Ciberseguridad en sistemas industriales OT/IT

El problema que nadie quiere tener en su turno

En febrero de 2021, un operador de la planta potabilizadora de Oldsmar (Florida) vio cómo el cursor de su pantalla se movía solo. Alguien había accedido remotamente al sistema SCADA y estaba aumentando la concentración de hidróxido sódico del agua hasta niveles peligrosos. El operador revirtió el cambio a tiempo, pero el incidente dejó claro lo que muchos ingenieros de automatización ya sabían: los sistemas industriales son un objetivo real de ataques cibernéticos, y la mayoría de ellos no están preparados para resistirlos.

El ataque a Colonial Pipeline en 2021, que paralizó el suministro de combustible en la costa este de Estados Unidos durante varios días, o el ransomware que dejó sin producción a varias plantas de alimentación europeas en 2022, son ejemplos de una tendencia que no hace sino crecer. La convergencia entre los sistemas de tecnología operacional (OT) y los sistemas de tecnología de la información (IT) — impulsada por la Industria 4.0, el IoT industrial y la conectividad en la nube — está abriendo la superficie de ataque de las fábricas de una forma que hace diez años era impensable.

Este artículo explica por qué la ciberseguridad industrial es un problema distinto al de la oficina, qué exigen las principales normas y regulaciones, y qué medidas concretas puede adoptar una empresa industrial para proteger sus sistemas sin paralizar la operación.

OT vs IT: por qué no se pueden proteger igual

La primera trampa en la que caen muchas empresas es asumir que la ciberseguridad industrial es simplemente "poner el antivirus en los ordenadores de planta". No lo es, y entender por qué es fundamental antes de diseñar cualquier medida de protección.

En el entorno OT, la disponibilidad manda. Un PLC que controla una línea de embotellado no puede reiniciarse en medio de un turno. Un SCADA que gestiona una red de distribución de agua no puede actualizarse sin un proceso de validación y prueba previo. Esto significa que muchas de las técnicas de ciberseguridad IT estándar — parches automáticos, escaneos de vulnerabilidades agresivos, segmentación de red basada en firewalls convencionales — no son directamente aplicables sin adaptación.

El paisaje de amenazas en entornos industriales

Los vectores de ataque más frecuentes en entornos OT no son los más sofisticados. La mayoría de los incidentes tienen su origen en alguno de estos puntos:

• Acceso remoto mal configurado: escritorios remotos (RDP) expuestos directamente a internet, VPNs sin autenticación multifactor, o software de acceso remoto de terceros (TeamViewer, AnyDesk) instalado sin política de uso. Es el vector más frecuente y el más evitable.
• Memorias USB: el portátil del técnico de mantenimiento que conecta a la red de planta sin pasar por ningún control es una autopista para el malware. Stuxnet, el ataque más famoso de la historia industrial, entró por una memoria USB.
• Movimiento lateral desde IT: un ransomware que entra por un correo electrónico de un empleado de oficina puede moverse hacia la red de planta si no existe segmentación entre IT y OT.
• Contraseñas por defecto: PLCs, HMIs y routers industriales con las credenciales de fábrica sin cambiar. Siguen siendo extraordinariamente frecuentes incluso en instalaciones nuevas.
• Software sin actualizar: sistemas operativos Windows XP o 7 en estaciones SCADA que llevan años sin recibir parches de seguridad porque "funcionan y no se tocan".
• Proveedores y cadena de suministro: los accesos concedidos a proveedores de mantenimiento, fabricantes de maquinaria o integradores sin caducidad ni monitorización son una puerta lateral frecuentemente ignorada.

IEC 62443: el estándar de ciberseguridad industrial

La norma IEC 62443 es el marco de referencia internacional para la ciberseguridad en sistemas de automatización y control industrial (IACS). Se estructura en cuatro series que cubren desde los conceptos generales hasta los requisitos técnicos concretos de componentes y sistemas:

• Serie 1 (General): terminología, modelos de referencia y métricas. Define conceptos clave como las zonas y los conductos de seguridad.
• Serie 2 (Políticas y procedimientos): requisitos para el propietario del activo (la empresa industrial). Gestión de parches, gestión de accesos, plan de respuesta a incidentes.
• Serie 3 (Requisitos del sistema): diseño seguro de sistemas IACS. Aquí se definen los niveles de seguridad (SL 1 a 4) y los requisitos de cada uno.
• Serie 4 (Requisitos del componente): dirigida a fabricantes de PLCs, HMIs y otros componentes. Define qué capacidades de seguridad debe tener el producto.

