Cybersecurity as a Precondition for the Carbon-Neutral Grid: An Investment Framework for U.S. Utility Cybersecurity Capital Allocation

La red eléctrica es el vasto e invisible sistema nervioso que alimenta la vida moderna, pero está experimentando una transformación radical. Durante décadas, la electricidad fluía en una sola dirección: desde las grandes centrales eléctricas hacia los hogares y las empresas. Hoy, ese flujo está cambiando. Millones de paneles solares en los tejados y baterías en los garajes se están añadiendo al sistema, convirtiendo a los consumidores en pequeños generadores de energía. Este cambio es esencial para un futuro libre de carbono, pero crea una nueva vulnerabilidad. Cada nuevo panel solar y cada batería es un punto potencial de entrada para un ciberataque. A medida que estos dispositivos se multiplican, la "superficie de ataque" —el número total de lugares donde un hacker podría intentar entrar— crece más rápido que las reglas diseñadas para proteger la red.

Proteger este sistema requiere gastar dinero, pero las empresas de servicios públicos se enfrentan a un rompecabezas difícil. Deben cumplir con estrictas normas federales que establecen un nivel mínimo de seguridad, conocido como un suelo de cumplimiento. Sin embargo, estas normas no cubren la nueva y rápidamente creciente red de energía solar en los tejados y baterías. Para esas partes de la red, las empresas deben decidir por su cuenta cuánto gastar y cuándo. No tienen una guía clara sobre si una propuesta de mejora de seguridad vale el coste, o si deberían esperar a ver cómo evoluciona la tecnología. Sin un método para sopesar estas decisiones, las empresas de servicios públicos corren el riesgo de gastar de más en protecciones innecesarias o de invertir de menos y dejar la red expuesta.

Un equipo de investigadores de las universidades de Brandeis, Emory y Georgia State ha propuesto una nueva forma de resolver este problema. Desarrollaron un marco de cuatro pasos para ayudar a las empresas de servicios públicos a decidir cómo asignar sus presupuestos de ciberseguridad. Su trabajo no depende de nuevos datos de una empresa eléctrica específica ni de una simulación informática de un hackeo. En su lugar, es una guía metodológica que reúne cuatro ideas existentes que nunca se han utilizado juntas: reglas obligatorias, límites económicos, flexibilidad temporal e incentivos financieros. Los autores sostienen que, al combinar estos elementos, las empresas de servicios públicos pueden tomar decisiones más inteligentes y defendibles sobre dónde gastar su dinero para mantener la red segura mientras transiciona hacia las energías renovables.

El primer paso de su marco consiste en identificar el gasto no negociable. Los reguladores federales han establecido estándares obligatorios que las empresas de servicios públicos deben cumplir, como la gestión de los riesgos de la cadena de suministro de componentes informáticos y la monitorización de sus redes informáticas internas. Los investigadores llaman a esto el "suelo de cumplimiento". Es la cantidad base que una empresa de servicios públicos debe gastar, independientemente de cuánto crean que podrían perder debido a un hackeo. Este dinero no es opcional; es el precio de hacer negocios. Sin embargo, este suelo se detiene en el borde de las líneas de alta tensión principales. No cubre los millones de paneles solares y baterías distribuidas que ahora se conectan a la red. Proteger estos nuevos activos es una elección discrecional, y ahí es donde comienza el verdadero desafío.

Para el gasto que va más allá de las normas obligatorias, los investigadores sugieren aplicar un segundo paso: un techo económico. Se basan en un modelo económico muy conocido que sostiene que las organizaciones nunca deberían gastar en seguridad más de lo que esperan perder si ocurre una brecha de seguridad. Si una posible mejora de seguridad cuesta más que el daño que prevendría, la inversión no tiene sentido. Este paso actúa como un guardarraíl, evitando que las empresas gasten de más en seguridad por miedo o hábito. Obliga a los planificadores a hacerse una pregunta difícil: ¿reduce esta inversión específica el riesgo de una pérdida financiera que sea mayor que el coste de la reparación?

