Los sistemas de gestión de edificios (BMS) ahora residen en las mismas redes que la infraestructura de TI corporativa, ejecutan protocolos sin seguridad integrada y, en octubre de 2026, se utilizaron para descomponer alimentos en cientos de supermercados europeos. Esto es lo que cambió este año y lo que un CISO debe hacer al respecto. 

Por qué la seguridad de los sistemas de gestión de edificios es un problema de OT 

Un sistema de gestión de edificios (BMS) es una red de controladores que monitorea y opera los servicios técnicos de una instalación: calefacción y aire acondicionado, iluminación, elevadores, alarmas contra incendios, control de acceso, agua y medición de energía. Hospitales, centros de datos, aeropuertos y hoteles dependen de uno. Si se quita el vocabulario de gestión de instalaciones, se trata de tecnología operativa (OT): controla procesos físicos, tiene consecuencias para la seguridad y no puede simplemente apagarse para aplicar parches. 

El problema es que la mayoría de las organizaciones no lo tratan de esa manera. Por lo general, la responsabilidad recae en el área de gestión de instalaciones o en un contratista externo, el equipo de seguridad no cuenta con un inventario de activos correspondiente y la herramienta de acceso remoto del proveedor fue configurada hace años por alguien que ya no forma parte de la empresa. Cuando la responsabilidad no pertenece a TI ni a OT, rara vez se prueban o revisan los controles. 

Tres factores agravan la exposición cada año: 

• Convergencia. Los tableros en la nube, las aplicaciones para inquilinos, la analítica energética y el soporte del proveedor empujan el tráfico de BMS hacia redes para las que nunca fue diseñado. 

• Protocolos heredados. BACnet y Modbus se diseñaron antes de que la ciberseguridad fuera una preocupación; carecen de cifrado y autenticación, por lo que cualquiera que tenga acceso a la red puede comunicarse con los dispositivos. 

• Radio de impacto físico. Un BMS comprometido puede afectar cerraduras de puertas, elevadores, sistemas contra incendios y climatización, y sirve como punto de entrada hacia otros sistemas empresariales. 

Para un CISO, la conclusión práctica es simple: si un sistema de gestión de edificios puede paralizar un área hospitalaria, una sala de operaciones bursátiles o una cadena de frío, pertenece al registro de riesgos de OT junto a la planta de producción. 

Qué cambió en 2026: los últimos acontecimientos 

Este año, los ataques a sistemas de edificios pasaron de ser una teoría expuesta en conferencias a daños físicos con un costo económico real. Los siguientes eventos son los que un CISO debe conocer, ordenados del más reciente al más antiguo. 

Un patrón se repite en cada caso: el atacante no necesita ser un experto en sistemas de edificios. Solo necesita un controlador accesible, una credencial predeterminada o filtrada, y un túnel de proveedor que nadie está monitoreando. 

Las cifras detrás de la seguridad en sistemas de gestión de edificios 

Dos amplios conjuntos de datos, uno de Team82 de Claroty y otro de Armis, apuntan en la misma dirección. Sus muestras y definiciones difieren, por lo que deben interpretarse como dos lecturas del mismo problema más que como una única línea de tendencia. 

El propio resumen de Claroty enumera a los sospechosos habituales: dispositivos y sistemas operativos obsoletos, autenticación débil, exposición a internet, herramientas de acceso remoto de terceros no administradas y puertos abiertos. Ninguno de ellos es desconocido. Todos se pueden solucionar con una higiene operativa básica de OT, razón por la cual esta brecha es más una falla de gobernanza que de tecnología. 

Por qué un BMS es más difícil de proteger que una planta industrial 

Es tentador aplicar la misma guía de ICS y dar el asunto por resuelto. Eso funciona aproximadamente la mitad de las veces. IoT Agenda de TechTarget destaca que las redes BMS están mucho más interconectadas que las redes ICS, por lo que un modelo de segmentación plana diseñado para una línea de producción no se adapta fácilmente a un edificio. 

En qué difiere un edificio de una planta: 

1. Múltiples proveedores pequeños en una sola propiedad. HVAC, elevadores, sistemas contra incendios, iluminación, control de acceso y medición cuentan, cada uno, con su propio proveedor, familia de controladores y contrato de soporte. 

2. Contratistas con acceso permanente. El soporte remoto a menudo se habilitó por conveniencia y rara vez se volvió a revisar. Así comenzó la brecha de Target en 2013, y sigue siendo un patrón común. 

3. Ciclos de vida prolongados, sin ventanas de mantenimiento. Controladores instalados hace una década todavía operan el vestíbulo y los chillers. Muchos no admiten un agente moderno y algunos no pueden reiniciarse durante horas hábiles o con personas dentro del inmueble. 

