El día en que el transporte marítimo global perdió su memoria digital: Maersk, NotPetya y la responsabilidad operacional

Resumen

• NotPetya ingresó a Maersk a través de un software utilizado para la declaración de impuestos en Ucrania y dejó indisponibles aplicaciones y datos en un entorno conectado globalmente. La empresa apagó sistemas adicionales como precaución, mientras que el robo de credenciales del malware y sus múltiples métodos de propagación hicieron que la aplicación de parches por sí sola fuera una defensa incompleta.
• Maersk mantuvo el control de sus buques, pero sus negocios de contenedores sufrieron una interrupción significativa. Las funciones de reserva, puertas de terminal e información de carga fallaron; APM Terminals informó que los servicios de puerta aún se estaban ampliando en varios puertos tres días después del ataque. Los activos físicos seguían presentes mientras que la autoridad digital para coordinarlos desaparecía.
• La empresa implementó amplias soluciones manuales y reconstruyó la infraestructura a una velocidad excepcional. El presidente de Maersk describió más tarde la reinstalación de 4.000 servidores, 45.000 computadoras y 2.500 aplicaciones en diez días. Una detallada reconstrucción periodística dice que un controlador de dominio desconectado en Ghana proporcionó los datos de identidad necesarios para reiniciar los servicios centrales; ese relato es importante pero no es un informe forense oficial.
• Maersk finalmente informó un impacto de 250-300 millones de USD en la rentabilidad, principalmente por negocios perdidos temporalmente en julio y agosto, junto con costos de restauración y operativos extraordinarios. Esa cifra mide el impacto reconocido por la empresa, no las pérdidas completas de camioneros, transitarios, propietarios de carga, agencias públicas o pequeñas empresas en la cadena.
• La rendición de cuentas tiene varios niveles. Los actores militares rusos posteriormente atribuidos y acusados en relación con NotPetya tienen la responsabilidad del ataque destructivo. Maersk siguió siendo responsable de la resiliencia de los sistemas bajo su control, de las afirmaciones de continuidad hechas a los clientes y de demostrar que la remediación abordó las vías por las cuales una dependencia regional de software se convirtió en una falla operativa global.
• La lección duradera no es simplemente mantener copias de seguridad. Un operador crítico debe ser capaz de recuperar la identidad, la configuración, los datos operativos y las comunicaciones en un entorno limpio; ejecutar procesos manuales acotados sin perder la seguridad o la integridad de la carga; y proporcionar a los organismos públicos y a los clientes más pequeños suficiente información oportuna y portable para activar sus propios planes de continuidad.

Un operador global perdió la capacidad de decir qué debía moverse a continuación

El martes 27 de junio de 2017, A.P. Moller - Maersk fue una de las muchas organizaciones afectadas por un malware que parecía ransomware pero actuaba como un instrumento destructivo. Las imágenes inmediatas eran familiares en un incidente cibernético de oficina: las pantallas se oscurecían, las aplicaciones se detenían, los empleados perdían el acceso. La consecuencia no se limitó a las oficinas. Maersk conectaba el transporte marítimo, las terminales portuarias y el transporte de carga a través de jurisdicciones y zonas horarias. Cuando las aplicaciones compartidas y los servicios de identidad dejaron de estar disponibles, la interrupción alcanzó los puntos donde un camión ingresa a una terminal, una reserva se convierte en un movimiento de carga y un manifiesto electrónico le dice a un operador qué hay dentro de un buque.

Lapresentación para inversores del segundo trimestre de 2017de la empresa proporciona el relato conciso más firme. Maersk dijo que el malware ingresó a través de un software utilizado para declarar impuestos en Ucrania, dejó indisponibles aplicaciones y datos, y afectó principalmente a sus negocios relacionados con contenedores: Maersk Line, APM Terminals y Damco. Indicó que varios sistemas se apagaron como precaución, que se introdujeron muchas soluciones manuales y que se mantuvo el control total de los buques. También dijo que hubo una interrupción significativa que afectó a empleados y clientes, aunque no hubo violación de datos de terceros ni pérdida de datos.

Esas declaraciones establecen un límite esencial. Esto no se informó públicamente como una pérdida de navegación o propulsión, y un análisis no debe convertir una grave interrupción comercial y de terminal en una emergencia ficticia de control del buque. Sin embargo, la supervivencia del control del buque no significó que el servicio de transporte marítimo sobreviviera intacto. Un buque puede ser navegable de manera segura mientras la red que lo rodea no puede aceptar su próxima carga, leer los archivos necesarios para operar su carga, liberar contenedores a los camioneros o proporcionar un estado fiable a los clientes. La resiliencia operativa tiene varias capas, y el estado seguro de una capa no confiere continuidad a las demás.

El incidente pasó rápidamente de una exposición local de software a una interrupción empresarial. Elrelato técnico contemporáneo de Microsoft sobre el brote de Petyaobservó una ruta inicial en la cadena de suministro a través del actualizador de M.E.Doc y describió el movimiento lateral mediante robo de credenciales y suplantación de identidad, así como la explotación de la vulnerabilidad SMB abordada por MS17-010. Unanálisis de red posterior de Microsoftcaracterizó la propagación como sofisticada y bien probada. El punto práctico no es que un parche faltante explique a Maersk. La evidencia pública no respalda esa conclusión simplista. NotPetya podía usar más de una ruta, incluidas credenciales legítimas, por lo que la exposición dependía de los privilegios de identidad, la accesibilidad de la red, la segmentación, la confianza en el software y la velocidad de contención, así como del estado de las vulnerabilidades.

