No se puede proteger lo que no se puede ver. Ese principio constituye el núcleo de todo marco principal de ciberseguridad industrial, y nunca ha sido más urgente que ahora.

Los ataques a la cadena de suministro han evolucionado de ser un riesgo teórico a una realidad operativa. Cuando los adversarios comprometen a los proveedores ascendentes, los eslabones débiles de las redes interconectadas o los activos no detectados de terceros, el radio de afectación se extiende mucho más allá de una sola organización. Una brecha de seguridad en un proveedor de componentes puede repercutir en plantas de fabricación, instalaciones de tratamiento de agua y redes eléctricas.

Este es el desafío: la mayoría de las operaciones industriales carecen de una visibilidad completa de su panorama de activos de OT (tecnología operativa). Muchas plantas siguen dependiendo de hojas de cálculo manuales, diagramas de red desactualizados o listas de proveedores incompletas. Cuando llegan las auditorías de cumplimiento (o peor aún, cuando ocurre un incidente), esa falta de visibilidad se convierte en una responsabilidad crítica.

Este blog lo guiará a través de lo que realmente significa el descubrimiento de activos para la gestión de riesgos en la cadena de suministro, cómo se alinea con NIST 800-161, IEC 62443-4-1 y NIS2 CIP-013, y cómo diseñar un programa práctico que realmente funcione en su entorno. Ya sea que usted sea gerente de planta, ingeniero de OT o CISO, aquí encontrará tácticas viables que puede comenzar a implementar hoy mismo.

Antes de continuar, no olvide consultar nuestra publicación de blog anterior sobre el análisis profundo: El ataque de ransomware de Gentlemen a Mackay Sugar aquí

Por qué el descubrimiento de activos es fundamental para la gestión de riesgos en la cadena de suministro

El descubrimiento de activos no es algo que simplemente sería bueno tener. Es la base de todo lo demás que construya.

Cuando mapea cada activo (controladores industriales, nodos de red, integraciones de terceros, puntos de acceso remoto, sensores inalámbricos), adquiere la capacidad de:

• Identificar las dependencias de la cadena de suministro. Comprender qué proveedores, componentes y sistemas alimentan sus procesos críticos.

• Detectar puntos de acceso no autorizados. Encontrar conexiones no aprobadas a terceros, proveedores de mantenimiento o integraciones en la nube que no fueron autorizadas formalmente.

• Evaluar la exposición a vulnerabilidades. Saber qué activos están expuestos a CVE conocidos, software al final de su vida útil o versiones de firmware sin soporte.

• Verificar la postura de cumplimiento. Demostrar a los auditores que realmente ha inventariado sus sistemas y evaluado sus riesgos.

• Responder más rápido a los incidentes. Durante un evento de seguridad, la información incompleta de los activos hace perder horas. La visibilidad total le permite aislar los sistemas afectados de inmediato.

La gestión de riesgos en la cadena de suministro exige esta visibilidad. No puede evaluar los controles de seguridad de un proveedor si no conoce cada punto en el que se conecta a su red. No puede evaluar el acceso a los datos por parte de terceros si no ha documentado quién tiene una conectividad legítima.

NIST 800-161: El marco de gestión de riesgos en la cadena de suministro

NIST SP 800-161, Prácticas de gestión de riesgos en la cadena de suministro para organizaciones y sistemas de información federales, proporciona el estándar rector para evaluar y gestionar los riesgos de los proveedores. Aunque se diseñó originalmente para sistemas federales, sus principios se han adoptado ahora en toda la industria.

Principios básicos de NIST 800-161

NIST 800-161 exige que las organizaciones:

1. Mapear el ecosistema de la cadena de suministro. Identificar todos los proveedores, componentes, proveedores de servicios y puntos de integración.

2. Evaluar el riesgo de los proveedores. Evaluar la madurez de seguridad, las certificaciones y el historial de incidentes de cada proveedor.

3. Definir medidas de protección. Exigir por contrato que los proveedores cumplan con estándares de seguridad específicos y reporten incidentes.

4. Monitorear la seguridad de los proveedores. Realizar evaluaciones periódicas, solicitar documentación de seguridad y verificar el cumplimiento.