El concepto más práctico que aporta IEC 62443 es el de zonas y conductos. Una zona es un grupo de activos con requisitos de seguridad similares (por ejemplo, la red de PLCs de producción, o la red de supervisión SCADA). Un conducto es el canal de comunicación entre zonas. La norma exige que las comunicaciones entre zonas de distinto nivel de seguridad pasen siempre por controles que validen y filtren el tráfico — lo que en la práctica se traduce en firewalls industriales, DMZ OT y proxies de protocolo.

Los niveles de seguridad (Security Level, SL) van de SL 1 (protección frente a ataques no intencionados, como errores de configuración) a SL 4 (protección frente a actores con recursos y motivación de estado-nación). La mayor parte de la industria manufacturera y de proceso necesita alcanzar SL 2 (protección frente a atacantes con medios básicos pero con intención deliberada), lo que ya marca una hoja de ruta clara de medidas a implementar.

Directiva NIS2: obligaciones legales en la UE

La Directiva NIS2 (Directiva UE 2022/2555 sobre seguridad de las redes y sistemas de información), en vigor desde octubre de 2024, amplía significativamente el alcance de su predecesora NIS1 e impone obligaciones de ciberseguridad a un espectro mucho mayor de empresas europeas.

Afecta a entidades de sectores críticos y sectores importantes. Entre los sectores críticos se encuentran energía, transporte, banca, agua potable, aguas residuales, infraestructuras digitales e infraestructuras críticas. Entre los sectores importantes, con obligaciones algo menos estrictas, están alimentación, fabricación (especialmente fabricación de productos críticos como dispositivos médicos, maquinaria, vehículos y productos electrónicos), gestión de residuos y servicios postales, entre otros.

Las obligaciones principales que impone NIS2 a las empresas afectadas incluyen:

• Implementar medidas técnicas y organizativas proporcionales al riesgo para gestionar la seguridad de sus redes y sistemas de información.
• Gestionar la seguridad de la cadena de suministro, incluyendo los proveedores de servicios y tecnología.
• Notificar incidentes significativos a la autoridad nacional competente en un plazo máximo de 24 horas para la notificación inicial y 72 horas para el informe completo.
• Designar responsabilidades de ciberseguridad a nivel directivo. Los órganos de dirección son personalmente responsables del cumplimiento.

Las sanciones por incumplimiento pueden alcanzar hasta 10 millones de euros o el 2% de la facturación anual global para entidades esenciales, y hasta 7 millones de euros o el 1,4% de la facturación para entidades importantes. La trasposición al ordenamiento jurídico español está en proceso a través del Real Decreto que adaptará la Ley de Seguridad de las Redes.

Medidas concretas de protección OT: por dónde empezar

La ciberseguridad industrial no se implementa de una vez. Es un proceso continuo que empieza por conocer lo que tienes y priorizar los riesgos. Estas son las medidas con mejor relación coste-beneficio para la mayoría de entornos industriales:

1. Inventario y visibilidad de activos

No puedes proteger lo que no conoces. El primer paso es disponer de un inventario completo y actualizado de todos los dispositivos en la red OT: PLCs, HMIs, servidores SCADA, switches industriales, routers, ordenadores de ingeniería y cualquier dispositivo IoT conectado. Herramientas como Claroty, Nozomi Networks o Dragos hacen discovery pasivo de la red OT sin generar tráfico activo que pueda interferir con los procesos. Una vez tienes el inventario, puedes identificar versiones de firmware sin actualizar, contraseñas por defecto y comunicaciones inesperadas.

2. Segmentación de red: separar IT de OT

La medida de mayor impacto con menor coste operativo. La red de planta (OT) debe estar físicamente o lógicamente separada de la red corporativa (IT). La arquitectura recomendada sigue el modelo de Purdue Reference Model adaptado: red corporativa — DMZ — red de supervisión (SCADA/HMI) — red de control (PLCs) — red de campo (sensores/actuadores), con firewalls o routers con ACL entre cada nivel.

Cualquier dato que necesite fluir de OT a IT (para dashboards corporativos, ERP, análisis de datos) debe hacerlo a través de la DMZ, idealmente mediante un data diode o un OPC-UA proxy que solo permite flujos de datos en una dirección o con protocolo controlado. Nunca mediante carpetas compartidas o accesos directos entre segmentos.

