Preguntas frecuentes sobre ciberseguridad OT

La seguridad de OT protege los sistemas que ejecutan procesos industriales, PLCs, SCADA, HMIs, sensores y las redes que los vinculan. Su objetivo es mantener las operaciones seguras, confiables y disponibles, priorizando la seguridad física y el tiempo de actividad sobre la confidencialidad. El entorno OT moderno enfrenta riesgos debido a dispositivos legados, una mayor conectividad y el acceso remoto de proveedores. Una seguridad de OT eficaz utiliza inventarios de activos, segmentación de red, monitoreo optimizado, acceso remoto seguro, gestión de parches/cambios compatible con OT, protocolos de respuesta a incidentes y una gobernanza alineada con la norma IEC 62443. Comience con una evaluación de riesgos basada en activos y corrija primero los controles que reducen la seguridad física y el tiempo de inactividad.

Las evaluaciones de seguridad de OT en entornos de producción deben realizarse utilizando técnicas pasivas mediante el despliegue de taps de red o puertos SPAN para capturar y analizar el tráfico sin inyectar paquetes en la red de OT. El descubrimiento de activos se realiza a través del análisis pasivo del tráfico en lugar de un escaneo activo, el cual puede provocar que los PLC y RTU fallen o se comporten de manera impredecible. Los recorridos físicos, las revisiones de configuración, el análisis de documentación y las entrevistas con el personal complementan la recopilación de datos técnicos. Las revisiones de arquitectura evalúan la segmentación de la red, el control de acceso y las configuraciones de acceso remoto. Las evaluaciones de vulnerabilidad se centran en las CVE conocidas relevantes para los activos de OT identificados. Todas las actividades de evaluación se coordinan con los equipos de operaciones y, por lo general, se implementa un protocolo de congelación de cambios o de observador de seguridad durante el trabajo de campo.

Los ataques de ransomware industrial rara vez se dirigen directamente a los sistemas TO; por lo general, comienzan en TI y se propagan hacia TO debido a una segmentación de red inadecuada. Los puntos de entrada más comunes incluyen correos electrónicos de phishing que comprometen los endpoints de TI, seguidos por un movimiento lateral hacia las estaciones de trabajo de ingeniería, servidores de base de datos de proceso (historian) o infraestructura de acceso remoto. También se observa con frecuencia la explotación de vulnerabilidades sin parchear en dispositivos VPN, servicios RDP y aplicaciones con acceso a internet. Una vez que los atacantes logran afianzarse en la TI, se desplazan hacia la TO aprovechando redes planas o mal segmentadas, credenciales compartidas entre TI y TO, y sistemas HMI heredados basados en Windows que carecen de protección de terminales. El ataque a Colonial Pipeline en 2021, que paralizó el suministro de combustible a la costa este de los EE. UU., siguió esta misma progresión de TI a TO.

Los marcos de referencia más adoptados para la seguridad de OT son IEC 62443 (para sistemas de control y automatización industrial), NIST SP 800-82 (Guía de seguridad para ICS) y el Marco de Ciberseguridad de NIST (NIST CSF). IEC 62443 es particularmente integral: aborda la seguridad a nivel de sistema, componente y organización, y define Niveles de Seguridad (SL 1-4) que ayudan a las organizaciones a alinear la inversión en seguridad con el riesgo. Para las organizaciones del sector energético, NERC CIP es un marco de cumplimiento obligatorio. Los programas de seguridad de OT más maduros utilizan una combinación de IEC 62443 para la arquitectura técnica y la gestión del ciclo de vida, y NIST CSF para la gobernanza y la medición del programa. La elección del marco de referencia adecuado depende del sector industrial, las obligaciones regulatorias y la madurez de la organización.

La seguridad de SCADA (Control Supervisado y Adquisición de Datos) abarca las políticas, tecnologías y procesos utilizados para proteger los sistemas de control supervisado que monitorean y gestionan procesos industriales críticos, que van desde la distribución de la red eléctrica y el tratamiento de agua hasta oleoductos y líneas de fabricación. Un ciberataque exitoso contra la infraestructura de SCADA puede causar daños físicos, paros de producción, incidentes de seguridad e incluso la pérdida de vidas. A diferencia de los sistemas de TI que priorizan la confidencialidad, los entornos SCADA priorizan la disponibilidad y la seguridad física, lo que hace que los enfoques tradicionales de seguridad de TI sean insuficientes. Las organizaciones deben adoptar estrategias de seguridad de OT diseñadas específicamente que tengan en cuenta los sistemas heredados, las limitaciones operativas en tiempo real y las posibles consecuencias físicas de una brecha de seguridad.