4. Documentación pública. Como ha señalado Ernie Hayden, los manuales disponibles en línea suelen incluir las contraseñas predeterminadas que un atacante puede aprovechar. 

5. Localizables desde internet. Herramientas como Shodan indexan sistemas de edificios conectados por tipo y ubicación, por lo que el descubrimiento prácticamente no le cuesta nada al atacante. 

6. Falta de un responsable definido. Gestión de instalaciones posee el activo, TI es dueña de la red, un contratista administra las credenciales y seguridad asume el riesgo. Nadie es responsable de los cuatro elementos. 

Este último punto es el primero que debe corregirse. Un responsable formalmente asignado y un inventario de activos compartido aportarán más a su postura de seguridad que cualquier herramienta aislada. 

Cuatro incidentes que vale la pena analizar 

Target (2013): la puerta trasera. Los atacantes robaron credenciales de un contratista externo de HVAC que tenía acceso a la red para monitorear el consumo de energía y las temperaturas. Dicho acceso no estaba segmentado de la infraestructura de pagos, lo que expuso los datos de tarjetas de más de 110 millones de cuentas. La lección radica en el acceso de terceros y la segmentación, no en el sistema de HVAC en sí. 

Lappeenranta, Finlandia (2016): los departamentos sin calefacción. Un ataque DDoS inhabilitó los sistemas de gestión de edificios de dos bloques de departamentos desde finales de octubre hasta el 3 de noviembre, interrumpiendo la calefacción y el agua caliente. Los controladores, fabricados por Fidelix, entraron en un ciclo continuo de reinicio y los administradores perdieron el acceso remoto. Fue una semana templada para Finlandia; en enero, habría sido una emergencia de seguridad física. 

Refrigeración Danfoss (octubre de 2026): el inventario descompuesto. Ciberdelincuentes utilizaron sistemas de control en línea para descongelar refrigeradores en supermercados europeos, generando pérdidas de decenas de millones en alimentos. Sean Tufts, de Claroty, calificó al sector como una bomba de tiempo y señaló que la alteración de puntos de consigna era precisamente lo que los investigadores temían desde hacía años. Danfoss declaró a la AFP que llevaba tiempo recomendando a los clientes actualizar el firmware y migrar los sistemas heredados. Los reportes difieren sobre el alcance: Facilities Dive reporta cientos de supermercados europeos, mientras que The Register se enfoca en tiendas francesas y menciona incendios. 

Un hospital canadiense (agosto de 2026): las puertas bloqueadas. Un ataque de ransomware interrumpió los controles de acceso a las puertas, el monitoreo central de HVAC y la emisión de tarjetas para el personal. Los sistemas clínicos no se vieron afectados directamente, pero el hospital tuvo que operar sorteando fallas en las instalaciones del edificio. Armis Labs subraya el mismo punto: interrumpir el control de acceso y los elevadores resulta tan eficaz como robar datos cuando el objetivo es la extorsión. 

En conjunto, estos casos ilustran los tres objetivos del atacante que deben modelarse: usar el edificio como vía de acceso hacia la red de TI (Target), suspender un servicio (Lappeenranta, el hospital) o causar pérdidas físicas directas (Danfoss). 

Vulnerabilidades por proveedor: qué muestran las investigaciones recientes 

El objetivo de esta sección no es exhibir a proveedores específicos. Cada plataforma importante emite avisos de seguridad. La clave está en que las mismas clases de fallas se repiten constantemente y se corresponden directamente con los controles de la guía que se detalla a continuación. 

El caso de Tridium requiere especial atención. Honeywell señala que existen más de un millón de instancias de Niagara en todo el mundo, actuando como puente entre los sistemas del edificio y las aplicaciones empresariales. La cadena de exploits descrita por Nozomi solo fue totalmente explotable en sistemas mal configurados, lo cual es un recordatorio oportuno de que las directrices de robustecimiento constituyen un control de seguridad fundamental, no un detalle menor. 

El aviso de Metasys también refleja un desafío en los tiempos de respuesta. La versión 15.0 fue parchada en marzo de 2026, pero la alerta de CISA se emitió hasta agosto. Quienes esperaron un aviso público antes de aplicar parches quedaron desfasados por meses. 

Regulación: los sistemas de edificios ya están bajo su alcance 

Los edificios inteligentes rara vez se mencionan explícitamente en la legislación; no obstante, los reguladores exigen cada vez más medidas demostrables dondequiera que los sistemas físicos afecten la salud, la seguridad o la continuidad operativa. Tres marcos normativos son clave en este momento. 