3. Gestión del acceso remoto

Si en tu planta hay acceso remoto para mantenimiento — de tu equipo interno o de proveedores — este acceso debe canalizarse siempre a través de una VPN con autenticación multifactor (MFA) y una solución de gestión de accesos privilegiados (PAM) que registre cada sesión. Los accesos de proveedores deben tener fecha de caducidad, permisos limitados al sistema concreto que mantienen, y ser auditables.

Si utilizas el kit de conexión remota RU901 u otras soluciones similares, asegúrate de que el acceso está protegido por MFA y que los logs de conexión se conservan durante al menos 90 días.

4. Gestión de credenciales

Cambiar las contraseñas por defecto de todos los dispositivos OT (PLCs, HMIs, switches, routers) debería ser el primer día de cualquier proyecto de puesta en marcha. En la práctica, sigue siendo uno de los hallazgos más frecuentes en auditorías de ciberseguridad industrial. Implementa una política de contraseñas y, donde sea técnicamente posible, usa un gestor de contraseñas o un servidor LDAP/Active Directory con perfiles de acceso diferenciados por rol.

5. Gestión de parches y actualizaciones

En OT no se puede parchear igual que en IT, pero tampoco se puede ignorar indefinidamente. La solución es un proceso formal de gestión de parches que evalúe cada actualización disponible, la pruebe en un entorno de staging antes de aplicarla en producción, y la aplique en las ventanas de mantenimiento planificadas. Para sistemas legacy donde el proveedor ya no publica actualizaciones, la compensación de controles (mayor segmentación de red, monitorización intensiva) es la vía.

6. Monitorización continua y plan de respuesta

Las herramientas de detección de anomalías en redes OT (Claroty, Nozomi, Tenable OT) aprenden el comportamiento normal de la red y alertan ante comunicaciones atípicas: un PLC que habla con una IP desconocida, un volumen de tráfico inusual, o un cambio de configuración no autorizado. No son baratas, pero en instalaciones críticas o sujetas a NIS2 son prácticamente imprescindibles.

Tan importante como detectar es saber qué hacer. Un plan de respuesta a incidentes OT debe definir quién decide la parada de producción, cómo se aíslan los sistemas afectados sin causar más daño, cómo se comunica el incidente internamente y a las autoridades (si aplica NIS2), y cómo se recupera el sistema desde una copia de seguridad verificada.

El camino práctico para una empresa industrial media

Si tu empresa no está en el ámbito de NIS2 y partes de cero, un camino razonable es el siguiente, ordenado por impacto y coste:

1. Semana 1: inventariar todos los dispositivos OT conectados a red. Identificar accesos remotos activos y quién los usa.
2. Mes 1: cambiar todas las contraseñas por defecto. Desactivar accesos remotos no necesarios. Documentar los que son necesarios.
3. Trimestre 1: implementar segmentación básica IT/OT con firewall. Establecer VPN con MFA para todos los accesos remotos.
4. Año 1: proceso formal de gestión de parches. Backup verificado de configuraciones de PLCs y SCADA. Primera auditoría interna de seguridad OT.
5. Continuo: monitorización de red, formación del personal, revisión periódica de accesos y políticas.

No es necesario implementar IEC 62443 completo de golpe. Lo importante es empezar, documentar lo que se hace y mejorar de forma incremental. La mayoría de los incidentes industriales se producen por vulnerabilidades básicas que se podrían haber evitado con medidas sencillas.

Cómo abordamos la ciberseguridad OT en Bluemation

En Bluemation integramos los principios de seguridad industrial desde el diseño de cada proyecto de automatización. Esto incluye arquitecturas de red segmentadas desde el inicio, gestión de accesos remotos con VPN y MFA, configuración robusta de credenciales en todos los dispositivos, y documentación de la arquitectura de seguridad entregada junto con el proyecto.

Para instalaciones existentes que necesitan mejorar su postura de seguridad OT, realizamos auditorías de ciberseguridad industrial que identifican las brechas más críticas y proponen un plan de mejora priorizado y realista para el entorno de planta. Si tu empresa está en el ámbito de NIS2 o simplemente quieres entender qué nivel de exposición tiene tu planta, cuéntanos la situación y te hacemos una evaluación inicial sin compromiso.