ES-ISAC Aguas: primeros minutos tras un ciberataque

Un ciberincidente rara vez da margen para improvisar. Lo que haga una entidad de abastecimiento o de saneamiento en los primeros minutos tras detectar un comportamiento anómalo, tanto en sus sistemas corporativos (IT) como en los de proceso (OT), separa un suceso resuelto en pocas horas de una afectación prolongada a un servicio básico para la población. Para apoyar esa capacidad de reacción, el ES-ISAC Aguas ofrece a sus miembros un nuevo material de uso específico para la comunidad, centrado en los primeros minutos de la gestión de un ciberincidente, que complementa el trabajo de intercambio de información que la comunidad mantiene desde su puesta en marcha.

Por qué los primeros minutos pesan tanto

En el ciclo urbano del agua conviven instalaciones muy distintas: captaciones, estaciones de tratamiento de agua potable, depósitos, redes de distribución, colectores, estaciones de bombeo y estaciones depuradoras de aguas residuales, casi todas gobernadas por sistemas SCADA y de telecontrol. La integración cada vez mayor entre IT y OT, la digitalización de instalaciones remotas y la entrada de soluciones basadas en inteligencia artificial amplían la superficie de exposición ante actores que van desde el hacktivismo hasta grupos avanzados con respaldo estatal. 
Una respuesta ordenada al inicio (identificar, contener y comunicar) limita el alcance del incidente y protege tanto la calidad del agua suministrada como la continuidad del vertido y la depuración.

Alineados con la NIS2

La Directiva (UE) 2022/2555 (NIS2) clasifica el agua potable y las aguas residuales entre los sectores de alta criticidad, y exige a sus entidades esenciales algo más que identificar riesgos, les pide actuar sobre ellos. 
El artículo 21, apartado 2, relaciona las medidas mínimas de gestión de riesgos de ciberseguridad, e incluye expresamente la gestión de incidentes. Disponer de un protocolo probado para los primeros minutos de un ciberincidente forma parte, por tanto, del contenido mínimo que fija la propia directiva y no de las buenas prácticas voluntarias.
La infografía completa está disponible para las entidades miembro a través de sus asociaciones.