La convergencia IT/OT ha eliminado el aislamiento histórico de los sistemas de control industrial, exponiendo plantas de energía, redes de agua y líneas de fabricación automatizadas a vectores de ataque antes inexistentes. Este artículo examina las diferencias fundamentales entre la seguridad IT y OT, los vectores de ataque más habituales y los controles técnicos mínimos exigibles, con referencia a los marcos normativos IEC 62443 y NIS2.
La tecnología operacional (OT) engloba todos los sistemas hardware y software que monitorizan y controlan procesos físicos en entornos industriales: desde plantas de generación eléctrica y redes de distribución de agua hasta líneas de fabricación automatizadas e instalaciones petroquímicas. Históricamente, estos sistemas operaban en redes aisladas, lo que los mantenía al margen de las amenazas cibernéticas convencionales. Sin embargo, la digitalización acelerada y la convergencia IT/OT han eliminado ese aislamiento, creando superficies de ataque antes inexistentes y convirtiendo la ciberseguridad OT en una disciplina de ingeniería de primer orden para cualquier operador de infraestructuras críticas en la Unión Europea y más allá. | La diferencia fundamental entre la seguridad IT y la seguridad OT reside en las consecuencias de un incidente. En un entorno de tecnología de la información, una brecha de seguridad compromete datos. En un entorno OT, las consecuencias de un ataque exitoso pueden traducirse en paradas de producción, daños físicos a equipos, riesgos para la seguridad de las personas o impactos directos sobre infraestructuras críticas. Esta asimetría exige un enfoque de protección específico y adaptado a las particularidades de los entornos industriales, no una simple extensión de las políticas corporativas de IT. | Comprender las diferencias entre ambos paradigmas es el primer paso para diseñar una estrategia de protección eficaz. En IT, la tríada de seguridad prioriza la confidencialidad, la integridad y la disponibilidad (CIA). En OT, la disponibilidad y la integridad de los procesos físicos son prioritarias, dado que detener un sistema puede ser tan dañino como el propio ataque. A esto se añade que los sistemas OT, como los controladores lógicos programables (PLC) o los sistemas de control distribuido (DCS), tienen ciclos de vida de entre 15 y 25 años, lo que dificulta la aplicación de parches de seguridad sin interrumpir operaciones. Los protocolos industriales heredados, como Modbus, DNP3 o Profibus, fueron diseñados para fiabilidad y eficiencia, no para seguridad: muchos carecen de autenticación nativa o cifrado. Las ventanas de mantenimiento son escasas y muy planificadas, y la coexistencia de equipos de distintas generaciones, fabricantes y tecnologías complica la visibilidad y la gestión centralizada. | Los vectores de ataque más habituales en redes OT son bien conocidos y deben orientar el diseño de los controles técnicos. El acceso remoto inseguro, mediante conexiones VPN mal configuradas o credenciales débiles en interfaces HMI expuestas a internet, representa uno de los puntos de entrada más frecuentes. El movimiento lateral desde la red corporativa IT hacia sistemas de control es otro vector crítico: una vez comprometida la red corporativa, los atacantes aprovechan las conexiones IT/OT para alcanzar activos industriales. Los dispositivos USB y medios extraíbles, utilizados habitualmente por ingenieros de mantenimiento, constituyen un vector de introducción accidental o deliberada de malware. La cadena de suministro, con software de terceros, actualizaciones de firmware comprometidas o equipos con vulnerabilidades de fábrica, supone un riesgo creciente. Finalmente, la ingeniería social dirigida a operadores e ingenieros con acceso privilegiado a los sistemas de control completa el mapa de amenazas más relevante. | La industria dispone de marcos técnicos consolidados para estructurar programas de ciberseguridad OT. La norma IEC 62443 es el estándar internacional de referencia para la seguridad de sistemas de automatización y control industrial, y define requisitos tanto para fabricantes de componentes como para integradores de sistemas y operadores de activos. El NIST Cybersecurity Framework proporciona una estructura de gestión de riesgos complementaria, aplicable también al entorno OT. En el ámbito europeo, la directiva NIS2 amplía las obligaciones de ciberseguridad a sectores de infraestructuras críticas e impone requisitos de notificación de incidentes y gestión de riesgos en la cadena de suministro que afectan directamente a los operadores de sistemas OT en los estados miembros de la UE. El cumplimiento de NIS2 no es opcional para los operadores afectados: la directiva establece responsabilidades explícitas a nivel de dirección y sanciones en caso de incumplimiento. | Un programa de ciberseguridad OT robusto debe contemplar, como mínimo, seis controles técnicos fundamentales. El primero es la segmentación de red y la definición de zonas de seguridad, implementando arquitecturas en zonas y conductos según IEC 62443, separando redes OT de las corporativas mediante firewalls industriales y zonas desmilitarizadas (DMZ). El segundo es el inventario y la visibilidad de activos, manteniendo un registro actualizado de todos los dispositivos OT, sus versiones de firmware y sus comunicaciones de red. El tercero es la monitorización continua mediante soluciones de detección de anomalías específicas para protocolos industriales, capaces de identificar comportamientos anómalos sin interrumpir operaciones. El cuarto es la gestión de accesos privilegiados, aplicando el principio de mínimo privilegio y autenticación multifactor en todos los accesos remotos y locales a sistemas críticos. El quinto es la gestión de vulnerabilidades y parches, estableciendo procesos para evaluar y aplicar actualizaciones de seguridad en ventanas de mantenimiento planificadas. El sexto es la disponibilidad de planes de respuesta a incidentes específicos para entornos OT, desarrollados y entrenados con las implicaciones operacionales propias de cada instalación. | La implementación de estos controles no puede abordarse de forma genérica. Cada entorno industrial presenta restricciones operacionales, tecnológicas y regulatorias propias que deben integrarse desde el diseño de la estrategia de ciberseguridad. En NOVTRIQ, el equipo de ingeniería aplica un enfoque técnico y estructurado para ayudar a organizaciones industriales, de infraestructuras y de facilities a evaluar, diseñar e implementar programas de ciberseguridad OT alineados con IEC 62443 y NIS2, desde evaluaciones de riesgo y auditorías de arquitectura hasta el diseño de soluciones de segmentación, monitorización y respuesta a incidentes, adaptándose en todo momento a las restricciones operacionales de cada entorno.