5. Desarrollar procedimientos de respuesta. Preparar planes de escalación, requisitos de notificación de incidentes y plazos de remediación.

Cómo el descubrimiento de activos facilita el cumplimiento de NIST 800-161

El descubrimiento de activos es el primer paso hacia el cumplimiento de NIST. Debe saber:

• Qué componentes de terceros están integrados en su entorno de OT.

• Hacia dónde fluyen los datos a sistemas externos (análisis en la nube, plataformas de monitoreo de proveedores, etc.).

• Qué proveedores tienen acceso remoto a sus redes.

• Qué sistemas heredados o software desactualizado existen que puedan depender de socios vulnerables de la cadena de suministro.

Sin el descubrimiento de activos, básicamente está realizando la evaluación de riesgos de la cadena de suministro a ciegas.

Tareas prácticas de descubrimiento de activos según NIST 800-161:

• Catalogar todo el hardware, software y servicios adquiridos que se utilicen en los sistemas de OT.

• Documentar todas las integraciones proporcionadas por los proveedores (APIs, herramientas de monitoreo remoto, actualizaciones de firmware).

• Identificar y mapear todas las conexiones de red con entidades externas.

• Marcar cualquier activo o proveedor que no cuente con certificaciones de seguridad documentadas o historial de incidentes.

• Crear un "registro de riesgos de proveedores" que vincule cada activo identificado con su proveedor y los riesgos asociados.

IEC 62443-4-1: El estándar industrial para la seguridad de la cadena de suministro

IEC 62443-4-1 (Aplicación de IEC 62443-2-1 a sistemas de control y automatización industrial - Evaluación de riesgos de seguridad) es el estándar reconocido por ISO para la evaluación de la seguridad en OT. A diferencia de NIST, que se enfoca principalmente en la gobernanza, IEC 62443-4-1 ofrece orientación técnica detallada para la evaluación de seguridad a nivel de activos.

Requisitos de inventario de activos según IEC 62443-4-1

IEC 62443-4-1 exige explícitamente a las organizaciones mantener un inventario de activos exhaustivo que incluya:

• Identificación y clasificación de activos. Cada controlador, sensor, pasarela y dispositivo de red debe estar catalogado y clasificado según su criticidad de seguridad.

• Información de fabricantes y proveedores. Vincular los activos con sus fabricantes y proveedores.

• Estado del ciclo de vida. Documentar cuándo se implementó cada activo, cuándo finaliza su soporte y cuándo debe retirarse.

• Propiedades de seguridad. Registrar el estado de parches, capacidades de autenticación, soporte de cifrado y vulnerabilidades conocidas.

• Conectividad y flujo de datos. Mapear cómo se comunica cada activo con los demás y qué datos procesa.

El modelo de seguridad de cuatro zonas

IEC 62443-4-1 utiliza un enfoque de seguridad basado en zonas. Los activos se agrupan por función y requisitos de seguridad:

Para cada zona, el descubrimiento de activos debe identificar:

• Dispositivos y sistemas físicamente presentes.

• Dependencias de red entre zonas.

• Flujos de datos que entran y salen de la zona.

• Conexiones externas con proveedores o servicios en la nube.

NIS2 CIP-013: El mandato europeo para la cadena de suministro

La Directiva de Seguridad de las Redes y de la Información de la UE (NIS2) y su Reglamento de ejecución UE 2024/1928 incluyen la norma CIP-013, que aborda específicamente la ciberseguridad de la cadena de suministro. Esta regulación es ahora obligatoria para los operadores de infraestructura crítica en Europa e influye cada vez más en los estándares a nivel global.

Requisitos de riesgo de la cadena de suministro en NIS2 CIP-013

CIP-013 exige que los operadores de infraestructura crítica:

1. Identifiquen y cataloguen a todos los proveedores y servicios que pudieran afectar la confidencialidad, integridad o disponibilidad de los sistemas críticos.

2. Realicen evaluaciones de seguridad de los proveedores antes de integrar sus productos o servicios.

3. Establezcan requisitos de seguridad para los proveedores mediante acuerdos contractuales.

4. Monitoreen el cumplimiento de los proveedores de forma continua.

5. Implementen requisitos de notificación de incidentes para que los proveedores reporten de inmediato brechas de seguridad o eventos de seguridad.

