Aon, empresa líder mundial en servicios profesionales, ha afirmado que los propietarios y operadores de activos en el creciente mercado de sistemas de almacenamiento de energía en baterías deben reforzar su resistencia informática, ya que se enfrentan a nuevas amenazas cibernéticas. A medida que la red de energía se digitaliza, el equipo de Asesoría de Seguridad Cibernética de Aon ha identificado las tecnologías operativas utilizadas en los sistemas de control BESS como un punto “invisible” de vulnerabilidad que podría ser expuesto por actores de amenazas cada vez más sofisticados.
La Encuesta Global de Gestión de Riesgos 2021 de Aon informó de que los ciberataques se clasifican como la amenaza número uno a la que se enfrentan las empresas hoy y en el futuro. Las empresas energéticas, en particular, se enfrentan a un panorama de riesgos cibernéticos cada vez más complejo, con nuevas formas de volatilidad y tensiones geopolíticas actuales que impulsan el escrutinio sobre la seguridad de la infraestructura energética esencial.
Se prevé que las instalaciones de almacenamiento de energía en todo el mundo alcancen un total acumulado de 411 GW -o 1.194 GWh- a finales de 2030, según el informe Energy Storage Market Outlook de BloombergNEF (BNEF) correspondiente al segundo semestre de 2022. Este crecimiento va de la mano de la creciente digitalización del sistema energético.
Sin embargo, debido a la naturaleza de esta evolución digital, los activos OT están ahora más conectados que nunca, lo que puede dejar a los propietarios de los activos expuestos a riesgos desconocidos y abiertos a los ataques de los actores de amenazas.
Andrew Hainault, director general de EMEA – Asesoría de Seguridad de Aon, afirmó: “Según nuestra experiencia, la ciberseguridad de la OT está jugando a ponerse al día con la tecnología de la información (TI). Vemos ejemplos de clientes que cuentan con programas de ciberseguridad relativamente maduros para TI, con los correspondientes marcos de control establecidos y medidos, pero que presentan notables lagunas de control para OT”.
“De hecho, los entornos OT a menudo quedan fuera del ámbito de las TI y, en consecuencia, son invisibles cuando se trata de la gestión de riesgos cibernéticos de la empresa. Para empeorar las cosas, los fabricantes no suelen estar familiarizados con los ciclos de vida de desarrollo seguro y, por lo tanto, siguen desplegando sistemas que no están debidamente reforzados para entornos accesibles a través de Internet”, añadió.
Paul Gooch, responsable de Mercado Abierto Cibernético de Tokio Marine Kiln, suscriptor principal del Mecanismo de Daños Cibernéticos a la Propiedad (CYPD) de Aon, dijo: “Para que los BESS sean eficaces a la hora de garantizar la fiabilidad y la estabilidad de la red, tendrán que estar plenamente integrados en la arquitectura de la red eléctrica. Dicha integración requiere la adopción de una infraestructura de comunicaciones, lo que aumentará la superficie potencial de ciberataques”.
Aunque hasta la fecha solo se ha informado de un puñado de ataques con éxito contra sistemas de energía limpia, en 2022 surgieron nuevas formas de malware sofisticado -incluido el “Pipedream” de Chernovite- que suponen una amenaza significativa para los sistemas de control industrial conectados a la red energética, incluidos los BESS.
En este contexto, Aon ha advertido de que incluso los propietarios de activos BESS que cuentan con sólidas medidas de seguridad de TI pueden estar pasando por alto vulnerabilidades significativas en sus sistemas OT. Los sistemas operativos suelen tener limitaciones de seguridad que impiden actualizaciones periódicas, y la vida útil de los equipos operativos significa que los ciclos de vida de los componentes son más largos que en el mundo de las TI. Además, puede haber lagunas en la revisión de las vulnerabilidades y la gestión de los controles para proteger los activos de las amenazas digitales, así como en la implantación y gestión de controles eficaces.
Si estas lagunas en la ciberseguridad de la OT fueran aprovechadas por un agente de amenazas, las consecuencias podrían superar con creces el impacto de un ciberataque en los sistemas de TI, lo que tendría graves repercusiones operativas, financieras y físicas para los propietarios de activos de BESS.
Según Paul Gooch, “las baterías de iones de litio (Li-ion), que son las más utilizadas actualmente en las BESS, requieren una supervisión y un control minuciosos de sus condiciones de tensión, corriente y temperatura. Si un agente de amenazas interfiriera en esta supervisión y control, podrían producirse daños físicos, desde la degradación de las celdas de la batería, causada por una sobrecarga o sobredescarga, hasta un evento de “fuga térmica” que provocara un sobrecalentamiento, un incendio o una explosión”.
Ante esta exposición potencial, Aon aboga por que los propietarios de activos BESS tomen medidas para reforzar sus estrategias de ciberseguridad ahora, antes de que un ciberataque importante afecte al sector. La resiliencia cibernética sostenida depende de la capacidad de las empresas para evaluar, mitigar y transferir continuamente sus riesgos, así como para recuperarse de las pérdidas operativas y financieras. Estas capacidades son cruciales para garantizar que los propietarios del almacenamiento estén mejor situados para acceder a la cobertura del seguro y mantener la continuidad del negocio tanto en la preparación como en el caso de un ciberataque a sus sistemas de TI u OT.