A medida que los reguladores exigen resiliencia en las operaciones comerciales, ¿qué pueden aprender otros del ciberataque a un proveedor que afectó a Heathrow y a sus homólogos en Europa?

En septiembre, una ciberataque El ataque contra el proveedor de software Collins Aerospace provocó largas demoras en varios aeropuertos europeos, incluido el de Heathrow en Londres. impactados El software Muse de Collins para el procesamiento de pasajeros, utilizado por las aerolíneas para gestionar los sistemas de facturación en línea y de equipaje en los aeropuertos.

En aquel momento, muchos titulares se centraron en las interrupciones y la frustración de los pasajeros; sin embargo, quizás lo más interesante es que las operaciones de Heathrow no se paralizaron por completo. El aeropuerto siguió funcionando, aunque con limitaciones, gracias a los protocolos de contingencia que se habían implementado antes del incidente.

Esto ocurre en un momento en que el riesgo de ciberataques está aumentando vertiginosamente. Según los datos, se ha producido un incremento del 600% en los ataques de ransomware en el sector de la aviación en un año. Thales.

Teniendo en cuenta cifras como estas, los gobiernos y los organismos reguladores se están preparando para un futuro en el que prevenir los ciberataques sea imposible. Por ello, es mucho más importante que las organizaciones puedan mantener la operatividad cuando estos se produzcan.

A medida que los reguladores exigen resiliencia en las operaciones comerciales, ¿qué pueden aprender otros del ciberataque que afectó a Heathrow y a sus homólogos en Europa?

La línea que separa la disrupción del desastre

La respuesta del aeropuerto le permitió seguir funcionando incluso durante el ataque. Cabe destacar que Heathrow se centró en mantener en marcha las operaciones esenciales, aunque sus funciones principales se ralentizaran y provocaran interrupciones visibles, afirma Becky White, abogada sénior del equipo de protección de datos y privacidad de Harper James.

“La prioridad era mantener la seguridad en los viajes, en lugar de preservar una experiencia fluida para los pasajeros”, explica a IO. “Al cambiar a procesos manuales preestablecidos y separar los sistemas críticos de los afectados, pudieron absorber el impacto en lugar de colapsar”.

Un desastre habría supuesto la paralización total del tráfico aéreo y del procesamiento de pasajeros, mientras que las interrupciones solo provocaron colas, retrasos y soluciones alternativas. Heathrow había invertido claramente en procedimientos de contingencia que no dependían de condiciones perfectas, señala White. «Cuando los sistemas fallaban, el personal sabía qué significaba que las condiciones fueran lo suficientemente buenas como para seguir operando, y actuaban en consecuencia».

Lecciones para otros sectores

Otros deberían tomar nota, especialmente aquellos que operan en sectores críticos donde el tiempo de inactividad no es una opción. Más allá de la aviación, para industrias como la sanidad, la energía, las finanzas o el comercio minorista, que ha visto su propia crisis, esto también debería ser relevante. oleada de ataques – El ejemplo de Heathrow demuestra cómo la resiliencia puede marcar la diferencia.

Se trata de garantizar la rápida recuperación de datos críticos, la restauración segura de los sistemas y la continuidad de las operaciones, incluso cuando el entorno principal esté fuera de servicio, afirma Anthony Cusimano, director de Object First. «Estos sectores dependen en gran medida del acceso ininterrumpido a los datos y a los sistemas operativos, e incluso las interrupciones breves pueden tener consecuencias en cadena».

Según White, las industrias críticas se evalúan cada vez más por su capacidad para operar en un "modo degradado" en lugar de evitar por completo las interrupciones. "Heathrow demostró que la continuidad del negocio no tiene por qué ser perfecta. Se trata de previsión, ensayos y la capacidad de priorizar lo que debe seguir funcionando".

La pregunta oculta

Tomando como referencia el enfoque de Heathrow, todos los consejos de administración deberían preguntarse cuánto tiempo podrían seguir funcionando si sus sistemas principales se desconectaran, afirma Sean Tilley, director senior de ventas para EMEA de 11:11 Systems.

