Ya en el informe de 2019 sobre la seguridad en los transportes y las infraestructuras del entonces Ministerio de Fomento, uno de los ocho ejes estratégicos en los que se enmarcaron las 61 iniciativas de mejora del sector de transporte estaba enfocado en el refuerzo de la ciberseguridad, tanto para la detección como para la gestión y respuesta a ataques.
Hoy la ciberseguridad sigue formando parte importante de uno de los tres pilares básicos de la Estrategia de Movilidad Segura, Sostenible y Conectada 2030 del Ministerio de Transportes, Movilidad y Agenda Urbana (MITMA), que guiará las actuaciones del MITMA en materia de movilidad, infraestructuras y transportes en los próximos 10 años y que fue aprobada por el Consejo de Ministros el 10 de diciembre de 2021. Esta estrategia se subdivide en ocho ejes de actuación, en dos de los cuales se trata la ciberseguridad: de lleno en el eje 3, movilidad segura, y de manera transversal en el eje 5, movilidad inteligente.
◗ Algunas de las medidas que se pusieron en marcha en 2019
Creación de la figura de coordinador de políticas de ciberseguridad para todo el sector del transporte
El nodo de interconexión a servicios multi nube
La certificación ENS (Esquema Nacional de Seguridad) para toda la Administración General del Estado
En el subsector ferroviario, la principal fue la implantación del modelo de gestión de ciberseguridad y del centro de operaciones 24×7 en ADIF
Europa: Informe de la ENISA
A nivel supranacional, la Agencia de Ciberseguridad de laUnión Europea (UE) (ENISA) ha publicado recientemente el primer informe de ciberamenazas en el sector del transporte en la UE. Incluye el estudio de los incidentes cibernéticos desde enero 2021 hasta octubre 2022 en toda Europa.
Describe que el sector ferroviario es el tercero por orden de número de ataques (21%), por detrás de aviación (27%), carretera (24%) y por delante del sector marítimo (18%).
En el ámbito del ferrocarril, las principales amenazas son de ramsomware (45%) y relacionadas con los datos (25%), dirigidas principalmente a sistemas informáticos como servicios de pasajeros, los sistemas de emisión de billetes y las aplicaciones móviles, que provocan interrupciones del servicio. Los grupos hacktivistas han realizado ataques de denegación de servicio DdoS (tasa creciente) contra empresas ferroviarias a un ritmo cada vez mayor, debido principalmente a la invasión de Ucrania por parte de Rusia. Además, hay un número limitado de incidentes que no pueden situarse en un subsector específico. Se trata de campañas generales dirigidas a todo el sector del transporte de determinados países. Se atribuyen a menudo a haktivistas vinculadas a tensiones geopolíticas. Los incidentes reseñados son solo la punta del iceberg. En el informe no se reseña ningún ataque importante situado en España.
Informe anual de seguridad nacional España 2023
En marzo de 2024 el Consejo de Seguridad Nacional aprobó el informe anual respecto al año 2023 en España, y en él dedica una creciente atención a la ciberseguridad en todos los ámbitos, y concretamente a la relativa a la seguridad y protección a las infraestructuras críticas, en las que se engloba el sector del transporte.
En este sentido, el informe detalla que “la magnitud, sofisticación, frecuencia y efectos de los incidentes van en aumento y representan una grave amenaza para el funcionamiento de los sistemas de redes y de información a través de las comunicaciones de los Sistemas de Información y Comunicación (CIS) que utilizan”.
Y respecto a las soluciones, afirma: “A pesar de existir conocimiento al respecto, la implementación de soluciones correctivas se ve obstaculizada por su alto costo económico y la dificultad de interrumpir el funcionamiento de la infraestructura crítica. En este sentido continúan los esfuerzos para establecer un Esquema de Certificación de Protección de Infraestructuras Críticas (ECPIC)”.
Datos recientes (2023) en España
En 2023 se notificaron más de 8.050 incidentes a la Oficina de Coordinación de Ciberseguridad (OCC) del Ministerio del Interior, de las cuales, el sector del transporte fue el tercero por número de episodios (1.710 incidencias, que supone más del 21% del total de ataques notificados, muy por debajo de los 7.600 reportados en 2022), por detrás del sistema financiero y tributario (casi el 28%) y la Administración (más del 22%).
Según el informe, las principales amenazas se han vinculado a grupos cibercriminales y a actores relacionados con el conflicto de Rusia y Ucrania. Estas se han materializado en ataques de Denegación de Servicio (DoS), a diversas empresas y organismos, entre los que destacan RENFE y Adif. Cabe reseñar que ninguno de los ataques afectó a la actividad de las empresas atacadas.
Por su parte, el Ministerio de Transportes y Movilidad Sostenible, con el objetivo de evaluar la resiliencia de los sistemas de la compañía Adif frente a escenarios reales de ataques, ha llevado a cabo una serie de ejercicios de simulación de ataques cibernéticos con ejecución de pruebas de intrusión.