Los entornos SCADA modernos se enfrentan a un amplio espectro de amenazas. Grupos de ransomware como ALPHV y LockBit han demostrado interés en los entornos de OT, cifrando a menudo las estaciones de trabajo de ingeniería para detener la producción. Actores estatales, incluidos Volt Typhoon y Sandworm, atacan los sistemas SCADA con fines de espionaje y posicionamiento previo. Las amenazas internas, la explotación de accesos remotos (vulnerabilidades de VPN y RDP expuestos), el compromiso de la cadena de suministro a través de actualizaciones de software de terceros y las campañas de phishing dirigidas al personal con acceso a SCADA son vectores frecuentes. La explotación de protocolos heredados dirigidos a Modbus, DNP3 y OPC-DA sigue siendo muy relevante en entornos que no han modernizado su arquitectura de comunicación.

La diferencia fundamental radica en las prioridades y las consecuencias. En TI, la tríada CIA (Confidencialidad, Integridad y Disponibilidad) se aplica en ese orden. En los entornos SCADA/OT, la disponibilidad y la integridad tienen prioridad sobre la confidencialidad, ya que el tiempo de inactividad puede traducirse en pérdidas de producción, riesgos de seguridad o infracciones normativas. Los sistemas OT a menudo funcionan con protocolos patentados (Modbus, DNP3, EtherNet/IP), operan en hardware heredado que no se puede parchear ni reiniciar sin un impacto operativo, y tienen ciclos de vida que se miden en décadas. Los entornos OT cuentan con interfaces ciberfísicas directas (un PLC comprometido puede abrir una válvula, disparar un sistema de seguridad o destruir maquinaria), lo que hace que la tolerancia al riesgo y el diseño de la seguridad sean fundamentalmente diferentes de la seguridad de TI convencional.

IEC 62443 es una serie de estándares internacionales desarrollados por ISA y adoptados por la IEC, que proporciona un marco integral para garantizar la seguridad de los Sistemas de Automatización y Control Industrial (IACS). Está estructurado en torno a tres roles de partes interesadas (propietarios de activos, integradores de sistemas y proveedores de productos) y aborda la ciberseguridad en cuatro niveles: políticas y procedimientos, requisitos del sistema, requisitos de componentes e integración del sistema. El estándar define Niveles de Seguridad (SL 1–4) que corresponden a una sofisticación de amenazas cada vez mayor, lo que permite a las organizaciones calibrar la inversión en seguridad según el riesgo real. IEC 62443 se ha convertido en el referente global dominante porque fue diseñado específicamente para entornos de OT, es agnóstico desde el punto de vista tecnológico, se alinea con los requisitos regulatorios en múltiples sectores y ofrece un enfoque de ciclo de vida para la seguridad, desde el diseño hasta el desmantelamiento.

Los Niveles de Seguridad IEC 62443 definen el grado de protección requerido contra actores de amenazas progresivamente sofisticados. El SL 1 protege contra amenazas casuales o no intencionadas. El SL 2 aborda violaciones intencionadas por parte de actores de baja sofisticación que utilizan herramientas disponibles públicamente. El SL 3 se dirige a atacantes sofisticados con recursos y conocimientos específicos de ICS. El SL 4, que rara vez se requiere, aborda amenazas a nivel de estado-nación con recursos extensos. Los propietarios de activos utilizan los Niveles de Seguridad Objetivo (SL-T) para definir qué protección se necesita en función de la evaluación de riesgos, para luego medir los Niveles de Seguridad Logrados (SL-A) frente a esos objetivos. Este marco evita la sobreinversión o la subinversión en seguridad al vincular los controles directamente con los escenarios de amenazas relevantes para cada zona y conducto dentro del entorno industrial.

El modelo de zonas y conductos es un concepto arquitectónico fundamental en la norma IEC 62443 que proporciona una metodología para segmentar los sistemas de TO (Tecnología de Operación) y limitar la propagación de amenazas cibernéticas. Una zona es una agrupación de activos con requisitos de seguridad y funciones operativas similares; por ejemplo, una zona de PLC, una zona de HMI, una zona de historiador y una zona de sistemas de seguridad. Un conducto es una ruta de comunicación definida entre zonas, la cual está sujeta a controles de seguridad específicos. La implementación del modelo comienza con el desarrollo de un diagrama de topología de red y la identificación de todos los activos y sus dependencias de comunicación. Los activos se agrupan en zonas según sus requisitos de seguridad, y los conductos se definen con los controles adecuados (firewalls, listas de control de acceso, gateways unidireccionales) en función de los niveles de seguridad de las zonas que conectan.