Para el 30 de junio, el panorama operativo estaba mejorando pero seguía siendo desigual. Unaactualización de APM Terminalsdijo que se estaban ampliando los servicios de puerta en una lista de puertos que incluía Los Ángeles. Una actualización pública de ese tipo es valiosa porque expone la unidad real de recuperación: no "TI ha vuelto", sino un servicio de puerta o terminal particular en un lugar particular. La restauración global fue un portafolio de estados locales. Algunos sitios podían trabajar la carga, otros podían ofrecer puertas limitadas, y los sistemas orientados al cliente se recuperaban según su propio cronograma.

Los informes financieros posteriores de la empresa confirman que esto fue más que un breve inconveniente técnico. Suinforme intermedio del tercer trimestre de 2017situó el efecto en la rentabilidad en 250-300 millones de USD, con la gran mayoría relacionada con Maersk Line en el tercer trimestre. Dijo que los volúmenes transportados disminuyeron un 2,5 por ciento respecto al trimestre comparable y se vieron afectados negativamente por el ataque, y describió la mayor parte del impacto financiero como pérdida temporal de negocio en julio y agosto. El capital de trabajo también se vio afectado, mientras que APM Terminals y Damco registraron efectos relacionados con el ataque.

Ese período contable importa. La interrupción más visible se desarrolló durante días, pero las consecuencias comerciales persistieron después de que las aplicaciones comenzaron a regresar. Los contenedores y los horarios no vuelven instantáneamente a sus posiciones anteriores cuando un servidor se inicia. Las reservas perdidas durante la incertidumbre no se restauran reiniciando un portal. Un cliente que desvía carga, un camionero que pierde un turno o un fabricante que paga por otra ruta crea una consecuencia que perdura más allá de la restauración técnica. Por lo tanto, el tiempo de recuperación debe medirse por separado para la infraestructura, las aplicaciones, los sitios, los retrasos en las transacciones y los clientes.

El ataque fue destructivo, no una negociación de rescate ordinaria

Llamar ransomware al evento puede oscurecer las decisiones que enfrentaron los defensores y ejecutivos. NotPetya mostró una demanda de pago, pero su diseño y la posterior atribución oficial respaldan tratarlo como malware destructivo. Ladeclaración de atribución del Reino Unido de 2018consideró responsable al gobierno ruso, específicamente al ejército ruso, y dijo que el ataque se disfrazó de empresa criminal mientras que su propósito principal era la disrupción. En 2020, elDepartamento de Justicia de los Estados Unidos acusó a seis oficiales del GRU rusoen relación con una campaña que incluía NotPetya. Esos cargos son acusaciones, no condenas, pero constituyen una acción formal de rendición de cuentas y el departamento describió explícitamente el malware como destructivo.

Esta distinción cambia la estrategia de recuperación. En un escenario de extorsión ordinaria, los líderes aún pueden debatir si existe un descifrador, si se robaron datos y si el pago podría alterar el resultado. Con un evento destructivo, la preservación y la reconstrucción limpia se vuelven centrales. Restaurar una máquina aparentemente funcional no es suficiente si las credenciales privilegiadas, las rutas de distribución de software o las imágenes de confianza pueden estar comprometidas. La organización debe establecer un plano de control limpio desde el cual pueda reconstruir, restablecer la confianza y decidir qué datos son seguros para reintroducir.

También cambia la equidad del análisis de rendición de cuentas. Maersk no eligió ser atacada, y la entidad que libera un gusano destructivo es responsable del daño previsible e imprudente que causa más allá de un objetivo previsto. La rendición de cuentas de la víctima no sustituye la rendición de cuentas del atacante. Ambas coexisten porque diferentes actores controlaban diferentes partes de la cadena causal. Los actores estatales controlaron la decisión de desplegar código destructivo. El proveedor de software controló su entorno de actualización. Maersk controló cómo una dependencia empresarial ucraniana se conectaba a su patrimonio global, cómo se protegían la identidad privilegiada y los límites de la red, y cuán recuperables eran sus servicios críticos.

El registro público no es una evaluación forense completa de esos controles. Los documentos de Maersk identifican la ruta de entrada y los efectos, pero no publican una ruta de propagación dispositivo por dispositivo, un inventario de parches, un gráfico de privilegios o un hallazgo independiente sobre qué salvaguardas fallaron. Informes posteriores han proporcionado detalles importantes, pero un argumento de rendición de cuentas no debe llenar los vacíos restantes con conjeturas seguras. Es justo preguntar por qué un punto final infectado pudo contribuir a una pérdida empresarial. No es justo afirmar, sin el registro interno, que un empleado nombrado, una máquina sin parche o una configuración de producto fueron la única causa.

La mejor pregunta de gobernanza es sobre los dominios de fallo. Una multinacional a veces debe ejecutar software requerido localmente, incluidas herramientas fiscales y aduaneras que nunca se seleccionarían como un estándar tecnológico global. La necesidad local no justifica la confianza global. Los sistemas con fines regionales limitados deben colocarse en una arquitectura que asuma que sus canales de actualización pueden fallar: privilegios restringidos, salida controlada, accesibilidad limitada, ejecución supervisada, credenciales administrativas separadas y aislamiento rápido. Si la empresa no puede eliminar la exposición, puede reducir la autoridad que esa exposición tiene sobre todo lo demás.

La capacidad física y la autoridad digital estaban separadas

La logística de contenedores hace que la diferencia entre activos y autoridad sea inusualmente visible. Los buques, grúas, contenedores, chasis, puertas y almacenes son físicos. Su funcionamiento eficiente depende de registros digitales que responden preguntas básicas pero trascendentales: ¿Qué caja es esta? ¿Está despachada? ¿A dónde debe ir? ¿Es seguro levantarla? ¿Qué cliente tiene autoridad para recogerla? ¿Qué buque y viaje deben recibirla? ¿Qué condiciones de peligro, refrigeración o tiempo crítico se aplican?

