La Ley Australiana de Seguridad de las Infraestructuras Críticas de 2018 (SOCI, por sus siglas en inglés) es la piedra angular de la estrategia del Gobierno para gestionar los riesgos de las infraestructuras críticas. Sus objetivos son garantizar que los operadores de activos de infraestructuras esenciales adopten las medidas de seguridad adecuadas y dotar al Gobierno de la información y las competencias necesarias para responder a las amenazas.
Aunque en un principio solo se aplicaba a cuatro sectores (electricidad, gas, agua y puertos), la ley SOCI se ha ampliado a 11 sectores de la economía. El objetivo de la ley es mantener los activos y servicios de infraestructuras críticas de estos 11 sectores protegidos y resilientes frente a perturbaciones que afecten a la seguridad, la economía y la sociedad de Australia.
Para lograrlo, la ley impone obligaciones a los propietarios de activos críticos, en forma de Obligaciones Positivas de Seguridad (OSP), Obligaciones Reforzadas de Ciberseguridad (OCR) y Medidas de Asistencia Gubernamental.
Por ejemplo, las entidades responsables deben registrar los datos de los activos y pueden estar obligadas a notificar los incidentes cibernéticos al Centro Australiano de Ciberseguridad (ACSC) y a mantener un programa formal de gestión de riesgos conocido como Programa de Gestión de Riesgos de Infraestructuras Críticas (CIRMP). Los activos considerados «sistemas de importancia nacional» podrían enfrentarse a requisitos aún más estrictos, que incluyen, por ejemplo, planes obligatorios de respuesta a incidentes, ciber simulacros y evaluaciones de vulnerabilidad. En esencia, la SOCI codifica lo que antes se consideraba una buena práctica del sector y lo convierte en una ley de obligado cumplimiento. La SOCI, en esencia, codifica en una ley de obligado cumplimiento lo que antes se consideraba una buena práctica del sector.
Dos ámbitos de impacto: sectores tradicionales frente a nuevos competidores
Es probable que los sectores regulados desde el principio vean la SOCI como una ampliación de los marcos normativos existentes. Durante décadas, los sectores de la energía y los servicios públicos han operado bajo rigurosas normas de fiabilidad y seguridad (como los códigos NEM o las leyes de seguridad del agua), por lo que la formalización de estas prácticas en el marco de la SOCI puede parecer una continuación de la gobernanza existente.
Por el contrario, las organizaciones de los sectores incorporados más recientemente, como las comunicaciones, el almacenamiento y el tratamiento de datos, la sanidad, la educación superior y el transporte, se enfrentan a un nuevo panorama normativo. Estos sectores suelen carecer de un historial de regulación en materia de infraestructuras, lo que significa que el cumplimiento de la normativa SOCI requiere crear muchos procesos desde cero. Esto incluye la creación de registros de activos, la elaboración de planes CIRMP, la implantación de controles y la formación de los equipos en los procedimientos de notificación de incidentes.
Por ejemplo, una red universitaria u hospitalaria puede verse ahora clasificada como operador de infraestructuras críticas, lo que la obliga a identificar los activos afectados, evaluar las dependencias e implantar un CIRMP conforme.
Esto suele implicar la creación de un marco formal de gobernanza de la seguridad partiendo de cero —en consonancia con marcos como los Ocho Esenciales de la ASD, la norma ISO 27001 o el Marco de Ciberseguridad del NIST— y el establecimiento de mecanismos para la detección oportuna de incidentes, la respuesta y la notificación a la ACSC.
Por el contrario, los operadores de sectores tradicionalmente regulados pueden contar ya con programas de gestión de riesgos consolidados y adaptar los controles existentes para cumplir los requisitos de la SOCI. Independientemente del sector, todas las organizaciones deben integrar ahora la gestión del ciberriesgo en los procesos empresariales básicos, y no tratarla como una actividad paralela o aislada.
La tecnología operativa (OT) y el reto de la convergencia con las TI
Un reto importante que plantea la SOCI es la seguridad de los entornos de tecnología operativa (OT): los sistemas de control industrial que sustentan muchos activos críticos. La OT conlleva su propio conjunto de riesgos.
Muchos dispositivos nunca se diseñaron teniendo en cuenta la ciberseguridad. A menudo ejecutan sistemas operativos o firmware obsoletos que no pueden parchearse fácilmente y utilizan protocolos propietarios o heredados, como Modbus, DNP3 o Profibus, que carecen de autenticación y cifrado básicos.
Al mismo tiempo, la convergencia de las redes de TI y OT ha ampliado la superficie de ataque. Entornos que antes estaban aislados están cada vez más conectados a los sistemas informáticos de la empresa y a Internet para permitir la supervisión remota, el análisis y la automatización. Esto crea nuevas vías para que los atacantes se desplacen lateralmente entre entornos e introduce el riesgo de interrupción operativa por ciberataques.
