Ciberseguridad
El 46% de las distribuidoras eléctricas de América Latina no monitorea su red de operación, según el DSO Review “Redes bajo ataque: Ciberseguridad eléctrica en la era de la transición energética”, que presentó la Asociación de Distribuidoras de Energía Eléctrica Latinoamericanas (ADELAT). De ese total, un 17% no tiene monitoreo activo y un 29% solo vigila su red corporativa.
El diagnóstico surge de un benchmarking con información reportada por 25 distribuidoras de 10 países de la región. Según informó la entidad, el estudio analizó cinco dimensiones: la seguridad de la infraestructura de operación, la detección y respuesta ante incidentes, la gestión de terceros y la protección de datos, la cultura organizacional y el talento especializado, y la gobernanza y el presupuesto.
ADELAT fue presentada en 2022 como la primera asociación regional de distribuidoras eléctricas, con 15 asociadas de Brasil, Perú, Chile, Colombia y Argentina. En el país participa la Asociación de Distribuidores de Energía Eléctrica de la República Argentina (ADEERA), que agrupa a 50 distribuidoras públicas, privadas y cooperativas cuyo volumen de operación representa el 98% de la energía eléctrica consumida en el país.
Protección desigual entre la oficina y el campo
Según el estudio, el 74% de las empresas alcanza un nivel avanzado en la separación entre sus redes corporativas y las de operación, la infraestructura que controla el funcionamiento físico del sistema. En cambio, solo el 21% llega a ese nivel en la protección de los dispositivos de campo, los equipos instalados a lo largo de la red de distribución.
Las brechas también aparecen en la organización interna. En 12 de las 25 distribuidoras relevadas, la responsabilidad por la ciberseguridad recae en la jefatura de tecnologías de la información. Solo seis cuentan con un responsable ejecutivo de seguridad (CISO) que reporta directamente a la gerencia general o al directorio.
El informe también identifica dificultades para sostener los recursos que demanda el área, ya que resulta complejo cuantificar los beneficios de la inversión en ciberseguridad.
Exigencias regulatorias sin reconocimiento en la tarifa
En materia normativa, el análisis abarcó 11 países. De ellos, Brasil, Chile y Colombia cuentan con obligaciones sectoriales vinculantes que alcanzan a las distribuidoras. Sin embargo, según ADELAT, ninguno de los marcos examinados reconoce la ciberseguridad como una categoría tarifaria explícita y autónoma. Para la asociación, esto plantea el desafío de articular las exigencias de protección con mecanismos que permitan reconocer sus costos.
En Chile, la Comisión Nacional de Energía (CNE) abrió el 28 de agosto una consulta pública sobre el proyecto de Norma Técnica de Ciberseguridad y Seguridad de la Información para el sector eléctrico. En la Argentina, la normativa nacional de ciberseguridad incluye la Estrategia Nacional de Ciberseguridad, aprobada por la Resolución 829/2019, y la segunda estrategia, aprobada por la Resolución 44/2023 de la Secretaría de Innovación Pública.
A partir de esos resultados y de la revisión de experiencias en Estados Unidos, la Unión Europea, Reino Unido, Australia, Ontario e India, el DSO Review propone avanzar hacia marcos que vinculen las exigencias de ciberseguridad con su financiamiento. También plantea graduar las obligaciones según la criticidad de cada operación y fortalecer la coordinación sectorial.
Entre otras medidas, el estudio sugiere establecer el reporte de incidentes con garantías de confidencialidad, incorporar la seguridad desde el diseño de los sistemas y desarrollar capacidades especializadas. Según la asociación, el documento está dirigido a distribuidoras, reguladores, organismos públicos y demás actores del sector, como base técnica para el desarrollo de marcos regulatorios que acompañen la digitalización de las redes eléctricas.