Unareconstrucción posterior de WIRED sobre NotPetya y la recuperación de Maerskinformó que 17 de las 76 terminales de APM Terminals se vieron afectadas, que las puertas y algunas operaciones de grúa se detuvieron, y que el sitio central de reservas no estaba disponible. Describió terminales que perdieron el acceso a archivos electrónicos que identificaban el contenido de los buques, colas de camiones en Elizabeth, Nueva Jersey, y clientes que luchaban por localizar o redirigir la carga. Esta es una evidencia narrativa profundamente reportada basada en entrevistas, no un informe forense de un regulador. Sus afirmaciones internas específicas deben atribuirse en consecuencia, mientras que su relato general es coherente con las divulgaciones de Maersk sobre una interrupción significativa para los clientes y volúmenes perdidos.

La falla revela por qué "el puerto permaneció abierto" es una medida de continuidad inadecuada. Una autoridad portuaria propietaria, el servicio de aduanas, un operador de terminal, una línea naviera, un operador ferroviario y un camionero pueden estar todos técnicamente disponibles mientras un movimiento de carga sigue siendo imposible. La transacción requiere que varios permisos y registros coincidan. Si un participante controla el estado autorizado de la carga y ese estado no está disponible, la capacidad física sobrante en otro lugar puede no ayudar.

Por el contrario, la disponibilidad digital sin un estado confiable puede ser peligrosa. Una terminal no debe mover un contenedor solo porque una grúa pueda alcanzarlo. La manipulación manual debe preservar el peso, las mercancías peligrosas, la aduana, la refrigeración, la propiedad y las restricciones de estiba. La presión de "mantener la carga en movimiento" no puede anular la información necesaria para un movimiento seguro y legal. Un modo manual resiliente no es, por lo tanto, una instrucción general para usar papel. Es un servicio deliberadamente restringido con transacciones definidas, datos de referencia disponibles de forma independiente, dobles verificaciones, identificadores de conciliación y condiciones de parada claras.

Maersk informó que introdujo un gran número de soluciones manuales. El relato de WIRED describe correos electrónicos personales, mensajería, hojas de cálculo y papel adjunto a los contenedores. Tal improvisación puede ser un puente racional durante una emergencia sin precedentes, y habla del ingenio de los empleados. También crea riesgos de integridad, privacidad, autorización y conciliación. Un mensaje recibido en una cuenta de emergencia puede ser auténtico, equivocado o malicioso. Una hoja de cálculo puede conservar una reserva pero omitir un campo de carga peligrosa. Una liberación en papel puede permitir el movimiento mientras crea transacciones duplicadas o no facturadas más tarde.

La lección de rendición de cuentas no es prohibir la improvisación. Es convertir las mejores prácticas de emergencia en capacidades controladas antes del próximo incidente. Un servicio de terminal mínimo viable debe especificar qué clases de carga pueden moverse, qué datos independientes deben estar presentes, quién puede aprobar una excepción, cómo cada acción manual recibe un registro único, cómo se contacta a las autoridades públicas y cómo se conciliarán los registros una vez que los sistemas regresen. La capacidad debe probarse en camiones o contenedores por hora, no describirse solo como "respaldo manual disponible".

La recuperación dependió de reconstruir la confianza

La parte más memorable de la historia de Maersk se refiere a Active Directory. En la reconstrucción de WIRED, aproximadamente 150 controladores de dominio se habían sincronizado entre sí y fueron borrados, mientras que inicialmente no se pudo encontrar ninguna copia de seguridad utilizable por separado de esa capa de identidad. Un controlador de dominio en Ghana se había desconectado durante un corte de energía y sobrevivió. El ancho de banda limitado hizo que la transferencia remota fuera impracticable, por lo que los empleados supuestamente enviaron un disco a través de Nigeria hasta el centro de recuperación en Inglaterra.

Este relato a menudo se ha reducido a una anécdota sobre la buena suerte. Su significado más profundo es que la identidad era un requisito previo para todo lo demás. Una empresa puede tener copias de seguridad de los datos de las aplicaciones y aún así no poder restaurar las operaciones si no puede recrear usuarios, máquinas, permisos, cuentas de servicio y autoridad administrativa confiables. El sistema de identidad no es solo otra aplicación. Es parte de la maquinaria que declara qué componentes restaurados pueden comunicarse y actuar.

La historia también distingue la replicación de la copia de seguridad. Múltiples controladores de dominio sincronizados mejoran la disponibilidad frente a fallos de hardware ordinarios. No crean una recuperación independiente si el estado destructivo puede alcanzar todas las réplicas. La redundancia responde "¿puede servir otro nodo activo?" La copia de seguridad responde "¿puede la organización volver a un estado anterior conocido como bueno después de que todos los nodos activos se vuelvan no confiables?" Una copia que comparte el mismo plano administrativo, conectividad y ruta destructiva puede ser redundante pero no recuperable.

Las guías modernas hacen explícita esa independencia. El Centro Nacional de Ciberseguridad del Reino Unido recomiendacopias de seguridad fuera de línea o segregadas, múltiples copias, restauración probada y recuperación limpia. Laguía de planificación de contingencias del NISTtrata la recuperación como una combinación coordinada de planes, procedimientos y medidas técnicas, que incluyen equipos alternativos, procesamiento manual y ubicaciones alternativas. Ningún documento prueba lo que Maersk tenía en 2017. Proporcionan una forma disciplinada de evaluar lo que mostró el evento.