Los operadores industriales deben encontrar un equilibrio entre la disponibilidad de los sistemas y la ciberprotección. Desconectar los sistemas para actualizarlos o segmentarlos puede interferir en las operaciones, pero dejarlos expuestos aumenta el riesgo.
SOCI anima a las organizaciones a adoptar estrategias específicas de OT. Estas pueden incluir una segmentación estricta de la red, acceso con privilegios mínimos, supervisión fuera de banda y diseños a prueba de fallos para proteger estos entornos.
Proveedores de servicios de datos y obligaciones de notificación
Uno de los elementos menos comentados, pero de vital importancia, de la SOCI es la responsabilidad de notificar a los proveedores de servicios de datos. Si un tercero almacena o trata datos críticos para el negocio relacionados con tu activo regulado, estás obligado a informarles de que se aplica SOCI. De este modo, se garantiza que tus proveedores de servicios comprendan su papel en la protección de los datos críticos y estén preparados para prestarte apoyo en caso de incidente o auditoría.
Además, la notificación de incidentes es un requisito fundamental de la SOCI. Un incidente de ciberseguridad que tenga un impacto significativo o relevante en tus servicios esenciales debe notificarse a la ACSC en unos plazos estrictos. Si el impacto es significativo, la notificación debe realizarse en un plazo de 12 horas. En el caso de incidentes relevantes pero de menor gravedad, la notificación debe realizarse en un plazo de 72 horas.
No se trata de una actividad voluntaria ni de un esfuerzo meramente recomendatorio. Es una obligación legal. La notificación oportuna proporciona a la ACSC visibilidad sobre las amenazas a los sistemas nacionales, lo que le permite coordinar respuestas oportunas y eficaces. También refuerza el principio de que la protección de las infraestructuras críticas es una responsabilidad compartida entre la industria y el gobierno.
Más allá de la prevención: el verdadero significado de la resiliencia
Muchas organizaciones siguen interpretando la resiliencia como la capacidad de bloquear o prevenir amenazas. Sin embargo, la verdadera resiliencia va más allá de la prevención. Es la capacidad de absorber los impactos, recuperarse rápidamente y seguir funcionando, incluso en condiciones adversas. SOCI anima a las organizaciones a adoptar esta definición más amplia.
La resiliencia implica disponer de planes de recuperación probados, copias de seguridad offline fiables, sistemas redundantes y un manual para restablecer el servicio durante o después de un incidente. También implica una mejora continua, aprender de cada incidente, adaptar las defensas y subsanar las vulnerabilidades antes del próximo ataque.
Esto es especialmente importante a la luz de las tendencias recientes. Los informes de la Agencia Australiana de Señales (ASD) y otros organismos gubernamentales muestran que están aumentando los incidentes cibernéticos que afectan a sectores como el agua, la energía y el transporte.
Incluso los sucesos relativamente menores pueden provocar un efecto dominó en sistemas interdependientes, afectando a las cadenas de suministro, la seguridad pública y los servicios esenciales. Estas tendencias ponen de relieve la urgencia de un enfoque centrado en la recuperación.
Los CISO deben liderar la iniciativa para que la ciberresiliencia sea algo más que una casilla que marcar. Esto significa abordar la resiliencia como una capacidad dinámica e integral que implica que las personas, los procesos y la tecnología trabajen conjuntamente.
Un cambio normativo con ventajas estratégicas
La SOCI ha supuesto un cambio significativo en el enfoque australiano de la ciberregulación. Va más allá de los enfoques fragmentados y voluntarios y crea un marco nacional cohesionado para proteger las infraestructuras críticas. Aunque sin duda ha introducido una mayor complejidad, cargas de información y costes de cumplimiento, también ofrece una oportunidad para que las organizaciones eleven su madurez en materia de seguridad e integren la resiliencia en el núcleo de sus operaciones.
En lugar de considerar la SOCI como una mera tarea de cumplimiento normativo, los CISO con visión de futuro pueden tratarla como un catalizador estratégico. Proporciona respaldo a nivel del consejo de administración para las inversiones, formaliza las prácticas de gestión de riesgos y mejora la coordinación entre el negocio y la seguridad. La inclusión de medidas de ayuda gubernamental y mecanismos de intercambio de información sobre amenazas consolida aún más la SOCI como una herramienta de colaboración, y no solo como una obligación.
A medida que las amenazas evolucionan y la infraestructura digital se integra cada vez más en la vida del país, la resiliencia debe ser la prioridad. La SOCI allana el camino. Ahora nos toca a nosotros actuar.
Más información sobre sus obligaciones en la Guía de la Ley SOCI.