El tercer paso introduce el elemento del tiempo. El mundo de las ciberamenazas y la tecnología de las energías renovables está cambiando rápidamente. Una decisión tomada hoy podría quedar obsoleta en dos años. Los investigadores proponen utilizar un método llamado "opciones reales" para gestionar esta incertidumbre. En lugar de comprometer todo el dinero de una vez, una empresa de servicios públicos podría optar por gastar por etapas. Podrían comenzar con un pequeño proyecto piloto para probar la tecnología. Si el panorama de amenazas cambia o la tecnología mejora, pueden ampliar la inversión. Si la situación cambia en una dirección diferente, pueden pausar o detenerse. Esta flexibilidad añade valor, permitiendo a las empresas esperar a disponer de más información antes de comprometer grandes sumas de dinero.

El paso final del marco analiza los incentivos financieros creados por las recientes regulaciones federales. Una nueva orden de la Comisión Federal de Regulación de la Energía permite a las empresas de servicios públicos recuperar los costes de ciertas inversiones avanzadas en ciberseguridad con mayor facilidad que otros proyectos. Esto crea una ventaja financiera para el gasto en seguridad que va más allá de los requisitos mínimos. Los investigadores sugieren que las empresas de servicios públicos deben tener en cuenta esta ventaja en sus cálculos. Al comparar un proyecto de seguridad con otras necesidades, como la actualización de líneas eléctricas o la construcción de nuevas subestaciones, el proyecto de seguridad debe evaluarse teniendo en cuenta este coste efectivo más bajo. Esto garantiza que las mejoras de seguridad valiosas no se pasen por alto simplemente porque parezcan caras sobre el papel.

Para probar cómo podría funcionar este marco en el mundo real, los autores analizaron un ejemplo histórico de California. En los inicios de la década de 2010, un programa llamado CES-21 financió la investigación sobre la ciberseguridad de la red y la integración de las energías renovables. El presupuesto del programa fue finalmente recortado aproximadamente un 77 por ciento después de que los legisladores decidieran que la solicitud original carecía de una justificación clara para su tamaño. Los investigadores utilizan este evento para ilustrar el peligro de realizar grandes inversiones en seguridad sin una forma estructurada de determinar la cantidad adecuada. Argumentan que, si el marco que proponen hubiera estado disponible entonces, la empresa de servicios públicos podría haber justificado el gasto con mayor claridad, o quizás se habría dado cuenta de que un enfoque más pequeño y por etapas era más apropiado.

El artículo deja claro que este marco es una herramienta para pensar, no un producto terminado listo para su uso inmediato. Los autores señalan lagunas significativas en los datos necesarios para que el sistema funcione perfectamente. Por ejemplo, no existen estimaciones precisas de cuánto dinero costaría realmente un ciberataque a un parque solar o a un agregador de baterías. Las empresas de servicios públicos también tienen dificultades para compartir información sensible sobre sus riesgos, lo que dificulta el cálculo de la "pérdida esperada" que impulsa el segundo paso del marco. Además, ninguna empresa de servicios públicos ha aprovechado aún el nuevo programa de incentivos federales, por lo que no hay datos del mundo real sobre cómo se desarrolla esa parte de la ecuación.

A pesar de estas limitaciones, los investigadores creen que su trabajo llena un vacío crítico. Durante años, la conversación sobre la seguridad de la red se ha dividido entre quienes se centran en cumplir las normas y quienes se centran en la economía del riesgo. Este artículo sugiere que el futuro de una red segura y libre de carbono depende de entrelazar estos hilos. Al proporcionar una forma estructurada de combinar las reglas obligatorias, los límites económicos, la flexibilidad temporal y los incentivos financieros, el marco ofrece un camino a seguir para los planificadores de servicios públicos. No promete eliminar las ciberamenazas, sino que ofrece una forma más clara y lógica de decidir cómo gastar el dinero necesario para combatirlas. A medida que la red continúa cambiando, tener un método para navegar estas complejas elecciones puede ser tan importante como la propia tecnología.