Para un operador logístico global, el conjunto recuperable tiene al menos cuatro partes. Primero está la identidad y el plano de control administrativo. Segundo está la configuración de la infraestructura: definiciones de red, seguridad, nube, puntos finales y plataforma que pueden reconstruirse sin confiar en el patrimonio dañado. Tercero está el estado operativo: reservas, manifiestos, ubicación de contenedores, estado aduanero, atributos de mercancías peligrosas, asignaciones de equipos e instrucciones del cliente. Cuarto está el mapa de relaciones externas: contactos y canales verificados para puertos, autoridades, proveedores, clientes, bancos y socios de emergencia.

Cada parte necesita su propio objetivo de punto de recuperación y tiempo de recuperación. Una copia de seguridad de servidor de tres días puede ser aceptable para un servicio de referencia estático e inaceptable para eventos de contenedores que cambian minuto a minuto. Una copia de seguridad de identidad limpia puede restaurar el acceso pero no decirle a una terminal qué transacciones ocurrieron manualmente durante la interrupción. Una lista de contactos de clientes almacenada detrás del proveedor de identidad fallido puede estar completa pero ser inútil. Por lo tanto, "las copias de seguridad tuvieron éxito" es una métrica deficiente para la junta. La evidencia útil es si se han reconstruido servicios representativos a partir de insumos protegidos dentro de un entorno limpio, a escala, dentro del período que la red operativa y sus clientes pueden tolerar.

Diez días fue un logro, no un veredicto completo de resiliencia

En el Foro Económico Mundial en enero de 2018, el presidente de Maersk, Jim Hagemann Snabe, describió un esfuerzo notable: reconstruir 4.000 servidores, 45.000 computadoras personales y 2.500 aplicaciones en diez días. La escala se cita ampliamente porque captura el trabajo y la urgencia de la respuesta. El relato posterior de WIRED dice que parte del trabajo de recuperación continuó mucho más tiempo, lo cual es compatible con una distinción entre reconstruir el núcleo y completar la restauración de cada aplicación o usuario.

Elinforme anual de 2017 de Maerskcalificó la recuperación como rápida e informó pérdidas de 250-300 millones de USD que cubrían ingresos, restauración de TI y costos operativos extraordinarios. Dijo que se habían implementado o planificado iniciativas inmediatas y a largo plazo para asegurar el negocio digital, fortalecer la plataforma de infraestructura, mejorar la continuidad y recuperación de los servicios de TI y reforzar los planes de continuidad del negocio. La empresa también adquirió un seguro cibernético.

Esa es una respuesta de gestión creíble, pero no convierte la velocidad de recuperación en un veredicto suficiente sobre la resiliencia previa al incidente o la garantía posterior al incidente. La recuperación heroica y la resiliencia diseñada son cualidades diferentes. La recuperación heroica se basa en personas excepcionales, compras de emergencia, amplia autoridad ejecutiva, apoyo de proveedores y esfuerzo sostenido. La resiliencia diseñada hace que los resultados críticos dependan menos de condiciones excepcionales. Reduce el radio de explosión, preserva material de recuperación confiable, preorganiza la capacidad y proporciona decisiones practicadas antes de que la fatiga y la incertidumbre se apoderen.

La distinción es importante para la rendición de cuentas de los empleados. El elogio por el trabajo extraordinario puede normalizar silenciosamente un modelo operativo que requiere trabajo extraordinario. Las juntas deben preguntar cuántas personas trabajaron horas inseguras, qué roles no tenían un suplente capacitado, qué pasos de recuperación dependían del conocimiento personal y si la autoridad de emergencia se documentó después del hecho. Un programa de resiliencia debe preservar el conocimiento improvisado revelado por una crisis mientras reduce la necesidad de repetir la carga física y psicológica.

También es importante para la rendición de cuentas financiera. La estimación de 250-300 millones de USD no es un total de daños global. Maersk describió lo que el ataque costó a su propia rentabilidad. No captura cada viaje de camión no compensado, reserva de almacén, espacio de producción perdido, artículo estropeado, compra pública retrasada o tensión de capital de trabajo experimentada por clientes y proveedores de servicios. El informe de WIRED cita a camioneros y empresas de logística que dijeron haber sufrido pérdidas sustanciales, pero ningún conjunto de datos auditado respalda agregar esas anécdotas en una cifra para toda la economía.

El seguro, de manera similar, solo transfiere consecuencias financieras especificadas. No restaura un envío de medicamentos, preserva al cliente de un pequeño importador ni brinda a una autoridad portuaria visibilidad de la carga en tiempo real. Una junta que informa los límites del seguro sin informar evidencia de recuperación operativa está midiendo la protección del balance en lugar de la resiliencia del servicio. Ambos importan, pero no son sustitutos.

La responsabilidad sigue al control, no a la proximidad al malware

La frase "Maersk fue una víctima" es verdadera e incompleta. También lo es "Maersk debería haberse preparado". Una asignación útil de la rendición de cuentas identifica las decisiones que cada actor podría haber tomado antes, durante y después del evento.

Esta asignación evita convertir al administrador más cercano en el centro moral de un evento sistémico. Si se requería que un empleado local usara software fiscal ucraniano, esa persona no decidió la arquitectura de confianza global. Si un empleado de la terminal usó un canal personal para rescatar un envío, esa acción debe revisarse por riesgo y aprenderse, no aislarse de las condiciones que la hicieron necesaria. La rendición de cuentas de alto nivel comienza donde reside la autoridad sobre la arquitectura, el presupuesto, la aceptación de riesgos y las promesas de servicio.

