Las normativas gubernamentales y los incentivos financieros para establecer ecosistemas energéticos conectados limpios y renovables son un poderoso motor de cambio.

Estos están creando nuevos modelos de consumo y generación de energía, lo que lleva a un ecosistema conectado en rápida evolución, con tecnología de generación y almacenamiento de energía eléctrica limpia y renovable. Debido a la gran diversidad de tecnologías, proveedores de servicios y usuarios, el ecosistema de la energía conectada es especialmente vulnerable a los ciberataques. La mayoría de los usuarios domésticos tiene poco o ningún conocimiento de las buenas prácticas de seguridad. Pueden tener dispositivos obsoletos e inseguros conectados a sus redes domésticas, lo que les convierte en un objetivo principal para los hackers que deseen penetrar en el ecosistema.

Por lo tanto, los proveedores de servicios y los operadores del ecosistema de la energía conectada deben adoptar un modelo de seguridad de “confianza cero” (o “Zero Trust”) en el que no se confíe en ninguna identidad y todas las acciones se validen con un conjunto de reglas predefinidas. Todos los modelos de seguridad requieren de una sólida gobernanza.

Para alcanzarla, es necesario comprender las prioridades operativas de la empresa y protegerlas con los controles de seguridad adecuados; y comprender a los usuarios, los dispositivos, los flujos de información y datos dentro de la organización. Al mismo tiempo, se debe establecer un conjunto de reglas automatizadas para controlar el acceso; automatizar los procesos de seguridad y la comprobación de reglas siempre que sea posible, entre otras acciones clave.

La seguridad de confianza cero se basa en seis pilares fundamentales:

1. Analítica: Es necesario aplicar un conjunto de reglas de acceso y uso en el lugar de trabajo. Los registros relacionados con el uso, el rendimiento, el acceso y los errores deben recopilarse y analizarse automáticamente para construir una imagen del funcionamiento normal y detectar acciones anómalas.

Además, se pueden establecer salvaguardias adicionales mediante la recopilación de registros relacionados con los atributos de comportamiento, como los flujos de usuarios, dispositivos y redes, lo que permitirá detectar las desviaciones de las acciones permitidas y utilizar la puntuación de riesgo dinámica para solicitar una autenticación de identidad adicional si las puntuaciones de riesgo alcanzan un umbral basado en comportamientos anómalos o inesperados.

2. Usuarios: Es clave reforzar los controles de acceso con la autenticación multifactorial para el acceso remoto y el acceso a la información sensible. Es fundamental asegurarse de que los permisos de acceso se están gestionando de forma centralizada y se ajustan al mínimo necesario para que el usuario pueda desempeñar su función.

3. Dispositivos: Se debe implementar una sólida gestión de la identidad de los dispositivos y controlar los puntos finales, para que solo los dispositivos autorizados con listas de parches actualizadas puedan conectarse a las redes internas.

4. Red: Es fundamental dividir las redes internas en subredes de acceso controlado para añadir capas adicionales de protección a los recursos y sistemas sensibles de la empresa. Controlar quién y qué puede conectarse a sus redes internas es de suma importancia; sus reglas para el acceso a la red de cero confianza deben imponer un fuerte control sobre esto.

Se pueden realizar defensas adicionales de la red mediante la segmentación de la red interna, lo que significa que, en lugar de tener una topología de red plana, su red está segregada en subredes de acceso controlado con reglas de acceso predefinidas y automatizadas.

5. Aplicaciones: Se debe controlar el acceso a la información y a los sistemas, permitiendo únicamente el uso de las aplicaciones aprobadas. Estas deben ser sometidas a pruebas de penetración para garantizar que todas las interfaces son seguras, adoptar los principios de minimización de datos, no recogiendo ni almacenando información no esencial y garantizar el cumplimiento de la normativa sobre privacidad y, si se procesan datos de pago, cumplir con los estándares del sector.

6. Automatización: Esta es la base de una implementación eficaz de la seguridad. Los proveedores de servicios del ecosistema pueden habilitar mecanismos automatizados para escanear los registros de seguridad y los patrones de acceso, con el fin de detectar comportamientos anómalos. Para esto se debe ajustar regularmente el modelo, con el fin de evitar falsos positivos causados por intentos de acceso genuinos que activen las alertas.


A medida que tenemos una industria de energía cada vez más conectada, es necesario que las empresas pongan especial atención a estos puntos para lograr brindar una mayor ciberseguridad a los usuarios domésticos, que no siempre están al tanto de cómo proteger sus datos e información.