio pensado para construir comunidad, sumar capacidades y lograr que más profesionales de la región elijan esta especialidad.
Flavia Méndez
¿Dónde debería invertir primero una petrolera para protegerse?
Primero, tener visibilidad real de la red, porque no se puede proteger lo que no se conoce, y muchas plantas OT siguen siendo una caja negra hasta para quienes las operan. Antes de salir a comprar tecnología de defensa, hay que saber qué hay conectado.
Segundo, contar con protocolos de respuesta a incidentes pensados específicamente para plantas industriales, no manuales de TI adaptados a las apuradas. Contener un problema en dos horas en lugar de dos semanas puede significar millones de dólares en producción que no se pierde.
Y tercero, trabajar la cultura interna de la compañía, porque la persona sigue siendo la puerta de entrada más usada y ninguna herramienta la reemplaza.
Un directorio que ve la ciberseguridad únicamente como un gasto de sistemas está mirando para el lado equivocado, porque hoy es una discusión que involucra la continuidad de la producción, la reputación de la empresa y su responsabilidad frente a los reguladores.
Nota de R.: Este artículo acerca de la seguridad digital en Vaca Muerta fue publicado originalmente en iProfesional.
Si te gustó o sirvió algo que publiqué, te ofrezco dos alternativas para agradecer y permitir la continuidad de mi trabajo en Bahía César:
Te invito a suscribirte gratis al boletín semanal de Bahía César para recibirlo en tu correo electrónico. Ingresa tu e-mail aquí.