También evita excusar a las organizaciones posteriores. Una agencia pública o un pequeño importador no pueden rediseñar el sistema de identidad de un transportista. Pueden decidir si su propio plan de continuidad asume que el portal, el equipo de cuentas y la terminal del transportista permanecerán todos disponibles juntos. Pueden mantener los identificadores de envío y los documentos esenciales fuera del portal del proveedor, acordar contactos de emergencia, clasificar qué mercancías justifican un enrutamiento alternativo y comprender cuánto tiempo su inventario o compromiso de servicio puede absorber un retraso.

La rendición de cuentas debe seguir siendo proporcionada. Una pequeña empresa no puede mantener económicamente reservas duplicadas en cada ruta ni reservar carga aérea para carga ordinaria. Un comprador municipal no puede ordenar la secuencia de recuperación de un transportista global. El estándar no es la redundancia infinita. Es la selección consciente de medidas de continuidad basadas en la consecuencia, la sensibilidad al tiempo, la sustituibilidad y los recursos disponibles.

Los puertos convierten la falla privada en un problema de continuidad pública

Los puertos son ecosistemas institucionales. Las autoridades portuarias públicas, las aduanas y agencias fronterizas, la policía, los inspectores de salud y agricultura, las terminales operadas privadamente, los transportistas, los ferrocarriles, los camioneros y los transitarios comparten el mismo espacio físico e informativo. Una falla que se origina en la red empresarial de una empresa puede, por lo tanto, crear tareas públicas incluso cuando ningún sistema gubernamental está comprometido.

Larevisión de 2025 de la Oficina de Rendición de Cuentas del Gobierno de los Estados Unidos sobre ciberseguridad marítimautiliza NotPetya como un ejemplo destacado, informando que las computadoras de Maersk se apagaron, las operaciones portuarias, incluidas las de EE. UU., se detuvieron y los buques quedaron inactivos en el mar. El informe también encontró brechas más amplias en el proceso de lista de incidentes de la Guardia Costera, la planificación estratégica y las prácticas de la fuerza laboral cibernética. La importancia es institucional: el sector público no puede cumplir con las responsabilidades de seguridad y continuidad marítima asumiendo únicamente que cada operador privado ha gestionado sus propias dependencias.

La base de política internacional ya estaba avanzando cuando NotPetya golpeó. Diez días antes del ataque, la Organización Marítima Internacional adoptó laResolución MSC.428(98), alentando a que el riesgo cibernético se aborde en los sistemas de gestión de seguridad para la primera verificación anual después del 1 de enero de 2021. Lasdirectrices de 2017 sobre gestión del riesgo cibernético marítimoasociadas organizaron la acción en torno a identificar, proteger, detectar, responder y recuperar, con la participación de la alta dirección y la continuidad de las operaciones de transporte marítimo.

Esos instrumentos no deben aplicarse incorrectamente. Son orientaciones de alto nivel sobre seguridad marítima, no un hallazgo retrospectivo de que Maersk violó una regla específica de TI de terminal en junio de 2017. Su cronología muestra que el riesgo cibernético para el transporte marítimo no fue inventado por NotPetya. El incidente aceleró una cuestión de rendición de cuentas que el sector ya estaba enfrentando: cómo conectar la gobernanza cibernética con los sistemas de seguridad y continuidad que los líderes marítimos ya entienden.

Las directrices posteriores se han vuelto más operativas. Lasdirectrices sobre riesgos cibernéticos portuarios de la Agencia de la Unión Europea para la Ciberseguridadmapean las prácticas de riesgo a los procesos de seguridad portuaria y enfatizan un ciclo de evaluación adaptable. Laguía de resiliencia portuaria de Comercio y Desarrollo de la ONUtrata a los transportistas, las aduanas, los transitarios, los propietarios de la carga y los operadores logísticos terrestres como partes interesadas que colaboran. Señala que las mercancías en contenedores representan una proporción mucho mayor del comercio marítimo por valor que por volumen y que los puertos pueden convertirse en puntos únicos de falla.

La planificación de la continuidad pública debe traducir esos principios en preguntas operativas. ¿Qué datos mínimos de carga pueden utilizar la aduana y una terminal si la plataforma del transportista no está disponible? ¿Puede un puerto autenticar instrucciones de emergencia a través de un canal independiente del sistema de identidad del operador afectado? ¿Quién gestiona las colas de camiones cuando fallan los sistemas de citas y puertas? ¿Cómo se priorizan las cargas refrigeradas, peligrosas, médicas, alimentarias y de servicio público sin permitir que la prioridad autodeclarada abrume el proceso? ¿Cuándo se suspenderán las reglas de almacenamiento, estadía o acceso, y quién puede anunciar esa decisión?

La respuesta correcta rara vez es una hoja de cálculo gigante compartida esperando un desastre. Un respaldo central puede convertirse en otro fallo común y en una fuente tentadora de datos comerciales sensibles. Una mejor continuidad utiliza conjuntos de datos mínimos acordados, formatos interoperables, extractos locales protegidos, autoridad legal clara, rutas de comunicación probadas y una forma federada de conciliar eventos. El papel del sector público es convocar y probar las interfaces que ninguna empresa posee por sí sola.

La digitalización portuaria hace esto más urgente. El Banco Mundial describe lossistemas de comunidad portuariacomo plataformas colaborativas que conectan aduanas, gestión portuaria, transportistas, empresas de logística y transitarios. Dichos sistemas pueden reducir costos y mejorar la resiliencia, especialmente para los participantes más pequeños, pero su valor aumenta la consecuencia de una falla o una mala integración. La arquitectura de eficiencia necesita una arquitectura de degradación: una respuesta para lo que cada participante aún puede ver y hacer cuando la plataforma compartida o un contribuyente importante desaparece.