A diferencia de NIST 800-161 (que proporciona orientación) o IEC 62443-4-1 (que es técnico), NIS2 CIP-013 es regulatorio. El incumplimiento conlleva sanciones.

Cómo el descubrimiento de activos impulsa el cumplimiento de NIS2 CIP-013

El descubrimiento de activos respalda directamente el cumplimiento de CIP-013 al:

• Crear el registro de auditoría. Documentar cada activo de OT y su proveedor, demostrando que ha cumplido con los requisitos de catalogación.

• Permitir la evaluación de proveedores. Saber qué proveedores requieren evaluaciones formales de seguridad y cuáles conllevan el mayor riesgo.

• Apoyar la aplicación de contratos. Utilizar los datos de los activos para verificar que los proveedores realmente cumplen con sus obligaciones contractuales de seguridad.

• Demostrar debida diligencia. Mostrar a los reguladores que ha llevado a cabo la debida diligencia en toda su cadena de suministro.

Amenazas reales a la cadena de suministro en entornos de OT

Para comprender por qué es importante el descubrimiento de activos, es necesario conocer las amenazas reales:

Vectores de ataque en la cadena de suministro

Hardware comprometido: Componentes falsificados, firmware con puertas traseras o chips debilitados intencionalmente pueden ingresar a la cadena de suministro. Sin el descubrimiento de activos, es posible que ni siquiera sepa que ha comprado a un distribuidor no autorizado.

Software de terceros vulnerable: Muchas plantas utilizan software industrial heredado con parches pendientes. Si ese software proviene de un proveedor adquirido o utiliza librerías de código abierto con fallas explotadas, el descubrimiento de activos le ayuda a encontrarlo.

Acceso remoto no autorizado: Los proveedores suelen solicitar acceso remoto para "monitoreo" o "soporte". Sin visibilidad de todas las conexiones de red, los túneles VPN no autorizados, los módems o las integraciones en la nube pueden persistir sin ser detectados.

Compromiso de la cadena de suministro a través de proveedores de servicios: Un proveedor de mantenimiento externo, una empresa de ingeniería o un proveedor de servicios en la nube podrían verse comprometidos, dando a los atacantes una puerta trasera a su red. El descubrimiento de activos revela estos puntos de conexión.

Vulnerabilidades en la cadena de firmware y parches: Si no sabe qué activos ejecutan firmware desactualizado o versiones de sistemas operativos sin parches, no puede evaluar si son vulnerables a exploits conocidos, o si esos exploits ingresaron a través de cadenas de suministro comprometidas.

Escenario del mundo real

Monitoree una planta de procesamiento de alimentos que ejecuta sistemas SCADA heredados que se comunican con un proveedor de logística externo a través de una conexión VPN antigua y sin cifrar. Sin el descubrimiento de activos, nadie sabía que esa conexión existía o que no se había actualizado en tres años. Cuando los auditores preguntaron sobre las integraciones de terceros, la planta no tenía una lista completa. Cuando ocurrió un incidente meses después, los investigadores descubrieron que el túnel VPN había estado comprometido durante meses.

El descubrimiento de activos habría detectado esto de inmediato.

Cómo diseñar un programa de descubrimiento de activos de OT eficaz

El descubrimiento de activos no es un proyecto de una sola vez. Es un programa continuo. A continuación se detalla cómo construirlo:

Fase 1: Establezca las bases de su inventario

Paso 1: Recopilar documentación manual Comience por reunir los registros existentes: diagramas de red, registros de compra de equipos, listas de proveedores, documentación del sistema y auditorías de cumplimiento. Incluso los datos incompletos proporcionan una base de referencia.

Paso 2: Recorrer la planta Haga que sus ingenieros de OT visiten físicamente las áreas críticas y documenten lo que ven. Tome fotos. Registre los números de serie. Anote cualquier conexión o modificación no documentada.

Paso 3: Entrevistar a las partes interesadas Hable con los operadores de la planta, los equipos de mantenimiento y los proveedores. A menudo conocen soluciones alternativas, conexiones heredadas e integraciones no oficiales que no aparecen en la documentación formal.

