MILLONARIAS PERDIDAS POR FALLO EN SISTEMAS GLOBAL

Lección que debemos aprender, en un camino empedrado

El 19 de julio de 2024 se produjo un evento que llevó a la caída de sistemas de uso crítico sacudiendo a diversos sectores a escala global, como los viajes o las finanzas. Esta crisis fue desencadenada por una actualización de software rutinaria realizada por la empresa de ciberseguridad CrowdStrike Holdings Inc. El incidente afectó a unos 8 millones de dispositivos con sistemas operativos Windows de Microsoft.

Dicha actualización de software desencadenó problemas en los sistemas que llevaron a suspender vuelos, obligaron a cadenas de televisión a interrumpir transmisiones y dejaron a los clientes sin acceso a servicios bancarios. El fallo puso en la mira a Crowdstrike, una empresa no muy conocida, pero con importantes clientes en el mundo, entre ellos gigantes tecnológicos como Amazon y Microsoft .

El presidente ejecutivo de Crowdstrike, George Kurtz, dijo en la red social X que se encontró un defecto «en una sola actualización de contenido para servidores de Windows» que afectó a los clientes de Microsoft. «Lamentamos profundamente el impacto que hemos causado a los clientes, a los viajeros, a cualquiera que se haya visto afectado por esto, incluida nuestra empresa», dijo. 

Las aerolíneas fueron un caso demostrativo de la gravedad de la situación que causó el fallo. Según OAG las 20 aerolíneas más grandes del mundo se vieron obligadas a cancelar cerca de 10,000 vuelos entre el 19 y el 21 de julio. (diariamente hay unos 100000 vuelos). El sector financiero también se vio afectado. Visa recibió más de 64,000 informes de usuarios con fallas en sus sistemas de pagos, en comparación con su promedio diario de 1,500.

En Estados Unidos el presidente Joe Biden fué informado del apagón y el secretario de Estado , Antony Blinken, dijo que -a su entender- la interrupción tecnológica no era un ataque malicioso. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos dijo, sin embargo, haber observado que piratas informáticos utilizaban la interrupción para actividades maliciosas. 

Las empresas están expuestas a interrupciones causadas por fallas en los proveedores de servicios, fallos en seguridad y operativos de software de terceros que se ejecutan en la Nube, o en casos donde delincuentes obtienen acceso no autorizado a sistemas.

El incidente que nos ocupa subraya la importancia de la gestión de riesgos y la diversificación en la infraestructura tecnológica, especialmente a medida que las empresas y los gobiernos dependen cada vez más de la infraestructura en la Nube para ofrecer servicios críticos.

Sin embargo, determinar las pérdidas finales para la industria será un proceso largo y complejo. La firma de servicios de seguros Parametrix estimó pérdidas económicas superiores a 5 mil millones de dólares por este evento, con seguros probablemente entre 500 millones y 1 mil millones (10-20% de las pérdidas).

El momento de la interrupción quizás pudo contribuir a limitar la magnitud de las pérdidas. La actualización defectuosa se envió a las computadoras el 19 de julio a las 04:09 UTC y sólo afectó a las computadoras que estaban en línea entre ese momento y las 05:27 UTC, aproximadamente 80 minutos después.

Este evento ha puesto de manifiesto los riesgos que plantean los punto de falla con efectos de gran magnitud -fallas que incluso pueden ser de naturaleza fortuita- dado el grado en que los actores de la economía están interconectados al ecosistema digital, transversal a diversos los sectores en diferentes magnitudes. También ha subrayado que hay necesidad de mayor resiliencia y redundancia.

Es de esperarse que las diversas partes involucradas con los sistemas informáticos de misión crítica evalúen el alcance y la naturaleza del evento y ajusten sus prácticas, centrándose en la cobertura de fallas aunque sean eventos menos probables que un ciberataque malintencionado.
.
Entender y abordar estos problemas es crucial para mantener una ciberseguridad robusta dado que las partes se deben complementar eficientemente hacia el objetivo de proteger datos y sistemas, minimizando riesgos y costos. El caso de referencia ha demostrado vulnerabilidad para operaciones en tiempo real, y la importancia de herramientas preventivas, tanto contractuales como operativas.

Recientemente, la norma ISO 22301 ha sido una conclusión de esfuerzos empresariales a nivel internacional por obtener un estándar que nos ayude a gestionar la continuidad de negocios y/o actividades de una organización. Publicada por la Organización Internacional de estandarización ISO, el principal objetivo de esta norma es mantener la continuidad de las actividades de una organización, proteger sus intereses defendiendo los intereses de sus empleados y partes interesadas y mantener la reputación ante amenazas o circunstancias adversas.

La experiencia muestra que generalmente las acciones para evitar este tipo de inconvenientes se dan luego de impactantes hechos lesivos. Quizás el evento del 19 de julio de 2024 resulte un llamado de atención que lleve a trabajar en la prevención y en la disponibilidad de los sistemas de manera que no se afecten intereses, tanto de las empresas como de las múltiples partes interesadas del ecosistema.