Las pequeñas empresas absorben el retraso de manera diferente

La interrupción de Maersk alcanzó a las pequeñas empresas en varios roles: transitarios que organizaban envíos, empresas de camiones que prestaban servicio a terminales, agentes de aduanas, operadores de almacenes, exportadores, importadores y empresas que esperaban insumos. Algunos eran clientes directos; otros dependían económicamente del rendimiento de la terminal sin un contrato que prometiera compensación. Su problema de continuidad difería del de Maersk. No necesitaban reconstruir miles de servidores. Necesitaban un estado autorizado, acceso a la carga, una alternativa creíble y suficiente efectivo para sobrevivir a la espera.

Las pequeñas empresas están estructuralmente expuestas a la incertidumbre logística. El trabajo de la OCDE sobrePYMEs y comercioseñala que las empresas más pequeñas tienen menos recursos para hacer frente a los costos transfronterizos y pueden verse afectadas de manera desproporcionada por las barreras comerciales, mientras que la facilitación del comercio y la conectividad ayudan a respaldar la entrega oportuna. Por lo tanto, una interrupción que agrega llamadas telefónicas, almacenamiento, documentación duplicada, transporte de emergencia y fechas de liberación inciertas impone más que un retraso. Agrega costos fijos de coordinación que son más difíciles de distribuir en el volumen.

La concentración de proveedores tiene dos significados para una PYME. Puede haber solo un transportista o terminal comercialmente sensato para una ruta, y varios servicios aparentemente separados pueden depender del mismo plano de control digital del operador. Comprar transporte marítimo a través de un transitario no crea necesariamente una ruta independiente si la cadena de reserva, terminal y estado del cliente converge en el mismo transportista. El mapeo de continuidad debe seguir el movimiento real y la ruta de la información, no el número de facturas o intermediarios.

La respuesta práctica comienza con la custodia de los datos. Un pequeño importador debe conservar las referencias de reserva, facturas y documentos comerciales, números de contenedor y precinto, estado aduanero, requisitos de peligrosidad o refrigeración, contactos e hitos prometidos en un lugar que no requiera abrir el portal del transportista. Esto no es un intento de duplicar la base de datos operativa del proveedor. Es el paquete mínimo necesario para identificar el envío, demostrar la autoridad y pedir ayuda a otra parte.

Luego viene el triaje. Las empresas deben decidir de antemano qué carga puede esperar, cuál puede usar otra salida, cuál amenaza la producción o un compromiso público, y cuál podría justificar una costosa sustitución aérea o terrestre. La respuesta debe incluir una autoridad de gasto. Durante el evento de Maersk, las alternativas escasas y la información incierta forzaron decisiones bajo presión. Un umbral preacordado permite que un líder de operaciones actúe antes de que se pueda contactar a un fundador, un oficial financiero o un cliente público.

La comunicación necesita la misma independencia que la copia de seguridad. El Centro Nacional de Ciberseguridad del Reino Unido ofrece unaguía de respuesta y recuperación para pequeñas empresasque enfatiza la preparación, los roles, los contactos, la resolución, la presentación de informes y el aprendizaje. Para un evento de dependencia logística, la hoja de contactos debe extenderse más allá de los respondedores cibernéticos internos. Debe incluir la ruta de emergencia del transportista, la terminal, el transitario, el agente, el almacén, la aseguradora, el banco, los clientes críticos y la autoridad pública pertinente. Una copia impresa o almacenada de forma independiente es importante cuando el correo electrónico o el inicio de sesión único son parte de la falla.

Finalmente, el contrato debe decir cómo se ve la equidad operativa. Los canales de notificación, el acceso a los datos, las exenciones de tarifas durante puertas inaccesibles, las responsabilidades de preservación de la carga, la documentación para reclamos y las rutas de escalamiento son más útiles que una amplia promesa de alta disponibilidad. No todos los pequeños clientes pueden negociar términos a medida, razón por la cual las autoridades portuarias, los reguladores, las asociaciones comerciales y los grandes proveedores de logística tienen un papel en la estandarización de las protecciones. El objetivo no es una compensación garantizada por cada retraso. Es un proceso predecible que no obliga a la parte menos poderosa a probar una interrupción que el operador ya sabe que ocurrió.

Los recursos generales de preparación siguen siendo relevantes.Ready Businesscombina comunicaciones, recuperación de TI, planes de continuidad, capacitación y ejercicios en lugar de tratar la recuperación cibernética como un plan técnico aislado. La guía de CISA para líderes corporativos dice igualmentecentrar la inversión en resiliencia en funciones comerciales críticas y probar la continuidad después de una intrusión. Para una pequeña empresa, el ejercicio puede ser modesto: una hora en la que el equipo asume que el portal del transportista, el representante de cuentas y la terminal principal no están disponibles, luego intenta localizar dos envíos prioritarios y tomar una decisión documentada de redireccionamiento.

La continuidad manual debe tener un límite de diseño

Las soluciones manuales de Maersk son justamente admiradas porque preservaron gran parte del servicio mientras se reconstruía el patrimonio digital. También muestran por qué la continuidad manual no puede describirse como un sustituto ilimitado. El rendimiento humano es menor, los errores son más difíciles de detectar y los registros necesarios para la conciliación posterior se multiplican rápidamente. Cuanto más dure el modo degradado, más se convierten su propio retraso y deuda de control en un problema de recuperación.

