«Ser un puerto resiliente y ciberseguro es un factor clave de competitividad»

La ciberseguridad en el sector marítimo ha dejado de ser un asunto técnico para convertirse en una prioridad estratégica a nivel global.

• Organismos internacionales como la OTAN han subrayado recientemente la urgencia de reforzar las defensas digitales de los puertos, conscientes de que una brecha en estas infraestructuras críticas puede tener consecuencias de gran alcance para el comercio, la seguridad energética y la estabilidad geopolítica.
• También la nueva estrategia ProtectEU de la Comisión Europea considera los puertos infraestructuras clave, y la ciberseguridad es una de sus principales pilares. De acuerdo con su objetivo de reforzar la seguridad interior de la Unión.

En esta misma línea, la International Association of Ports and Harbors (IAPH) ha publicado sus Directrices de Ciberresiliencia para Tecnologías Emergentes, una hoja de ruta para que los puertos integren la seguridad en todos sus proyectos tecnológicos. Estas directrices llaman a la cooperación internacional, a la capacitación de los equipos y a la adopción de marcos regulatorios más sólidos que acompañen la transformación digital del sector.

Desde el Port de Barcelona, Chiara Saragani y Javier Garrido han participado en la elaboración de este informe y con ellos hemos podido desgranar algunas de las cuestiones relacionadas con la ciberseguridad en el ámbito portuario. 

[PierNext] La IAPH subraya la necesidad de incorporar la ciberseguridad por diseño en las primeras fases de cualquier proyecto tecnológico portuario. ¿Esto ya se está haciendo o sigue siendo una asignatura pendiente?

[Javier Garrido]: Es más bien una asignatura pendiente. De hecho, el objetivo de esta guía es precisamente concienciar a los equipos directivos —por ejemplo, a perfiles C-Level— de que las nuevas tecnologías, muchas de ellas vinculadas a la digitalización, requieren medidas de ciberseguridad desde cero. Solo así, cuando llegue un hackeo, sabrás cómo actuar.

De las tecnologías analizadas en el informe (IA, IoT, 5G, automatización, drones, energía verde y computación cuántica), ¿cuáles suponen hoy mayores desafíos para las operaciones portuarias?

[J.G.]: La computación cuántica está todavía muy inmadura, lo que implica que desconocemos bien los riesgos que puede plantear ante un ciberataque. Además, hay que considerar que las tecnologías emergentes que permiten gestionar más información también incrementan el impacto potencial de los ciberataques, al poder aprovechar esta mayor capacidad de computación de datos.

La automatización es otro reto: incrementa la productividad, pero también multiplica los datos digitales que pueden ser objeto de ataque. Por ejemplo, si una terminal de contenedores queda bloqueada por un hackeo, puede llegar a afectar al tráfico de los miles de camiones que circulan por ella.

[Chiara Saragani]: Estas tecnologias no sólo tocan varios tipo de actividades y objetivos de la logística marítima, sino que también pueden ser aplicadas en diferentes áreas, hasta cubrir un entorno muy grande. Por eso es fundamental que un puerto defina primero hacia dónde quiere avanzar, cómo va a aplicar estas tecnologías y en qué le pueden ser más útiles. Solo así podrá implementar una estrategia de ciberseguridad realmente efectiva.

Por ejemplo, desplegar el 5G en un puerto puede llevar años de preparación, especialmente para entender bien los retos que plantea desde el punto de vista de la seguridad y cómo aprovechar sus ventajas de forma segura.

¿Qué otras tecnologías pueden ayudar a reforzar la ciberseguridad portuaria?

[J.G.]: Aunque, como he dicho todavía no está madura, la computación cuántica también podría ayudar mucho en el futuro. Por ejemplo, con el Aprendizaje Automático Cuántico para detectar intentos de phishing o para mapear infraestructuras críticas. En general, puede contribuir a contener y neutralizar ataques de forma temprana.

La guía también insiste en la formación del personal. ¿Se está capacitando adecuadamente a los equipos portuarios para afrontar estas amenazas?

[C.S.]: Cada tecnología tiene su propio ritmo de evolución y muchas soluciones emergentes aún requieren un aprendizaje constante. Los departamentos de IT cuentan con un conocimiento sólido y son clave en la gestión tecnológica interna, además de impulsar la formación continua del personal para afrontar los nuevos retos. Asimismo, la colaboración con empresas especializadas en áreas concretas, como 5G o inteligencia artificial, complementa ese expertise y facilita una integración exitosa de las tecnologías en el entorno portuario.

