Trump apunta a la tecnología extranjera en la red eléctrica de EE. UU.
La Orden Ejecutiva 14420 busca mitigar los riesgos de ciberseguridad y las interrupciones en la cadena de suministro de la infraestructura eléctrica estadounidense. La medida se centra en equipos fabricados por entidades extranjeras que podrían comprometer la seguridad nacional.
La Orden Ejecutiva 14420, firmada el 26 de agosto, tiene como objetivo los equipos y tecnologías que podrían exponer la red eléctrica a sabotajes, acceso no autorizado, actividad remota maliciosa o interrupciones en la cadena de suministro.
Contexto y justificación estratégica
El momento es clave. La Casa Blanca señala la rápida expansión de los centros de datos, la inteligencia artificial, la fabricación avanzada y la producción de defensa como razones por las cuales Estados Unidos depende ahora más que nunca de una electricidad fiable. Una interrupción que antes podría haberse tratado principalmente como un problema energético, ahora puede afectar a las operaciones de defensa, las infraestructuras críticas, los servicios de emergencia y grandes partes de la economía.
La orden enmarca el problema de dos maneras. El equipo fabricado en el extranjero puede introducir un riesgo directo de ciberseguridad, incluida la posibilidad de mecanismos de acceso digital ocultos, mientras que la dependencia de proveedores en el extranjero puede crear una segunda vulnerabilidad si las tensiones geopolíticas o las interrupciones comerciales cortan repentinamente los componentes críticos.\n **Alcance y definiciones de la orden**
El lenguaje de la Casa Blanca es inusualmente amplio al describir el alcance de la preocupación. La Orden Ejecutiva 14420 declara: «AHORA, POR LO TANTO, YO, DONALD J. TRUMP, Presidente de los Estados Unidos de América, encuentro que la situación con respecto al suministro extranjero de equipos eléctricos del sistema de potencia en bloque constituye una amenaza inusual y extraordinaria, que tiene su origen en su totalidad o en una parte sustancial fuera de los Estados Unidos, para la seguridad nacional, la política exterior y la economía de los Estados Unidos y por la presente declaro una emergencia nacional con respecto a esa amenaza». La orden continúa: «Esta amenaza existe tanto en el caso de transacciones individuales como cuando las transacciones se consideran como una clase. Para hacer frente a esta amenaza, se requieren medidas adicionales para proteger la seguridad, integridad y fiabilidad del equipo eléctrico del sistema de potencia en bloque utilizado en los Estados Unidos».
Esa definición es importante porque la orden no está dirigida únicamente a una pieza de hardware específica de un país determinado. Crea un marco bajo el cual el Secretario de Energía puede determinar si entidades extranjeras, proveedores, países o equipos específicos presentan un riesgo inaceptable y, posteriormente, restringir las transacciones que involucren a estos.
Las restricciones se aplican a la adquisición, importación, transferencia o instalación de equipos de potencia en bloque producidos en el extranjero cuando la transacción relevante involucra a una Entidad Extranjera Cubierta designada y cumple con una de las condiciones de riesgo establecidas en la orden. Estas condiciones incluyen la posibilidad de sabotaje, subversión, acceso no autorizado, acción remota maliciosa o interrupción del sistema eléctrico y su cadena de suministro.\n La orden también va más allá del equipo físico en sí mismo. Su alcance incluye componentes críticos, software, firmware, servicios digitales, servicios de mantenimiento y capacidades de acceso remoto asociadas con el equipo cubierto.
La orden continúa: «la transacción involucra equipo eléctrico del sistema de potencia en bloque —o cualquier componente crítico, software, firmware, servicio digital, servicio de mantenimiento o capacidad de acceso remoto asociada con dicho equipo— diseñado, desarrollado, fabricado o suministrado por personas propiedad de, controladas por, o sujetas a la jurisdicción o dirección de una Entidad Extranjera Cubierta; y».