La certificación IEC 62443 no es obligatoria por ley en todo el mundo, pero los clientes industriales, los operadores de infraestructuras críticas y los organismos reguladores la exigen cada vez más como condición para hacer negocios o mantener las licencias operativas. En la Unión Europea, la Directiva NIS2 y la próxima Ley de Ciberresiliencia hacen referencia a la norma IEC 62443 como el estándar recomendado para la seguridad de los sistemas operativos (OT) y de los sistemas embebidos. En sectores como el petrolero y de gas, químico y farmacéutico, los grandes operadores exigen de manera habitual la certificación IEC 62443 a los integradores de sistemas y proveedores de equipos como parte de la calificación de adquisiciones. Incluso cuando no es un requisito legal, la certificación proporciona una ventaja comercial significativa y beneficios en la gestión de riesgos.

Una arquitectura de red industrial segura se basa en varios componentes fundamentales. La segmentación de red utilizando el Modelo de Purdue o la metodología de zonas y conductos de la norma IEC 62443 separa las zonas de OT de la TI corporativa y de internet. Los firewalls industriales diseñados específicamente para protocolos de OT (Modbus, DNP3, EtherNet/IP, PROFINET) controlan el tráfico entre zonas basándose en una inspección profunda de paquetes que comprende la semántica de los protocolos de ICS. Una DMZ industrial aloja servicios de intercambio de datos que sirven de puente entre IT y OT sin crear conexiones directas. Las puertas de enlace de seguridad unidireccionales (unidirectional security gateways) imponen un flujo de datos unidireccional donde se requiere. Las soluciones de monitoreo de red con reconocimiento de OT brindan visibilidad pasiva de todo el tráfico, detectan anomalías e identifican intentos de comunicación no autorizados.

La segmentación de la red de TI/TO debe implementarse como una arquitectura de defensa en profundidad, no como un único límite de firewall. El diseño estándar implica un enfoque de múltiples capas: una DMZ industrial separa la red de TO de la red de TI corporativa, con firewalls independientes tanto en el lado orientado a TI como en el orientado a TO de la DMZ. Dentro de la red de TO, una segmentación adicional separa las zonas funcionales (sistemas de control, dispositivos de campo, sistemas de seguridad y estaciones de trabajo de ingeniería) para limitar el movimiento lateral en caso de que una zona se vea comprometida. La comunicación entre zonas se restringe únicamente a lo que es operativamente necesario, con reglas documentadas en una matriz de control de acceso a la red. Las reglas de firewall bidireccionales deben revisarse periódicamente y reforzarse en función de los datos de referencia del tráfico real.

La inspección profunda de paquetes (DPI) con reconocimiento de protocolos de OT es una capacidad de firewall y monitoreo que puede analizar e inspeccionar el contenido de los protocolos de comunicación industrial, como Modbus, DNP3, EtherNet/IP, OPC UA y PROFINET, en la capa de aplicación. Los firewalls de TI estándar solo pueden inspeccionar el tráfico industrial a nivel de IP/puerto, lo que resulta insuficiente porque muchos ataques de OT utilizan comandos de protocolo válidos para manipular los dispositivos. Un comando de escritura Modbus para un registro de memoria no autorizado parece tráfico legítimo para un firewall convencional. La DPI con reconocimiento de protocolos de OT puede detectar y bloquear códigos de función, rangos de direcciones y valores de datos específicos que sean anómalos o no autorizados en función de una línea base aprendida de operaciones normales, lo cual es esencial para proteger las comunicaciones de los PLC y prevenir ataques de inyección de comandos.

Las comunicaciones inalámbricas en entornos industriales introducen riesgos de seguridad significativos si no se diseñan y gestionan adecuadamente. Los puntos de acceso inalámbrico no autorizados, instalados por personal de mantenimiento o contratistas por conveniencia, crean puntos de ingreso no monitoreados en las redes OT que pueden eludir todos los controles perimetrales. Los sistemas inalámbricos industriales enfrentan riesgos que incluyen ataques de puntos de acceso no autorizados, denegación de servicio contra enlaces inalámbricos que controlan procesos críticos, autenticación débil y ataques de tipo man-in-the-middle contra protocolos inalámbricos industriales no cifrados. Las organizaciones deben realizar estudios de sitio inalámbricos para detectar puntos de acceso no autorizados, implementar WPA3 con autenticación basada en certificados, aislar los segmentos inalámbricos OT de las redes OT cableadas e incluir los activos inalámbricos industriales en los programas de monitoreo continuo.