Sin embargo, señala una “verdad incómoda”: muchas organizaciones no han sometido este escenario a pruebas de estrés completas y los ejercicios de continuidad del negocio suelen ser “teóricos o aislados”.

La mayoría de las organizaciones dan por sentado que podrían funcionar «durante un tiempo» sin un sistema central, pero muy pocas han comprobado cuánto tiempo realmente sería posible, afirma White. «La pregunta clave no es si la recuperación es posible, sino cuánto tiempo podría funcionar la empresa sin sus plataformas esenciales y cuál sería el coste para los clientes, la seguridad o el cumplimiento normativo».

Teniendo esto en cuenta, las organizaciones deberían considerar el incidente de Heathrow como “un caso práctico para la planificación de la resiliencia”, afirma Ken Prole, director ejecutivo de ingeniería de software en Black Duck. Señala que la disrupción no solo proviene de ciberataques: también puede derivarse de eventos inesperados como… Incidente de CrowdStrike que provocaron la caída de sistemas en todo el mundo en 2024.

Teniendo en cuenta el impacto de este tipo de interrupciones, Prole destaca algunas preguntas que deberían plantearse. Por ejemplo, señala: "¿Han identificado todas las dependencias críticas de sus operaciones y realizado un análisis exhaustivo del modelo de amenazas? ¿Cuentan con un protocolo documentado que describa las acciones a seguir cuando una o más dependencias se vean comprometidas?".

Regulación Entrante

La necesidad de resiliencia operativa en momentos de ataque es un elemento clave de múltiples regulaciones. En el Reino Unido y la UE, existen marcos como el redes y sistemas de información Directiva (NIS2), Ley de resiliencia operativa digital (DORA) y el Reino Unido Proyecto de ley sobre ciberseguridad y resiliencia Priorizar la continuidad operativa tras un incidente.

“El cumplimiento normativo exigirá cada vez más que las organizaciones demuestren su resiliencia a través de métricas, auditorías y pruebas de capacidades de recuperación probadas”, afirma Tilley.

Mientras tanto, ISO / IEC 27001 Establece una base para los sistemas de gestión de seguridad de la información, incluidos los planes documentados de respuesta a incidentes (A.5.29), las consideraciones de continuidad del negocio (A.5.30) y las pruebas regulares de los planes.

Según Prole, estándares como este hacen hincapié en las pruebas basadas en escenarios bajo condiciones realistas, de modo que las organizaciones puedan “validar sus planes, identificar deficiencias y generar confianza en su capacidad para responder eficazmente”.

Otro recurso útil es Marco de Ciberseguridad NIST (LCR), que incluye cinco funciones básicas para “identificar, proteger, detectar, responder y recuperar”.

En el Reino Unido específicamente, la Marco de evaluación cibernética del Centro Nacional de Seguridad Cibernética (CAF) es una herramienta para servicios esenciales e infraestructura nacional crítica.

Responsabilidad a nivel de la Junta

La resiliencia es ahora un requisito de cumplimiento, y con razón. La prevención sigue siendo vital, pero la prueba más importante es cómo las organizaciones siguen adelante cuando ocurre lo peor. Heathrow es un recordatorio real de que la resiliencia, cuando se pone a prueba, se practica y se integra, es tanto un requisito de cumplimiento como una medida de seguridad.

Esto es importante tenerlo en cuenta a nivel de la junta directiva, donde ahora recae la responsabilidad tanto de la resiliencia como de la seguridad, señala White. Considera que las empresas deben «definir qué nivel de tiempo de inactividad es tolerable», comprender sus dependencias operativas y «garantizar la inversión en una planificación de continuidad realista».

Al mismo tiempo, según White, es necesario realizar revisiones periódicas para adaptarse a los cambios en la tecnología, la normativa y las cadenas de suministro. «La resiliencia debe integrarse con la gestión del riesgo financiero y legal en la junta directiva, con líneas de reporte y rendición de cuentas claras. Los reguladores y las partes interesadas esperan que las empresas demuestren estar preparadas, no solo tener intención de hacerlo. Si la junta directiva solo conoce el plan durante un incidente real, la organización ya ha perdido el control de la situación».