[J.G.]: A medida que avanza la digitalización, se están lanzando iniciativas para formar a todos los empleados del puerto en cuestiones prácticas relacionadas con la seguridad tecnológica. 

Hasta ahora hemos hablado en términos de futuro, pero ¿ha habido incidentes destacables en los puertos?

[J.G.]: Sí. El Port de Barcelona sufrió un ciberataque el 20 de septiembre de 2018. Gracias a los backups se pudo recuperar la normalidad aplicando un plan de contingencia, pero la operativa se vio parcialmente afectada y, por ejemplo, durante algunos días el personal de la autoridad portuaria no pudo acceder a sus ordenadores. Estas situaciones, aunque duras, ayudan a estar mejor preparados para futuros incidentes y preparar mejores planes de contingencia. Por otro lado, las navieras también han sufrido ataques, como fue el caso de Maersk en 2017, cuyas pérdidas globales se estimaron en alrededor de 250 millones de dólares.

¿Qué lecciones se extrajeron de ese ataque?

[J.G.]: Creamos un proyecto innovador de ciberresiliencia portuaria que estamos desarrollando. En un puerto intervienen muchos stakeholders y, si cada uno tiene su propio sistema aislado, acabas con múltiples puertas de entrada para un potencial ataque. Por eso estamos trabajando en establecer un SOC de SOCs, es decir, un Centro de Operaciones de Seguridad Global que supervise a todos los SOC de los diferentes agentes portuarios. Así, si hay una brecha en uno de ellos, podemos detectarla rápidamente y coordinar la respuesta para minimizar el impacto.

Y además de lo aprendido, ¿ahora cuáles son las prioridades en ciberseguridad del Port de Barcelona?

[C.S.]: Será clave coordinar por completo el sistema de ciberresiliencia del puerto, algo complejo porque cada stakeholder tiene su propia forma de trabajar. También será importante evaluar cómo las tecnologías emergentes pueden aportar seguridad: por ejemplo, el blockchain puede dar mayor robustez a operaciones digitales, el 5G permite respuestas más rápidas ante incidentes y la IA ayuda a prevenir riesgos.

En términos de colaboración internacional, ¿qué mecanismos consideran más efectivos para compartir inteligencia de amenazas?

[C.S.]: Más que proyectos cerrados, hoy se están compartiendo ideas entre varios puertos miembros de la IAPH para poner en común experiencias, identificar intereses comunes y explorar vías de colaboración.

De hecho, esta guía busca precisamente remarcar los desafíos compartidos y, quizás en el futuro, proponer líneas generales que todos los puertos puedan aplicar.

También hay que tener en cuenta que cada vez volcamos más datos en la nube y que los puertos están más interconectados. Un ciberataque a uno de ellos puede poner en riesgo a toda una red de infraestructuras.

[J.G.]: En Europa ya se está trabajando en la EU Port Strategy y en los grupos de trabajo se está planteando poner un especial foco en la ciberseguridad. Esto permitirá establecer un marco estratégico común, aunque luego cada país o puerto adapte los detalles.

No olvidemos el impacto económico: bloquear un puerto puede paralizar sectores enteros. En el caso del Port de Barcelona, por ejemplo, casi el 100% del gas que consume Catalunya se importa a través del puerto. Si se bloquea este tráfico, el daño económico sería enorme. Lo mismo ocurriría si se paraliza la entrada de contenedores para las fábricas de automóviles o de cereales para la industria alimentaria.

¿Llegaremos a poder predecir ciberataques?

[J.G.]: Por ahora, la prioridad es consolidar ese paraguas de ciberresiliencia portuaria que cubra a todos los agentes y asegurar las cadenas de custodia de datos. A partir de ahí, recopilando información y haciendo simulaciones, podremos mejorar protocolos y acercarnos a predecir ataques o, al menos, identificar los momentos de mayor vulnerabilidad.

[C.S.]: Hoy trabajamos más en prevención y reconstrucción, pero creo que a largo plazo podremos anticiparnos o, como mínimo, detectar con antelación cuándo somos más vulnerables.