Paso 4: Crear su lista maestra de activos Diseñe una hoja de cálculo o base de datos centralizada (como mínimo) que registre:

• Nombre y tipo de activo (PLC, HMI, pasarela, sensor, etc.)

• Fabricante y modelo

• Dirección IP o identificador de red

• Versión de firmware/software

• Fecha de implementación

• Proveedor/fabricante

• Clasificación de criticidad (crítico para la seguridad, esencial, no esencial)

• Último parche/actualización

• Vulnerabilidades conocidas

Fase 2: Identificar las dependencias de la cadena de suministro

Paso 1: Mapear las relaciones con los proveedores Para cada activo, documente su proveedor/fabricante. Incluya:

• Nombre y ubicación del proveedor

• Certificaciones de seguridad (ISO 27001, SOC 2, etc.)

• Disponibilidad de soporte/parches

• Requisitos de acceso remoto

Paso 2: Catalogar integraciones de terceros Documente cada punto donde terceros externos se conectan a su red de OT:

• Acceso remoto de proveedores (módems, VPN, herramientas en la nube)

• Servicios de monitoreo o análisis basados en la nube

• Servicios tercerizados de mantenimiento o ingeniería

• Flujos de datos provenientes de proveedores o clientes ascendentes

Paso 3: Evaluar el riesgo de proveedores Para los proveedores de alto riesgo, evalúe:

• Estabilidad de la empresa (¿siguen operando?)

• Postura de seguridad (¿tienen un CISO, un plan de respuesta a incidentes?)

• Historial de incidentes (¿se han visto comprometidos anteriormente?)

• Cumplimiento regulatorio (¿cumplen con las normas pertinentes?)

Fase 3: Implementar el descubrimiento automatizado

El descubrimiento manual de activos sirve para empezar, pero no es escalable. Implemente herramientas que puedan:

• Escanear sus redes para identificar dispositivos activos, sus direcciones IP y puertos abiertos.

• Analizar el tráfico de red para revelar flujos de datos no documentados, integraciones en la nube y conexiones externas.

• Monitorear cambios para que reciba alertas inmediatas cuando se conecten nuevos dispositivos o se modifiquen los activos existentes.

• Generar reportes de cumplimiento que alineen los datos de sus activos con los requisitos de NIST 800-161, IEC 62443-4-1 y NIS2.

Fase 4: Mantener y actualizar

El descubrimiento de activos es un proceso continuo:

• Realice revisiones trimestrales de su inventario de activos.

• Actualice las clasificaciones de criticidad cuando cambie la producción o se actualicen los sistemas.

• Vuelva a evaluar el riesgo de los proveedores anualmente.

• Documente los cambios con la fecha, el motivo y la persona que los aprobó.

• Archive los activos retirados para mantener un registro histórico completo.

Lista de verificación práctica para el descubrimiento de activos

Utilice esta lista de verificación para poner en marcha su programa:

Lista de verificación: Bases del descubrimiento

• [ ] Inventariar todos los dispositivos de OT (PLCs, RTUs, IEDs, HMIs, pasarelas, sensores)

• [ ] Documentar la topología de la red (diagramas de red, asignaciones de VLAN, firewalls)

• [ ] Catalogar versiones de software y firmware para cada activo

• [ ] Identificar todos los dispositivos conectados a Internet (directamente o mediante puentes de red)

• [ ] Listar todos los puntos de acceso remoto (módems, dispositivos VPN, integraciones en la nube)

• [ ] Mapear los flujos de datos entre las zonas y los sistemas externos

• [ ] Identificar credenciales predeterminadas que sigan en uso y planificar su remediación

• [ ] Documentar las redes inalámbricas y sus controles de seguridad

Lista de verificación: Riesgos en la cadena de suministro

• [ ] Crear una matriz de proveedores/fabricantes (cada activo vinculado a su proveedor)

• [ ] Verificar las certificaciones de seguridad de los proveedores (cumplimiento de ISO 27001, NIST, IEC 62443)

• [ ] Evaluar el historial de incidentes de los proveedores (¿han sufrido brechas de seguridad anteriormente?)