En términos prácticos, el gobierno no está tratando un transformador, un controlador industrial y el software que lo gestiona como cuestiones de seguridad completamente separadas.\n **Impacto en sistemas de control industrial (ICS)**
Esto es particularmente relevante para los sistemas de control industrial. La definición de equipo cubierto incluye unidades terminales remotas, controladores lógicos programables, dispositivos electrónicos inteligentes, sistemas de control distribuidos y sistemas instrumentados de seguridad, junto con transformadores, generadores, inversores, sistemas de almacenamiento de baterías, relés de protección, equipos de medición e interruptores de alta tensión. La orden también permite a las agencias considerar el software, el firmware, el acceso remoto, los mecanismos de actualización y otras dependencias de la cadena de suministro al decidir si un equipo entra dentro de sus preocupaciones de seguridad.\n El alcance geográfico también es digno de mención. La orden define el sistema de potencia en bloque en torno a la infraestructura de transmisión interconectada y los recursos de generación necesarios para la fiabilidad de la red, incluyendo líneas de transmisión con una capacidad de 69 kV o superior. Las instalaciones locales de distribución de electricidad quedan fuera de esa definición.\n Esto no se trata solo del equipo que las empresas podrían comprar mañana. El Secretario de Energía también puede imponer condiciones a los equipos fabricados o operados por extranjeros que ya estén instalados antes de que la orden entrara en vigor. Dependiendo del riesgo, esas medidas podrían requerir que los operadores identifiquen, aíslen, monitoreen, aseguren, desconecten, reemplacen o retiren el equipo. La orden exige específicamente a los funcionarios que consideren la fiabilidad, la seguridad, la disponibilidad de reemplazos seguros y la continuidad de los servicios esenciales antes de exigir el aislamiento o la sustitución.\n Ese último punto es importante porque asegurar una red eléctrica no es tan sencillo como desconectar un dispositivo sospechoso. Eliminar un componente sin un reemplazo adecuado puede generar por sí mismo un problema operativo. Por lo tanto, la orden deja margen para el cumplimiento escalonado y las medidas de mitigación negociadas en lugar de asumir que cada componente riesgoso puede desaparecer de la noche a la mañana.\n El gobierno también quiere evitar que la inspección de seguridad se convierta en un cuello de botella permanente en las adquisiciones. El Secretario de Energía puede establecer criterios para equipos y proveedores precalificados, creando una lista de productos y proveedores que pueden recibir exenciones de las restricciones básicas. Al mismo tiempo, la orden deja claro que la precalificación no impide que el gobierno examine o restrinja una transacción más adelante si las circunstancias lo justifican.\n **Relación con políticas previas y próximos pasos**
La orden no menciona a un país específico como objetivo. En su lugar, define a una Entidad Extranjera Cubierta lo suficientemente amplia para incluir gobiernos bajo ciertos embargos de armas o regímenes de sanciones de los EE. UU., así como entidades que las autoridades pertinentes de los EE. UU. determinen que participan en conductas perjudiciales para la seguridad nacional o la política exterior. SecurityWeek también señaló que la estructura se asemeja a restricciones anteriores de la era Trump sobre equipos de potencia en bloque extranjeros, incluyendo medidas que anteriormente se centraban en entidades asociadas con China.
La orden no menciona ningún país por su nombre. Sin embargo, su estructura es muy similar a una orden de la era Trump de 2020 sobre la red eléctrica de los EE. UU., que más tarde llevó al Departamento de Energía a prohibir empresas vinculadas a China.\n La siguiente fase será regulatoria en lugar de retórica. En un plazo de 120 días, se espera que el Secretario de Energía emita las reglas o regulaciones necesarias para implementar la orden, incluidos los procedimientos para identificar entidades cubiertas, equipos y países, y para licenciar transacciones que de otro modo estarían prohibidas. La administración también solicita recomendaciones para cambios en las reglas de adquisición federal que den mayor peso a los riesgos de seguridad nacional y favorezcan la infraestructura energética fabricada en EE. UU.\n Esos cambios en las adquisiciones tienen su propio cronograma. El Secretario de Energía tiene 180 días para desarrollar recomendaciones para revisiones del Reglamento de Adquisición Federal (FAR), mientras que el Consejo del FAR tendría entonces 90 días para considerar la propuesta de enmiendas correspondientes para comentarios públicos.\n Esta política encaja en un impulso más amplio por parte de la administración para reducir la dependencia de las cadenas de suministro extranjeras para infraestructuras estratégicamente importantes. El Departamento de Energía declaró a principios de este mes que está trabajando para aumentar la producción nacional y la disponibilidad de componentes críticos de la red, señalando el rápido crecimiento en la demanda de electricidad y la necesidad de fortalecer la cadena de suministro de la red.\n Para los profesionales de ciberseguridad, sin embargo, la parte más interesante de la orden no es la preferencia por la fabricación nacional. Es la decisión de tratar la exposición de la cadena de suministro, el acceso remoto y la tecnología integrada como parte de la superficie de ataque de la red eléctrica.\n Eso cambia la pregunta que las organizaciones deben hacerse sobre el equipo crítico. Ya no es suficiente saber si un dispositivo tiene una vulnerabilidad hoy; los operadores también deben entender quién lo fabricó, quién controla al proveedor, de dónde provienen el software y el firmware críticos, quién puede acceder remotamente al equipo, cómo llegan las actualizaciones y qué sucede si esa cadena de suministro repentinamente deja de estar disponible.\n La incómoda realidad es que el compromiso de una red eléctrica no necesariamente comienza con alguien rompiendo el perímetro de una red de servicios públicos. Puede comenzar mucho antes, cuando una organización compra un componente que no puede inspeccionar completamente, confía en un canal de mantenimiento remoto que no controla o se vuelve dependiente de un proveedor al que no puede reemplazar rápidamente.\n Ese es el problema de seguridad que la Orden Ejecutiva 14420 intenta abordar. La Casa Blanca ha trasladado efectivamente parte de la línea de defensa cibernética de la red hacia las decisiones de adquisición, fabricación y cadena de suministro. Y para los operadores de infraestructuras críticas, ese es un problema mucho más difícil de resolver que simplemente encontrar otro cortafuegos.\n La política refleja el esfuerzo por asegurar la infraestructura crítica frente a riesgos de origen externo en la cadena de suministro.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario