Nuevas Amenazas de Ciberseguridad para la Generación de Energía Renovable

Nuevas amenazas de ciberseguridad en el panorama de las energías renovables

En todo el mundo, la energía renovable está en auge como resultado del aumento de la demanda de electricidad, los objetivos de descarbonización y la innovación del sector.

Esta aceleración de las energías renovables y la transición hacia un modelo de red más distribuído, con activos conectados, software y nuevos actores, introducen riesgos adicionales de ciberseguridad. Todos los actores involucrados deben abordar estos riesgos de forma proactiva.

Ciberamenazas: Desafíos emergentes

Las empresas de servicios públicos ya sufren ataques frecuentes, ya que los ciberdelincuentes buscan vulnerabilidades en todos los dispositivos y sistemas conectados bajo su gestión. En ocasiones, lo consiguen. En 2023, el Foro Económico Mundial estimó que más del 60 % de las empresas energéticas sufrieron un incidente cibernético significativo durante el año anterior.

Históricamente, las empresas de servicios públicos y energéticas se han centrado más en la protección de los datos de los clientes y en los ataques físicos a la infraestructura. Por ejemplo, Iberdrola, una compañía energética internacional integrada con sede en España, sufrió un ciberataque a principios de 2024 que comprometió los datos de 1,3 millones de clientes. Sin embargo, hasta hace poco, la ciberseguridad no era una preocupación inmediata para la red eléctrica tradicional debido al aislamiento de los sistemas heredados, que presentaban una conectividad limitada a internet y una automatización significativamente menor.

No obstante, de cara al futuro, el sector energético se adentra en un territorio cibernético desconocido.

Aumento de los riesgos cibernéticos: ¿Por qué ahora?

Los riesgos de ciberseguridad, tanto nacionales como internacionales, están aumentando por varias razones.

En primer lugar, la superficie de ataque se ha ampliado a medida que se incorporan más activos de energías renovables y generación de energía distribuida a las redes. Por ejemplo, los inversores fotovoltaicos (FV), también conocidos como inversores solares, son componentes que convierten la corriente continua producida por los paneles solares en corriente alterna para la red. Cada vez más, los fabricantes están creando inversores más inteligentes que se conectan y comunican con la compañía eléctrica y pueden controlarse dinámicamente. Esta automatización presenta nuevos riesgos, y los investigadores ya han descubierto vulnerabilidades de ciberseguridad en este tipo de sistemas. En el peor de los casos, piratas informáticos malintencionados podrían provocar apagones generalizados si toman el control de muchos inversores FV.

En segundo lugar, a medida que se implementan más proyectos de energías renovables y sistemas de almacenamiento de energía en baterías (BESS), aumenta la necesidad de software para gestionar activamente estos activos. La integración de la energía renovable en la red eléctrica requiere que todos estos componentes y tecnologías interactúen e interoperan, lo que introduce riesgos de ciberseguridad en todo el sistema. Si los ciberdelincuentes obtienen el control de un programa de software de gestión de activos, el riesgo a nivel de la red eléctrica aumenta drásticamente. Por ejemplo, a medida que se incorporan más vehículos eléctricos (VE), el software y la infraestructura de carga conectada a internet necesarios para su funcionamiento también crean nuevos vectores de amenaza que pueden ser explotados.

En tercer lugar, a medida que las energías renovables se expanden, hay más stakeholders involucrados en la producción y gestión de energía. Atrás quedaron los días en que las compañías eléctricas controlaban la mayor parte de la producción de energía en una zona geográfica específica. Según el Departamento de Energía de EE. UU., los proyectos a gran escala se someten a un escrutinio más exhaustivo.

“… los sistemas fotovoltaicos más pequeños y otros [recursos energéticos distribuidos] actualmente no cuentan con normas de ciberseguridad que cumplir, y sus propietarios suelen conectarlos a internet para fines de monitoreo y control. Esto puede crear vulnerabilidades en la red que los ciberdelincuentes pueden explotar…”

Por este motivo, UL Solutions y el Laboratorio Nacional de Energías Renovables (NREL) colaboraron en el desarrollo de la Norma UL 2941, que aborda la ciberseguridad de los recursos energéticos distribuidos (RED).