Un plan manual creíble tiene un alcance y una duración máximos. Identifica las funciones que deben continuar, las que pueden pausarse y las que no deben intentarse sin sistemas. Asigna la capacidad escasa según la seguridad y las consecuencias. Establece cómo se autoriza, registra y verifica una transacción. Mantiene un único reloj y secuencia de incidentes incluso si los equipos locales utilizan diferentes herramientas. Reserva personas para la conciliación, porque cada registro temporal eventualmente tendrá que encontrarse con el sistema restaurado.

El plan también debe sobrevivir a la pérdida de la tecnología habitual del lugar de trabajo. Los formularios de emergencia almacenados en el mismo recurso compartido de archivos, las listas de contactos detrás del mismo proveedor de identidad y los puentes de conferencia que dependen de la misma red no son activos de continuidad. La guía de respuesta técnica del NCSC aconseja a las organizaciones que mantengan copias de seguridad limpias, dispositivos de repuesto y registros utilizables; el principio más amplio es que los respondedores necesitan un conjunto mínimo de herramientas independiente. Para una empresa de logística distribuida, eso puede incluir computadoras portátiles limpias, comunicaciones separadas, identidades externas preaprobadas, repositorios de configuración protegidos y kits de recuperación regionales.

Las operaciones manuales deben ejercitarse con las partes que las reciben. Una terminal puede producir una liberación en papel, pero no tiene valor de continuidad si el personal de la puerta, la aduana o un camionero no pueden validarla. Un transportista puede aceptar una reserva por correo electrónico de emergencia, pero la reserva no es segura si las declaraciones de mercancías peligrosas no pueden seguir. Una autoridad pública puede crear una lista de prioridades, pero fallará si no hay una forma verificada de hacer coincidir esa lista con los contenedores. Los ejercicios conjuntos descubren estas fallas de interfaz antes de que un incidente cree presión comercial para pasarlas por alto.

Las métricas de capacidad deben ser honestas. "Las terminales pueden operar manualmente" dice poco. Una declaración más sólida es que un sitio específico puede procesar de manera segura una categoría definida de movimientos a un porcentaje medido del rendimiento normal durante un cierto número de horas, con una carga de conciliación conocida y exclusiones claras. Publicar todos los detalles podría crear riesgos de seguridad o comerciales, pero las juntas y las autoridades pertinentes deben ver la evidencia.

Lo que una junta debería pedir ver

Después de NotPetya, Maersk dijo que fortaleció la resiliencia cibernética, la infraestructura, la continuidad del servicio, la recuperación y la continuidad del negocio. Los informes públicos no revelan suficientes detalles para verificar de forma independiente el estado actual de cada medida, y la ausencia de detalles no es evidencia de que el trabajo no se haya realizado. Significa que los lectores externos deben distinguir un programa declarado de los resultados probados.

El primer artefacto de la junta debe ser un mapa de servicios, no un recuento de activos. Debe comenzar con resultados como aceptar una reserva, admitir un camión, leer los datos de carga del buque, liberar un contenedor, monitorear un contenedor refrigerado y comunicar el estado. Para cada resultado, debe identificar las dependencias de identidad, red, aplicación, datos, instalaciones, proveedor y agencia pública. El mapa debe exponer cuándo múltiples resultados comparten un mismo plano administrativo o ruta de confianza de software local.

El segundo artefacto debe ser evidencia de recuperación destructiva. ¿Puede la organización construir un entorno de identidad limpio sin ningún servicio empresarial en vivo? ¿Se restauran las credenciales, claves, confianza del dispositivo, configuración y estaciones de trabajo privilegiadas en un orden controlado? ¿Las copias de seguridad son inaccesibles para los administradores comprometidos, se conservan el tiempo suficiente, se escanean y prueban? ¿Se ha reconstruido un servicio representativo de terminal o reserva a partir de insumos protegidos a escala operativa?

El tercero debe ser evidencia de operación degradada. ¿Qué servicios pueden ejecutarse manualmente, a qué capacidad y con qué controles de seguridad? ¿Cuándo deja la empresa de aceptar nuevos trabajos para proteger la carga que ya está bajo su custodia? ¿Cómo se conciliarán los registros manuales? ¿Qué canales de comunicación permanecen si la identidad corporativa y la telefonía se pierden juntas? ¿Cuándo se ejercitó el plan por última vez con un puerto, un actor aduanero, un gran cliente y un pequeño proveedor de logística?

El cuarto debe ser datos de consecuencias para terceros. Debe mostrar no solo el tiempo de inactividad corporativo, sino también movimientos de puerta rechazados, reservas perdidas, carga no localizada, excepciones de refrigeración, retrasos en el estado del cliente, disputas de tarifas y reclamos. Debe distinguir a los grandes clientes con soporte dedicado de los clientes más pequeños y los operadores indirectos. Un programa de recuperación que restaura los ingresos mientras deja a los clientes sin poder obtener un estado autorizado no ha completado la recuperación del servicio.

El quinto debe ser evidencia de cierre. Cada remediación debe identificar la ruta de falla observada, el propietario, la fecha de vencimiento, la prueba, la excepción y el revisor independiente. Los controles que reducen la probabilidad, como los parches y la segmentación, deben separarse de los controles que reducen las consecuencias, como la recuperación limpia de identidad y los modos manuales de terminal. El seguro cibernético debe informarse como transferencia financiera, no como remediación técnica.