La gestión de cambios de red en entornos de OT activos requiere un proceso formal basado en riesgos que tenga en cuenta la sensibilidad operativa de los sistemas industriales. Todos los cambios, incluidas las modificaciones de reglas de firewall, configuraciones de switches, cambios de VLAN y la adición de nuevos dispositivos, deben ser revisados y aprobados por un comité de asesoría de cambios que incluya tanto al personal de seguridad de OT como al de operaciones. Los cambios deben validarse en un entorno de prueba antes de su implementación en producción y llevarse a cabo durante las ventanas de mantenimiento planificadas. La validación posterior al cambio debe confirmar que se han restaurado todas las comunicaciones operativas y que no se han introducido flujos de tráfico no planificados. Todos los cambios deben documentarse en una base de datos de gestión de configuración y reflejarse en diagramas de red actualizados. La norma NERC CIP-010 exige una gestión de cambios formal para los Sistemas Cibernéticos del BES.

La respuesta a incidentes de TO difiere de la de TI en varias dimensiones críticas. La preocupación primordial en los entornos de TO es la seguridad física; cualquier acción de respuesta que pueda afectar la estabilidad del proceso, el funcionamiento del sistema de seguridad o la seguridad del personal debe ser evaluada por los ingenieros de procesos antes de su implementación. Las acciones de contención de incidentes que son rutinarias en TI (como aislar un sistema comprometido, bloquear el tráfico de red, apagar un host) pueden causar interrupciones en la producción, daños a los equipos o condiciones peligrosas en TO. La evidencia forense disponible en los entornos de TO suele ser más limitada: muchos PLC y RTU no mantienen registros detallados. La recuperación en TO requiere restaurar no solo el software y los datos, sino también configuraciones de sistemas de control verificadas y probadas en el hardware físico. Las organizaciones deben mantener planes de respuesta a incidentes específicos para TO que definan claramente las funciones tanto del personal de ciberseguridad como del de operaciones.

Un plan eficaz de respuesta a incidentes de OT sigue un ciclo de vida estructurado: Preparar, Detectar, Analizar, Contener, Erradicar, Recuperar y Revisión posterior al incidente. La preparación incluye el desarrollo de documentación técnica (runbooks) específicos para OT, la creación de un directorio de contactos de proveedores de OT e integradores de sistemas, el establecimiento de protocolos de comunicación con el liderazgo de operaciones y el posicionamiento previo de capacidades forenses. La detección se basa en soluciones de monitoreo de redes de OT, detección de anomalías y la notificación de comportamientos anormales de los procesos por parte del personal de operaciones. El análisis requiere personal de respuesta con conocimientos en OT que entienda los protocolos industriales, la lógica de control y el comportamiento de los procesos. Las decisiones de contención deben tomarse conjuntamente con el área de operaciones para evitar causar más daño que el propio ataque. La recuperación requiere la validación de la estabilidad y la seguridad de los procesos antes de volver a poner los sistemas en funcionamiento.

La detección de amenazas de OT se basa principalmente en el monitoreo a nivel de red en lugar de agentes de endpoint (dispositivo final), debido a que desplegar agentes de software en PLC, RTU y muchos sistemas de OT embebidos es técnicamente inviable y operativamente riesgoso. La detección basada en red captura todas las comunicaciones en los segmentos de red de OT a través de sensores de monitoreo pasivo desplegados mediante TAPs de red o puertos SPAN, y analiza el tráfico utilizando motores de inspección específicos para OT que comprenden los protocolos industriales en la capa de aplicación. Los modelos de detección incluyen la detección basada en firmas (que coincide con patrones maliciosos conocidos e indicadores de compromiso), la detección de anomalías de comportamiento (que identifica desviaciones de las líneas base establecidas de patrones de comunicación normales) y la detección basada en políticas (que alerta cuando las comunicaciones violan las políticas de seguridad definidas). En los casos donde se pueden desplegar agentes de endpoint —como en estaciones de trabajo de ingeniería, servidores historiadores e interfaces hombre-máquina (HMI) basadas en Windows—, estos proporcionan una visibilidad adicional que complementa la detección de red.

