FBI y CISA emiten guía sobre riesgos de integradores en infraestructuras críticas

El Buró Federal de Investigaciones (FBI) y la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) han publicado un documento que detalla consideraciones esenciales para operadores de infraestructuras críticas. Esta guía, disponible en cisa.gov, se enfoca en reducir riesgos y vulnerabilidades asociados con el trabajo junto a integradores externos de sistemas de control industrial (ICS). Los ICS son redes integradas de hardware y software que monitorizan y automatizan procesos físicos, incluyendo sistemas SCADA y controladores lógicos programables.

Los integradores de terceros ofrecen una gama de servicios, desde el diseño e instalación de sistemas hasta el análisis de datos operativos y el control diario. Las agencias autoras subrayan que los propietarios y operadores de infraestructuras críticas deben ejercer precaución al otorgar altos niveles de acceso a estos integradores. La aplicación del ‘principio de mínimo privilegio’ (PoLP) es fundamental, asegurando que usuarios, procesos y sistemas reciban únicamente el acceso indispensable para sus tareas, sin excedentes. La no adopción de PoLP puede exponer a las infraestructuras a actores cibernéticos maliciosos, facilitando accesos sensibles que podrían ser explotados para causar interrupciones y daños severos.

La colaboración con integradores externos puede introducir inadvertidamente problemas de seguridad, particularmente si los sistemas no están configurados según los requisitos de seguridad del cliente. También surgen riesgos en la cadena de suministro si no se establecen requisitos claros para la adquisición y manejo seguro de componentes. Adicionalmente, los integradores que operan o alojan datos fuera de Estados Unidos pueden presentar riesgos suplementarios, sujetos a legislaciones de almacenamiento y gestión de datos diferentes.

Un análisis técnico del FBI revela un incidente concreto ocurrido entre marzo y abril de 2025. Actores cibernéticos extranjeros lograron acceder a la red de una compañía estadounidense de soluciones de automatización industrial que prestaba servicios a clientes del sector industrial, incluyendo compañías eléctricas y entidades de transporte. Durante su permanencia en la red, los atacantes buscaron términos como "clientes" y "SCADA", y crearon nueve archivos .zip, conteniendo aproximadamente 800 ficheros. Se presume una exfiltración de información que incluía datos SCADA de clientes, detalles de dispositivos ICS y otros esquemas, que podrían ser utilizados en futuros ataques disruptivos contra entornos operativos y servicios críticos.

Las agencias recomiendan a los operadores realizar evaluaciones de riesgo periódicas y tomar decisiones informadas sobre la incorporación de integradores, incluyendo consideraciones geopolíticas. Además, instan a incluir cláusulas de ciberseguridad y cadena de suministro en los contratos, a evaluar la exposición a internet de los dispositivos, a monitorizar el acceso remoto y a mantener inventarios de hardware y software suministrado.