La ciberseguridad nació en los entornos de TI, pero desde hace algunos años ha dejado de ser exclusiva de ese ámbito para convertirse en un elemento esencial de la tecnología operativa (OT). Sectores estratégicos como manufactura, transporte, energía, petróleo y gas, y servicios públicos avanzan con rapidez hacia la digitalización y la automatización de sus procesos.
Aunque esta transformación aporta importantes beneficios, también incrementa la exposición a amenazas que pueden comprometer no sólo la información, sino también la continuidad operativa e incluso la integridad física de las instalaciones.
Gran parte de este escenario es consecuencia de la convergencia entre TI y OT, que ha ampliado la superficie de ataque en los entornos industriales. A ello se suman la digitalización de los procesos, la conexión al exterior de activos que tradicionalmente permanecían aislados, las necesidades de mantenimiento remoto, la adopción del Internet Industrial de las Cosas (IIoT), así como el uso de servicios en la nube y analítica avanzada. Todo lo anterior ha convertido a las organizaciones industriales en un objetivo cada vez más atractivo para grupos criminales y actores patrocinados por Estados.
Hacia un modelo operativo
Frente al incremento de las amenazas, el mercado de soluciones de ciberseguridad para OT ha crecido de forma acelerada. Hoy pueden encontrarse en el mercado herramientas capaces de realizar inventarios pasivos de activos, monitorear continuamente las redes industriales, identificar vulnerabilidades, detectar anomalías, gestionar accesos remotos, implementar la microsegmentación de redes y proteger equipos heredados. A esto se suman capacidades de inteligencia de amenazas específicas para OT y servicios administrados.
La oferta tecnológica es amplia y continúa evolucionando para responder a un panorama de amenazas cada vez más complejo. Sin embargo, los incidentes siguen aumentando y las intrusiones son cada vez más frecuentes, con impactos significativos en sectores críticos.
Paradójicamente, mientras la inversión en ciberseguridad OT continúa creciendo, la exposición al riesgo también va aumentando, lo cual plantea una pregunta inevitable: ¿por qué, si hoy existen más soluciones que nunca, las organizaciones siguen teniendo dificultades para reducir de forma significativa el riesgo ciberfísico?
La respuesta apunta a una realidad evidente: muchas iniciativas de seguridad en OT se han quedado en una etapa de visibilidad o cumplimiento regulatorio, sin evolucionar hacia un modelo operativo capaz de gestionar la exposición al riesgo, fortalecer la infraestructura, contextualizar las alertas, responder eficazmente a incidentes y construir procesos verdaderamente resilientes.
El medio, no el destino
El crecimiento del mercado de ciberseguridad OT es innegable y, en principio, representa una buena noticia. Refleja presupuestos más sólidos, una mayor conciencia por parte de la alta dirección y un ecosistema con soluciones cada vez más especializadas.
Sin embargo, también conviene hacer una segunda lectura. Que una organización adquiera una plataforma de seguridad OT no significa, por sí mismo, que haya reducido sus riesgos. Contar con un inventario completo de activos tampoco garantiza un mayor control. Del mismo modo, disponer de alertas, tableros o indicadores no asegura una operación más segura ni más resiliente.
Para aprovechar realmente la tecnología, la inversión debe extenderse al diseño de un modelo operativo. Tener mayor visibilidad es importante, pero no basta si la organización no sabe cómo actuar con esa información. Más datos no siempre significan mejores decisiones. Del mismo modo, descubrir un mayor número de vulnerabilidades sirve de poco si no existen ventanas de mantenimiento, controles compensatorios o criterios claros para priorizar cuáles deben atenderse primero.
Estas reflexiones llevan a una conclusión contundente: adquirir tecnología de seguridad OT no lleva siempre a alcanzar resiliencia. La tecnología es una herramienta indispensable, pero sigue siendo un medio y no el objetivo final. La verdadera meta consiste en desarrollar la capacidad de mantener una operación segura, contener un incidente y recuperar rápidamente los procesos ante una intrusión, una indisponibilidad parcial, la manipulación de un activo o incluso una interrupción provocada por un tercero.
Convergencia: ¿más conectividad, más riesgos?
La convergencia entre TI y OT es el principal factor que está ampliando la superficie de ataque en los entornos industriales.
Históricamente, los sistemas OT fueron diseñados bajo principios de disponibilidad, continuidad, estabilidad y seguridad física. No estaban concebidos para conectarse a redes corporativas, utilizar servicios en la nube, habilitar accesos remotos para terceros ni integrarse con herramientas analíticas, plataformas de mantenimiento predictivo o sistemas de gestión empresarial. Sin embargo, la transformación digital cambió ese escenario. La operación industrial comenzó a demandar datos, conectividad e integración para ganar eficiencia y competitividad.
Como consecuencia, también aumentó la exposición a amenazas. La convergencia entre TI y OT abrió rutas de ataque que hace algunos años eran impensables. Actividades habituales en los entornos de TI empezaron a trasladarse a OT y, cuando no se ejecutan correctamente, pueden generar riesgos importantes para la operación.
Una segmentación deficiente, por ejemplo, puede facilitar el movimiento lateral hacia servidores de ingeniería, mientras que un proyecto de IIoT mal implementado puede exponer servicios y datos críticos sin los niveles de protección que requiere una infraestructura industrial.
Gobierno, el ingrediente clave
La convergencia entre TI y OT continuará acelerándose en los próximos años. El desafío clave será gobernarla adecuadamente.
Para lograrlo es indispensable establecer un modelo de gobierno de ciberseguridad entre TI y OT que establezca las reglas, lo que implica definir claramente roles y responsabilidades en la gestión del riesgo, establecer procesos corporativos para fortalecer la resiliencia —como la respuesta a incidentes y la gestión de crisis— y fijar políticas que orienten la identificación de riesgos, así como la adquisición e implementación de tecnologías de seguridad.
Sin un modelo de gobierno sólido será difícil diseñar controles realmente eficaces, coordinar esfuerzos entre TI y OT y reducir de manera consistente la probabilidad y el impacto de un ciberataque.
En definitiva, las organizaciones industriales tienen hoy la oportunidad de aprender de los errores cometidos durante años en los entornos de TI y aplicar esas lecciones a OT. La ciberseguridad industrial debe partir de una premisa sencilla: la conectividad ya es inevitable, pero una exposición descontrolada no lo es. La arquitectura de seguridad debe permitir que la organización avance en su transformación digital sin convertir cada nueva integración en una puerta de entrada hacia sus procesos críticos.