El sexto debe ser aprendizaje sobre las personas. ¿Qué decisiones se retrasaron porque la autoridad no estaba clara? ¿Qué respondedores tenían conocimientos únicos? ¿Qué herramientas improvisadas resultaron útiles y cuáles crearon un riesgo inaceptable? ¿Cómo preservará la empresa la competencia de emergencia sin asumir que cientos de personas pueden volver a sostener una reconstrucción las 24 horas? La resiliencia operativa incluye personal, movilización de proveedores, visas, viajes, instalaciones, comida, descanso y sucesión, porque un diseño de recuperación limpio aún debe ser ejecutado por humanos.

La regulación se está poniendo al día con la realidad operativa

La gobernanza cibernética marítima se ha vuelto más concreta desde 2017. En los Estados Unidos, laregla de Ciberseguridad en el Sistema de Transporte Marino de la Guardia Costeraentró en vigor el 16 de julio de 2025. Requiere que los buques e instalaciones cubiertos con bandera de los EE. UU. informen incidentes y etapas de capacitación, un oficial de ciberseguridad designado, una evaluación y un plan de ciberseguridad aprobado. La regla no hace imposible que se repita NotPetya. Crea una propiedad nombrada y una planificación auditable donde la dependencia de la madurez voluntaria ya no se consideraba suficiente.

Los hallazgos de la GAO de 2025 son un recordatorio de que la regulación también necesita capacidad operativa. Los requisitos funcionan solo si la autoridad puede comprender los incidentes, mantener una base de evidencia confiable, coordinar localmente y probar si los planes abordan las dependencias reales. La resiliencia cibernética portuaria no se logra cuando cada entidad presenta un documento por separado. Surge cuando los planes se conectan en las interfaces compartidas donde la carga, la información de seguridad y la autoridad pública cruzan las organizaciones.

Los reguladores también deben preservar la proporcionalidad. Un transportista global y un pequeño agente de aduanas no pueden soportar cargas de control idénticas. Se puede esperar razonablemente que los grandes operadores produzcan evidencia de recuperación independiente, mantengan la capacidad de sala limpia y apoyen ejercicios conjuntos. Las pequeñas empresas necesitan seguridad básica, planes de continuidad utilizables y acceso a canales comunes. Los organismos públicos pueden reducir el costo colectivo definiendo conjuntos de datos mínimos, terminología común de incidentes, políticas modelo de tarifas y formatos de ejercicio.

La transparencia también debe calibrarse. Publicar una arquitectura de red o identidad completa crearía nuevos riesgos. Publicar solo que "los sistemas se han restaurado" crea muy poca rendición de cuentas. La divulgación útil incluye los servicios y ubicaciones afectados, los estados de recuperación limitados en el tiempo, las acciones de los clientes, si la seguridad de la carga o la integridad de los datos están en duda, las categorías de la causa raíz y la falla de control, y cómo se garantizará la remediación de forma independiente. Los detalles sensibles específicos pueden permanecer con los reguladores o auditores.

La medida final es si la dependencia se volvió gobernable

La respuesta de Maersk en 2017 demostró una formidable capacidad de recuperación. Los empleados mantuvieron el control de los buques, improvisaron canales de servicio y reconstruyeron un vasto patrimonio tecnológico en condiciones extremas. La empresa absorbió un gran impacto financiero y posteriormente informó inversiones en resiliencia cibernética y continuidad. Esos hechos merecen peso.

No borran la señal central de rendición de cuentas. Una relación de software requerida localmente adquirió suficiente alcance práctico para ayudar a interrumpir las operaciones de contenedores en todo el mundo. La infraestructura de identidad replicada no proporcionó necesariamente una capacidad de recuperación independiente. Los clientes y socios de terminal perdieron no solo el acceso a un sitio web, sino la información necesaria para coordinar el comercio físico. Los operadores más pequeños y las instituciones públicas tuvieron que gestionar consecuencias fuera de la pérdida reportada por Maersk.

La resiliencia operativa a menudo se describe como la capacidad de recuperarse. La frase es demasiado pasiva para la infraestructura de la que otros dependen. Un operador crítico debe decidir de antemano qué preservará, qué puede hacer de manera segura sin sus sistemas principales, qué necesidades se priorizarán, cómo se comunicará la verdad y qué evidencia demostrará la recuperación. Sus clientes y socios públicos deben decidir qué harán cuando el propio operador sea la dependencia no disponible.

Por lo tanto, el valor perdurable del caso Maersk no es el espectáculo de 45.000 computadoras reinstalándose. Es la exposición de una jerarquía oculta. La identidad tuvo que regresar antes de que las aplicaciones pudieran confiar unas en otras. Los datos de carga tuvieron que regresar antes de que la capacidad física pudiera usarse de manera segura. El estado autorizado tuvo que regresar antes de que los clientes pudieran tomar decisiones racionales. La conciliación tuvo que continuar después de que los sistemas estuvieran nominalmente disponibles. Cada capa tenía un reloj diferente.

Un régimen maduro de rendición de cuentas sigue esos relojes. No declara la victoria en el primer servidor restaurado, ni asigna la culpa a la primera oficina infectada, ni pide a los pequeños clientes que infieran la continuidad a partir de una estimación financiera corporativa. Pregunta si la autoridad destructiva ha sido limitada, si existe confianza de recuperación fuera del dominio de falla, si el servicio manual es seguro y medible, si las dependencias públicas y de las PYME son visibles, y si la remediación ha sido probada por alguien capaz de desafiarla.

NotPetya fue un acto de agresión destructiva. El deber de Maersk no era hacer imposible tal agresión. Fue, y sigue siendo, hacer que la dependencia de la empresa de la confianza digital sea gobernable: limitada antes de la falla, superviviente durante la falla, reconstruible después de la falla y legible para las instituciones y empresas que tienen que seguir operando cuando el transporte marítimo global pierde su memoria.