• [ ] Documentar los requisitos de acceso remoto de los proveedores (VPN, herramientas en la nube, módems)

• [ ] Establecer requisitos contractuales para proveedores (SLAs, notificación de incidentes, controles de seguridad)

• [ ] Realizar evaluaciones anuales de riesgo de proveedores

• [ ] Crear un registro de todo el acceso a datos por parte de terceros (qué datos, con qué frecuencia, durante cuánto tiempo)

Lista de verificación: Alineación de cumplimiento

Para NIST 800-161:

• [ ] Evaluación de riesgos de la cadena de suministro documentada

• [ ] Formulario de evaluación de seguridad del proveedor completado para todos los proveedores críticos

• [ ] Cláusulas contractuales que exijan controles de seguridad al proveedor

• [ ] Evidencia de monitoreo del proveedor (reportes de auditoría, evaluaciones de seguridad)

Para IEC 62443-4-1:

• [ ] Clasificación de todos los activos según su Nivel de Seguridad (SL 1–4)

• [ ] Criticidad y interdependencias de los activos documentadas

• [ ] Estado del ciclo de vida identificado para cada activo (implementado, fin de soporte, obsoleto)

• [ ] Inventario basado en zonas (Seguridad del proceso, Control, Información, Terceros)

Para NIS2 CIP-013:

• [ ] Lista maestra de proveedores que identifique a todas las entidades con acceso a sistemas de misión crítica

• [ ] Reportes de evaluación de seguridad de proveedores

• [ ] Acuerdos contractuales con requisitos de notificación de incidentes

• [ ] Registro de auditoría del monitoreo de cumplimiento de proveedores

Hoja de ruta para la implementación del descubrimiento de activos

Cronograma práctico para la puesta en marcha del descubrimiento de activos:

Superar desafíos comunes

Desafío 1: Sistemas obsoletos o patentados Muchas plantas industriales operan con equipos de más de 20 años de antigüedad. Las herramientas tradicionales de descubrimiento de activos pueden no reconocer protocolos heredados o sistemas propietarios.

Solución: Combine el escaneo automatizado con la verificación manual. Trabaje de la mano con ingenieros de OT familiarizados con los sistemas heredados para asegurarse de que no se pase nada por alto.

Desafío 2: Resistencia al cambio A los operadores les puede preocupar que el escaneo de redes interrumpa las operaciones o que la documentación obligatoria genere trabajo adicional.

Solución: Enfatice que el descubrimiento de activos realmente previene interrupciones al detectar problemas de seguridad antes de que causen fallas operativas. Preséntelo como una práctica de debida diligencia, no como una medida punitiva.

Desafío 3: Limitación de recursos Muchas plantas carecen de personal de ciberseguridad dedicado que pueda llevar a cabo el descubrimiento de activos.

Solución: Comience por sus sistemas de mayor riesgo. Priorice las zonas críticas para la seguridad y las conexiones con terceros. Utilice una implementación por fases en lugar de intentar abarcarlo todo a la vez.

Desafío 4: Resistencia de terceros Algunos proveedores pueden mostrarse reacios cuando se les solicitan certificaciones de seguridad o historial de incidentes.

Solución: Deje en claro que la debida diligencia no es negociable. Incorpore los requisitos de seguridad para los proveedores en los contratos desde el principio, en lugar de hacerlo de manera retroactiva.

Alineación del descubrimiento de activos con sus operaciones de seguridad

El descubrimiento de activos no es una tarea de cumplimiento aislada; es la base de todo lo demás:

• La gestión de vulnerabilidades depende de saber qué activos existen y cuáles están expuestos.

• La detección de amenazas requiere comprender los patrones de tráfico normales, lo cual solo puede establecerse como referencia después de haber mapeado todos los activos.

• La respuesta a incidentes es exponencialmente más rápida cuando sabe exactamente qué tiene y quién tiene acceso a ello.

• La defensa regulatoria es imposible sin pruebas de que ha llevado a cabo la debida diligencia.

El descubrimiento de activos también guía las:

• Políticas de control de acceso (quién debe tener acceso remoto, cuándo y a qué sistemas)

• Programaciones de gestión de parches (qué activos son críticos y necesitan actualizaciones urgentes)

• Procedimientos de respaldo y recuperación (qué sistemas deben respaldarse y recuperarse primero)

• Contratos de gestión de proveedores (controles de seguridad específicos exigidos a los proveedores)

Cuando el descubrimiento de activos se implementa correctamente, se convierte en un documento vivo que guía todas las decisiones de seguridad posteriores.

