La Ley Australiana de Seguridad de las Infraestructuras Críticas de 2018 (SOCI, por sus siglas en inglés) es la piedra angular de la estrategia del gobierno para gestionar los riesgos de las infraestructuras críticas. Sus objetivos son confirmar que los operadores de activos de infraestructuras esenciales adoptan las medidas de seguridad adecuadas y dotar al gobierno de la información y las competencias necesarias para responder a las amenazas.
Aunque en un principio sólo se dirigía a cuatro sectores (electricidad, gas, agua y puertos), la ley SOCI se ha ampliado a 11 sectores de la economía. El objetivo de la ley es mantener los activos y servicios de infraestructuras críticas de estos 11 sectores protegidos y resilientes frente a perturbaciones que afecten a la seguridad, la economía y la sociedad de Australia.
Para lograrlo, la Ley impone obligaciones a los propietarios de activos críticos, en forma de Obligaciones Positivas de Seguridad (OSP), Obligaciones Reforzadas de Ciberseguridad (OCR) y Medidas de Asistencia Gubernamental.
Por ejemplo, las entidades responsables deben registrar los detalles de los activos y pueden estar obligadas a informar de los incidentes cibernéticos al Centro Australiano de Ciberseguridad (ACSC) y a mantener un programa formal de gestión de riesgos conocido como Programa de Gestión de Riesgos de Infraestructuras Críticas (CIRMP). Los activos considerados Sistemas de Importancia Nacional podrían enfrentarse a requisitos aún más estrictos, que incluyen, por ejemplo, planes obligatorios de respuesta a incidentes, ciberejercicios y evaluaciones de vulnerabilidad. En esencia, SOCI codifica lo que antes se consideraba la mejor práctica del sector y lo convierte en una ley de obligado cumplimiento. La SOCI, en esencia, codifica en una ley de obligado cumplimiento lo que antes se consideraba una buena práctica del sector.
Dos campos de impacto: sectores heredados frente a nuevos competidores
Es probable que los sectores originalmente regulados vean SOCI como una extensión de los marcos existentes. Durante décadas, la energía y los servicios públicos han operado bajo rigurosas normas de fiabilidad y seguridad (como los códigos NEM o las leyes de seguridad del agua), por lo que la formalización de estas prácticas dentro de SOCI puede parecer una continuación de la gobernanza existente.
Por el contrario, las organizaciones de los sectores incorporados más recientemente, como las comunicaciones, el almacenamiento y el tratamiento de datos, la sanidad, la educación superior y el transporte, se enfrentan a un nuevo panorama normativo. Estos sectores suelen carecer de un historial de regulación en materia de infraestructuras, lo que significa que el cumplimiento de la normativa SOCI requiere crear muchos procesos desde cero. Esto incluye la creación de registros de activos, la elaboración de planes CIRMP, la implantación de controles y la formación de los equipos en los procedimientos de notificación de incidentes.
Por ejemplo, una red universitaria u hospitalaria puede verse ahora clasificada como operador de infraestructuras críticas, lo que le obliga a identificar los activos cubiertos, evaluar las dependencias e implantar un CIRMP conforme.
Esto suele implicar la creación de una gobernanza formal de la seguridad desde la base -alineándose con marcos como los Ocho Esenciales de la ASD, la ISO 27001 o el Marco de Ciberseguridad del NIST- y el establecimiento de mecanismos para la detección oportuna de incidentes, la respuesta y la notificación a la ACSC.
Por el contrario, los operadores de sectores tradicionalmente regulados pueden contar ya con programas de riesgos maduros y adaptar los controles existentes para cumplir los requisitos de SOCI. Independientemente del sector, todas las organizaciones deben integrar ahora la gestión del ciberriesgo en los procesos empresariales básicos, y no tratarla como una actividad paralela o aislada.
OT y el reto de la convergencia de TI
Un reto importante que plantea la SOCI es la seguridad de los entornos de tecnología operativa (OT): los sistemas de control industrial que sustentan muchos activos críticos. La OT conlleva su propio conjunto de riesgos.
Muchos dispositivos nunca se diseñaron pensando en la ciberseguridad. A menudo ejecutan sistemas operativos o firmware obsoletos que no pueden parchearse fácilmente y utilizan protocolos propietarios o heredados, como Modbus, DNP3 o Profibus, que carecen de autenticación y cifrado básicos.
Al mismo tiempo, la convergencia de las redes de TI y OT ha ampliado la superficie de ataque. Entornos antes aislados están cada vez más conectados a los sistemas informáticos de la empresa y a Internet para permitir la supervisión remota, el análisis y la automatización. Esto crea nuevas vías para que los atacantes se muevan lateralmente entre entornos e introduce el riesgo de interrupción operativa por ciberataques.