• NIS2. Esta directiva extiende explícitamente sus requisitos al entorno de OT, con una gestión sistemática de riesgos bajo el Artículo 21 y esquemas formales para la notificación de incidentes. La ley de implementación en Alemania está en vigor desde el 6 de diciembre de 2025, sentando un precedente relevante para otros estados miembros. Si su BMS da soporte a una entidad esencial o importante, se encuentra dentro de su alcance. 

• Ley de Ciberresiliencia de la UE (Reglamento 2024/2847). Entró en vigor el 10 de diciembre de 2024 y las obligaciones de notificación para fabricantes comenzaron a aplicar el 11 de septiembre de 2026, con los requerimientos esenciales de producto implementándose gradualmente después de esa fecha. Aunque está dirigida principalmente a fabricantes, Forescout sostiene que los propietarios de activos asumen más responsabilidad de la que creen, ya que no aplicar los parches divulgados estando bajo el alcance de NIS2 incrementa directamente su nivel de exposición. 

• Directrices de CISA y NIST. La orientación actual de OT de CISA, resumida en una guía de instalaciones revisada en agosto de 2026, establece retirar los activos operativos de internet público, implementar acceso remoto seguro, autenticación robusta, mínimo privilegio, desactivación de cuentas inactivas y la capacidad de operar manualmente. NIST SP 800-82 Rev. 3 se mantiene como la referencia estándar para los programas de seguridad de OT. 

En cuanto a marcos de control, IEC 62443 e ISO 27001 se están consolidando como los estándares de referencia en entornos de OT. Esta información es de carácter general y no constituye asesoría legal; consulte con su equipo legal para confirmar su alcance específico. 

Plan de acción para el CISO: seguridad en sistemas de gestión de edificios 

Los siguientes diez pasos están ordenados según la reducción de riesgo que aportan por cada unidad de esfuerzo invertida. Los primeros cuatro no requieren tecnología nueva. 

1. Asignar a un responsable directo. Integre el BMS en el registro de riesgos de OT y defina formalmente quién decide cuándo un parche, una conexión de proveedor o una regla de firewall impactan simultáneamente la seguridad física (safety) y la ciberseguridad. 

2. Elaborar un inventario de activos real. Incluya controladores, gateways, dispositivos de campo, servidores de supervisión y los conectores a la nube asociados. No se puede segmentar ni parchar lo que no se tiene identificado; el descubrimiento pasivo evita interferir con dispositivos BACnet y Modbus sensibles. 

3. Desconectar el BMS de la internet pública. Audite sus propios segmentos IP con herramientas de escaneo en internet tal como lo haría un atacante. Cuando el acceso remoto sea indispensable, asegúrese de que sea deliberado, delimitado y debidamente autenticado. 

4. Controlar el acceso de proveedores y contratistas. Emplee una vía de acceso gestionada con autenticación multifactor, cuentas nominales, sesiones con límite de tiempo y registro detallado de eventos. Elimine credenciales compartidas y túneles sin justificación clara. 

5. Segmentar el edificio. Asigne al BMS zonas propias e independientes de la red corporativa de TI, y sitúe los sistemas de control de acceso, contra incendios y elevadores detrás de conductos de comunicación controlados. La recomendación oficial de Johnson Controls para Metasys es la segmentación de red. 

6. Corregir la gestión de identidades y credenciales. Modifique las contraseñas predeterminadas en plataformas, estaciones de trabajo y dispositivos de campo, deshabilite cuentas inactivas y establezca planes específicos para dispositivos con credenciales embebidas, los cuales demandan aislamiento en lugar de un simple cambio de clave. 

7. Implementar un proceso de parches diseñado para OT. Monitoree boletines de proveedores y alertas de CISA, clasifíquelos según su condición de explotación activa y exposición, pruébelos y programe su aplicación. Cuando no sea posible parchar un dispositivo, documente el control compensatorio y a su responsable. 

8. Monitorear a nivel de protocolo. Supervise la incorporación de nuevos dispositivos, escrituras no autorizadas en set-points, escaneos anómalos y patrones irregulares en gateways. La manipulación de puntos de consigna parece tráfico legítimo a menos que se conozca con precisión la línea base operativa. 

9. Contar con un plan para operar sin el BMS. Documente procedimientos de control local, estados seguros de operación, directorios de contacto y personal capacitado, y sométalos a prueba. La operación manual varía según cada sistema y puede implicar riesgos operativos; involucre siempre a ingenieros calificados. 

10. Elevar los criterios de adquisición. Exija contractualmente periodos garantizados de soporte mediante parches, compromisos formales de divulgación de vulnerabilidades y configuraciones seguras por defecto; consulte a sus proveedores cómo cumplirán con la Ley de Ciberresiliencia. Establezca un plan de fin de ciclo de vida para controladores obsoletos. 