Mitigación de riesgos cibernéticos

No hay lugar para la complacencia en lo que respecta a los riesgos de ciberseguridad en la cadena de valor energética; estas nuevas amenazas exigen un enfoque más proactivo. Los líderes del sector en todo el ecosistema de energías renovables deben tomar medidas decisivas para mejorar su preparación cibernética y anticiparse a los riesgos de seguridad emergentes. Los líderes del sector pueden adoptar medidas para fortalecer la seguridad con las mejores prácticas esenciales:

• Evaluaciones de riesgos: Las evaluaciones de riesgos periódicas permiten identificar vulnerabilidades, ya sean específicas de hardware, software o realizadas a nivel de proyecto o sistema. UL Solutions cuenta con amplia experiencia en evaluación de brechas de ciberseguridad y asesoramiento preventivo para ayudar a las organizaciones a identificar y mitigar mejor los riesgos.
• Nuevos protocolos de seguridad y capacidad técnica: La implementación o actualización de protocolos de seguridad, desde el cifrado y la autenticación multifactor hasta los parches de seguridad, puede ayudar a las partes interesadas a anticiparse a las amenazas de ciberseguridad. El uso de un gemelo digital puede ayudar a abordar los riesgos de ciberseguridad mediante la monitorización en tiempo real, la simulación de ataques, el análisis predictivo y una mayor conciencia situacional. Además, la capacidad de aislar dispositivos comprometidos es un ejemplo del tipo de capacidad técnica que los stakeholders pueden considerar para desarrollar protocolos en caso de que se produzcan brechas de seguridad.
• Normas y certificaciones: Participar en el proceso de certificación para garantizar el cumplimiento de las normas de seguridad del sector puede ayudar a las organizaciones a desarrollar procesos y sistemas sólidos y actualizados para mejorar la ciberseguridad. La certificación bajo la UL 2900, la Serie de Normas para la Ciberseguridad del Software para Productos Conectables a la Red, ayuda a establecer la debida diligencia en ciberseguridad y demuestra que un producto o sistema cumple con los requisitos pertinentes.
• Formación continua: Priorizar la formación en toda la organización puede ayudar a las empresas a mitigar los riesgos a medida que surgen, ya sea en un área específica de la organización o a nivel de sistema. UL Solutions ofrece formación, talleres y otras oportunidades educativas para ayudar a las empresas a desenvolverse en el amplio panorama de las mejores prácticas y estándares de ciberseguridad, evaluar los objetivos y procesos de ciberseguridad, cualificar el riesgo y ampliar su base de conocimientos internos para abordar la ciberseguridad en el desarrollo de productos.

A medida que evolucionan los riesgos cibernéticos, también lo hacen las nuevas directrices, herramientas y tecnologías que ayudan a las organizaciones a responder y anticiparse a las amenazas. Las iniciativas de seguridad y certificación diseñadas para analizar y abordar las preocupaciones de ciberseguridad en los nuevos sistemas energéticos incluyen:

• IEEE 1547.3:2022: Guía para la ciberseguridad de los recursos energéticos distribuidos interconectados con sistemas de energía eléctrica.
• Las “Líneas de referencia de ciberseguridad para las empresas de distribución eléctrica y los recursos energéticos distribuídos” del Departamento de Energía de los Estados Unidos (DOE).
• UL 2941, el Esquema de investigación para la ciberseguridad de la energía distribuida y los recursos basados ​​en inversores, desarrollado específicamente para abordar los riesgos de ciberseguridad en las tecnologías de energía renovable.

Los nuevos riesgos, ya sean de ciberseguridad u otros factores, añaden complejidad a la fabricación, el despliegue y el mantenimiento de la red de energía renovable. Para muchos interesados, esta complejidad adicional puede ser difícil de gestionar. Los profesionales del sector pueden colaborar con UL Solutions para evaluar los riesgos de ciberseguridad y mantenerse al día sobre el desarrollo de nuevas normas.