La búsqueda de amenazas (threat hunting) en OT es una actividad de seguridad proactiva en la que analistas capacitados buscan evidencia de actividad de actores de amenazas que ha evadido la detección automatizada. A diferencia del triaje de alertas reactivo, el threat hunting comienza con una hipótesis basada en inteligencia de amenazas, TTPs (tácticas, técnicas y procedimientos) de adversarios conocidos o anomalías observadas que no activaron alertas automatizadas, y busca sistemáticamente evidencia para confirmarla o refutarla. En entornos de OT, el threat hunting aprovecha los datos de tráfico de red, los registros de software de ingeniería, los datos del historiador de OT y los registros de acceso remoto. Las hipótesis de búsqueda para OT podrían incluir: '¿Existe evidencia de actividad de escaneo contra direcciones de PLC en la red de control?'; '¿Existen conexiones desde estaciones de trabajo de ingeniería hacia IPs externas que no estuvieran presentes en periodos anteriores?'; '¿Se han realizado descargas de diagramas de contactos (ladder logic) a PLCs que no correspondan con los registros de cambios aprobados?' El threat hunting en OT requiere analistas que cuenten tanto con experiencia en ciberseguridad como con conocimientos en procesos industriales.

OT NDR es una capacidad de seguridad que captura y analiza continuamente el tráfico de red dentro de entornos industriales para detectar anomalías, patrones de ataque conocidos y violaciones de políticas en tiempo real. A diferencia de IT NDR, OT NDR comprende los protocolos industriales (Modbus, DNP3, EtherNet/IP, OPC-UA) y puede diferenciar el comportamiento operativo normal de la actividad maliciosa sin interrumpir los procesos.

Los sistemas IDS/IPS tradicionales dependen de la detección basada en firmas y, a menudo, tienen una capacidad limitada para comprender los protocolos específicos de OT. El NDR de OT utiliza una combinación de inspección profunda de paquetes, establecimiento de líneas base de comportamiento y aprendizaje automático para detectar nuevas amenazas, comandos anómalos y desviaciones sutiles de protocolos, ofreciendo tasas de falsos positivos mucho menores y una cobertura más amplia sin requerir un despliegue en línea.

Una plataforma integral de NDR para OT debe admitir protocolos industriales comunes, incluidos Modbus TCP/RTU, DNP3, EtherNet/IP (CIP), Profinet, IEC 61850 (MMS/GOOSE), OPC-UA/DA, BACnet, HART-IP, ICCP y protocolos propietarios de proveedores como Siemens, Rockwell, GE, Schneider Electric, ABB, entre otros.

NERC CIP son las siglas de Protección de Infraestructura Crítica (Critical Infrastructure Protection) y se refiere a los estándares de confiabilidad obligatorios utilizados para proteger los activos cibernéticos y operaciones relacionadas del Sistema Eléctrico de Potencia (Bulk Electric System). Los estándares de NERC forman parte del programa de Estándares de Confiabilidad obligatorios y exigibles.

Una buena práctica es tratar el cumplimiento como una disciplina operativa y no como un proyecto de auditoría único: mantener los inventarios de activos actualizados, documentar cada proceso requerido, realizar un seguimiento continuo de la evidencia, revisar el acceso periódicamente y probar los procedimientos de incidentes y recuperación según un cronograma. El Roadmap de CIP de 2026 de NERC también señala que los estándares continúan evolucionando, por lo que los programas deben mantenerse adaptables.

CIP-015-1 es el estándar de Monitoreo de Seguridad de la Red Interna. Requiere procesos documentados para monitorear las redes dentro del perímetro de seguridad electrónica, detectar anomalías, evaluar dichas anomalías, conservar los datos de monitoreo relevantes y proteger esa información contra la eliminación o modificación no autorizada.

Mantenga una carpeta de cumplimiento o sistema de registro siempre actualizado para el alcance, políticas, procedimientos, capacitación, revisiones de acceso, registros de incidentes, registros de cambios y evidencia técnica. La preparación para las auditorías es mucho más fácil cuando la evidencia se recopila a medida que se ejecuta el control, en lugar de reconstruirse más tarde.

El primer paso es identificar si su organización entra en el alcance de NIS2, seguido por el descubrimiento de activos, la evaluación de riesgos, el análisis de brechas y la implementación de controles de monitoreo y gobernanza de ciberseguridad.

La NIS2 es aplicable a las organizaciones clasificadas como Entidades Esenciales y Entidades Importantes que operan en sectores como la energía, el transporte, la salud, la manufactura, la infraestructura digital, la administración pública, el agua y las telecomunicaciones.

NIS2 amplía el número de sectores cubiertos, aumenta la responsabilidad ejecutiva, refuerza los requisitos de notificación de incidentes e introduce sanciones y expectativas de gobernanza más estrictas en comparación con la Directiva NIS original.