Preguntas que la junta directiva debería plantear el próximo trimestre 

• ¿Cuántos sistemas de edificios tienen salida a internet y quién autorizó cada caso? 

• ¿Quién cuenta con acceso remoto y cuándo fue la última vez que se auditó esa lista? 

• Si el BMS fallara mañana en nuestra sede más crítica, ¿durante cuánto tiempo podríamos operar de forma manual? 

• ¿Con qué rapidez recibimos información sobre avisos de seguridad de proveedores para nuestros controladores y qué tan rápido actuamos ante ellos? 

Cómo aborda Shieldworkz la ciberseguridad en OT para edificios 

Shieldworkz es una empresa especializada en ciberseguridad industrial y de OT de extremo a extremo. Protege entornos SCADA, OT e IoT, integrando plataforma, servicios y soluciones en una sola oferta integral, de modo que el sistema de gestión de edificios no tenga que administrarse como un proyecto aislado del resto de su infraestructura crítica. 

Esto es clave por una razón práctica: la guía anterior abarca diversas disciplinas de forma simultánea. La visibilidad de activos, la segmentación de red, el acceso remoto seguro, la gestión de parches y la preparación ante incidentes suelen contratarse con diferentes proveedores y gestionarse por equipos aislados. Un único socio enfocado en OT permite articularlos bajo un mismo programa, con un inventario unificado de activos y una visión consolidada del riesgo en plantas, campus e instalaciones edilicias. 

Si está iniciando este proceso, el primer paso más estratégico es una evaluación de lo que está conectado, lo que resulta accesible y quién tiene permisos de acceso. Póngase en contacto con el equipo de Shieldworkz para solicitar una revisión de exposición de edificios y OT en sus instalaciones. 

Preguntas frecuentes 

¿Qué es la seguridad de los sistemas de gestión de edificios? 

La seguridad de los sistemas de gestión de edificios es la práctica de salvaguardar los controladores, redes, software y canales de acceso remoto que operan la calefacción, climatización, iluminación, elevadores, sistemas contra incendios y control de acceso de un inmueble. Consiste en aplicar métodos de ciberseguridad de OT, como inventario de activos, segmentación y monitoreo especializado en protocolos, a la infraestructura de las instalaciones. 

¿Por qué los atacantes toman como objetivo a los sistemas de gestión de edificios? 

Porque con frecuencia son accesibles, casi nunca se actualizan con parches y carecen de un monitoreo adecuado; además, interrumpir su servicio genera una presión inmediata sobre la organización afectada. Los atacantes los utilizan como vector de entrada hacia otros sistemas, para paralizar operaciones o para provocar pérdidas físicas, tal como ocurrió en los ataques de refrigeración a supermercados en octubre de 2026. 

¿Forma parte un BMS de la tecnología operativa (OT)? 

Sí. Un BMS supervisa y controla procesos físicos y tiene implicaciones directas en la seguridad física, lo cual se ajusta a la definición de OT. Debe integrarse bajo el mismo esquema de gobernanza y en el mismo registro de riesgos que los sistemas de control industrial. 

¿Cuáles son las mayores vulnerabilidades en un BMS? 

Las más recurrentes son la exposición directa a internet, credenciales predeterminadas o embebidas en código, firmware sin actualizar, protocolos inseguros como BACnet y Modbus que carecen de cifrado y autenticación, así como esquemas de acceso remoto de terceros sin control ni administración. 

¿Cómo se asegura el acceso remoto a un BMS? 

Desconectando el sistema de la internet pública, canalizando las conexiones a través de un gateway gestionado con autenticación multifactor y credenciales nominales, limitando las sesiones a lo estrictamente requerido por el proveedor, registrando toda la actividad y deshabilitando cuentas sin uso. 

¿Aplica la directiva NIS2 a los sistemas de gestión de edificios? 

NIS2 se extiende formalmente a OT, por lo que un BMS que dé soporte a una entidad esencial o importante sujeta a la norma queda comprendido dentro de sus obligaciones de gestión de riesgos y reporte de incidentes. Revise la legislación nacional aplicable y consulte a su asesoría legal para validar su alcance. 

¿Es posible aplicar parches a un BMS sin detener su operación? 

Generalmente no, ya que los controladores funcionan de manera continua y algunos no pueden reiniciarse durante horas hábiles o con personas presentes. Es necesario planificar ventanas de mantenimiento, validar previamente las actualizaciones y, cuando parchar no resulte factible, recurrir al aislamiento y monitoreo como controles compensatorios debidamente documentados.