Los operadores industriales deben encontrar un equilibrio entre la disponibilidad de los sistemas y la ciberprotección. Desconectar los sistemas para actualizarlos o segmentarlos puede interferir en las operaciones, pero dejarlos expuestos aumenta el riesgo.
SOCI anima a las organizaciones a adoptar estrategias específicas de OT. Estas pueden incluir una segmentación estricta de la red, acceso con mínimos privilegios, supervisión fuera de banda y diseños a prueba de fallos para proteger estos entornos.
Proveedores de servicios de datos y obligaciones de notificación
Uno de los elementos menos comentados, pero de vital importancia, de SOCI es la responsabilidad de notificar a los proveedores de servicios de datos. Si un tercero almacena o trata datos críticos para el negocio relacionados con tu activo regulado, estás obligado a informarles de que se aplica SOCI. De este modo, se garantiza que tus proveedores de servicios comprendan su papel en la protección de los datos críticos y estén preparados para prestarte apoyo en caso de incidente o auditoría.
Además, la notificación de incidentes es un requisito central de SOCI. Un incidente de ciberseguridad que tenga un impacto significativo o relevante en tus servicios esenciales debe notificarse a la ACSC dentro de unos plazos estrictos. Si el impacto es significativo, la notificación debe producirse en un plazo de 12 horas. Para incidentes relevantes pero de menor gravedad, la notificación debe producirse en un plazo de 72 horas.
No se trata de una actividad voluntaria o de máximo esfuerzo. Es una obligación legal. La notificación oportuna proporciona a la ACSC visibilidad sobre las amenazas a los sistemas nacionales, lo que le permite coordinar respuestas oportunas y eficaces. También refuerza el principio de que la protección de las infraestructuras críticas es una responsabilidad compartida entre la industria y el gobierno.
Más allá de la prevención: el verdadero significado de la resiliencia
Muchas organizaciones siguen interpretando la resiliencia como la capacidad de bloquear o prevenir amenazas. Sin embargo, la verdadera resiliencia va más allá de la prevención. Es la capacidad de absorber los impactos, recuperarse rápidamente y seguir funcionando, incluso en condiciones adversas. SOCI anima a las organizaciones a adoptar esta definición más amplia.
Resiliencia significa disponer de planes de recuperación probados, copias de seguridad offline fiables, sistemas redundantes y un manual para volver al servicio durante o después de un incidente. También implica una mejora continua, aprender de cada incidente, adaptar las defensas y solucionar las lagunas antes del próximo ataque.
Esto es especialmente importante dadas las tendencias recientes. Los informes de la Dirección Australiana de Señales (ASD) y otros organismos gubernamentales muestran que están aumentando los incidentes cibernéticos que afectan a sectores como el agua, la energía y el transporte.
Incluso los sucesos relativamente menores pueden causar efectos dominó en sistemas interdependientes, afectando a las cadenas de suministro, la seguridad pública y los servicios esenciales. Estas tendencias ponen de relieve la urgencia de un enfoque centrado en la recuperación.
Los CISO deben liderar la iniciativa para que la ciberresiliencia sea algo más que una casilla de verificación. Esto significa tratar la resiliencia como una capacidad dinámica e integral que implica que las personas, los procesos y la tecnología trabajen conjuntamente.
Un cambio normativo con ventajas estratégicas
SOCI ha representado un cambio significativo en el enfoque australiano de la ciberregulación. Va más allá de los enfoques fragmentados y voluntarios y crea un marco nacional cohesivo para proteger las infraestructuras críticas. Aunque ciertamente ha introducido nueva complejidad, cargas de información y costes de cumplimiento, también ofrece una oportunidad para que las organizaciones eleven su madurez de seguridad e integren la resiliencia en el núcleo de sus operaciones.
En lugar de considerar la SOCI como una mera tarea de cumplimiento normativo, los CISO con visión de futuro pueden tratarla como un catalizador estratégico. Proporciona respaldo a nivel del consejo de administración para las inversiones, formaliza las prácticas de gestión de riesgos y mejora la coordinación entre el negocio y la seguridad. La inclusión de medidas de ayuda gubernamental y mecanismos de intercambio de información sobre amenazas consolida aún más la SOCI como una herramienta de colaboración, y no solo como una obligación.
A medida que las amenazas evolucionan y la infraestructura digital se integra cada vez más en la vida del país, la resiliencia debe ser la prioridad. SOCI prepara el terreno. Ahora nos toca a nosotros actuar.
Más información sobre sus obligaciones en la Guía de la Ley SOCI.