Cómo empezar hoy mismo

No necesita herramientas perfectas ni un presupuesto ilimitado para empezar. Necesita compromiso y estructura.

Esta semana:

• Programe una reunión de inicio con sus equipos de OT, TI y cumplimiento.

• Asigne a un responsable del descubrimiento de activos (alguien que impulse el programa).

• Recopile la documentación existente (diagramas de red, listas de activos, contratos de proveedores).

El próximo mes:

• Complete su lista maestra de activos utilizando la lista de verificación anterior.

• Identifique a sus 10 principales proveedores y evalúe su postura de seguridad.

• Mapee todas las conexiones externas (VPNs, integraciones en la nube, accesos remotos).

El próximo trimestre:

• Implemente herramientas de descubrimiento automatizadas para complementar la documentación manual.

• Realice una evaluación de riesgos de la cadena de suministro alineada con NIST 800-161, IEC 62443-4-1 o NIS2 CIP-013.

• Comience a abordar los hallazgos de mayor riesgo (parches faltantes, accesos no autorizados, proveedores sin soporte).

Cuanto más espere, más vulnerabilidades dejará abiertas, y más riesgosa se volverá su cadena de suministro.

Conclusión:

Los ataques a la cadena de suministro ya no son teóricos. Están ocurriendo ahora y a menudo comienzan por brechas de visibilidad de los activos.

Al implementar un descubrimiento exhaustivo de activos de OT alineado con NIST 800-161, IEC 62443-4-1 y NIS2 CIP-013, obtendrá la visibilidad necesaria para:

• Identificar cada riesgo de la cadena de suministro antes de que se convierta en un incidente.

• Demostrar cumplimiento ante auditores y reguladores.

• Acelerar la respuesta a incidentes cuando ocurran brechas de seguridad.

• Tomar decisiones informadas sobre qué sistemas y proveedores priorizar.

• Proteger la infraestructura crítica frente a compromisos de la cadena de suministro.

El descubrimiento de activos no es perfecto. Encontrará sistemas no documentados. Descubrirá relaciones con proveedores que no sabía que existían. Es posible que descubra verdades incómodas sobre su postura actual. Pero esa visibilidad es precisamente lo que le mantiene un paso por delante de los adversarios.

Próximos pasos

Para acelerar su programa de descubrimiento de activos, descargue nuestros recursos gratuitos:

• Lista de verificación de inventario de activos de OT: Una plantilla detallada que puede personalizar para su entorno, alineada con los requisitos de NIST 800-161, IEC 62443-4-1 y NIS2.

• Guía práctica para la evaluación de riesgos de proveedores: Instrucciones paso a paso para evaluar los controles de seguridad de los proveedores y documentar la debida diligencia.

• Plantilla de mapeo de red y matriz de criticidad: Una hoja de cálculo para organizar sus activos por zona, criticidad y proveedor.

O bien, solicite una consulta con nuestro equipo. Le ayudaremos a evaluar sus brechas actuales de visibilidad de activos, alinear su programa con sus requisitos regulatorios y diseñar una hoja de ruta que se adapte a las limitaciones particulares de su planta. Sus operaciones dependen de la seguridad de la cadena de suministro. La seguridad de su cadena de suministro depende del descubrimiento de activos. No lo deje al azar.

Recursos adicionales:

Guía completa para la detección y respuesta de red por NDR en 2026 aquí
Lista de verificación de preparación para el monitoreo de seguridad de la red interna NERC CIP-015 para empresas de energía eléctrica aquí
Guía fundacional de OT SOC aquí
Servicio de SOC gestionado aquí
Asesoría de inteligencia sobre ciberamenazas en OT - Oriente Medio aquí
Directiva NIS2 Lograr el cumplimiento de NIS2 a través de IEC 62443 aquí
¿Qué son los medios extraíbles? Riesgos, políticas y soluciones de seguridad para OT industrial aquí
Plantilla gratuita de política de medios extraíbles para equipos de OT e TI aquí