La ciberseguridad de las infraestructuras críticas ha ocupado en la última década un lugar prioritario en la agenda de organismos y entes reguladores alrededor del mundo. Hoy existen marcos normativos y estándares que establecen cómo las organizaciones responsables de estos entornos deben implementar controles de seguridad para protegerse ante posibles ciberataques de alto impacto.
Como algunos de los referentes más representativos se encuentra la directiva NIS 2 de la unión europea que busca elevar el nivel de protección en ciberseguridad en infraestructuras críticas, así como servicios esenciales. Del mismo modo existen publicaciones especiales de organismos como NIST o SANS que pueden servir de referencia para la definición de estrategias resilientes de ciberseguridad.
Sin embargo, hay un factor que muchas veces sigue subestimándose: la cadena de suministro, habilitada en muchos casos por terceros y proveedores. Las regulaciones actuales y algunos marcos de referencia buscan prestar atención a estos terceros que hacen posible la operación de servicios esenciales como suministro de agua potable, transporte, energía o telecomunicaciones. La cadena de suministro juega un papel crítico ya que puede llegar a compartir cierta información, accesos a sistemas, procesos y tecnologías vinculadas directamente con activos sensibles. Por ello, debe alinearse completamente con la estrategia de ciberseguridad de la organización.
Dos caras de la misma moneda
En los últimos años, el mundo ha sido testigo de una acelerada integración de la inteligencia artificial (IA) dentro de las estrategias de ciberseguridad para infraestructuras críticas. Y junto con ello, la gobernanza de IA se ha convertido en un tema especialmente sensible. Y la razón es evidente, la IA puede fortalecer las capacidades defensivas, pero también puede amplificar los riesgos.
Los ciberdelincuentes ya están utilizando la IA para reducir drásticamente el tiempo de preparación y ejecución de ataques. Lo que antes requería meses de planeación hoy puede realizarse en cuestión de días o incluso horas. Por tanto, de no gobernar correctamente la IA, las organizaciones responsables de infraestructuras críticas podrían quedar expuestas en múltiples frentes.
A esto se suma otro desafío importante que es la escasez de talento especializado. Hoy existe una falta significativa de profesionales de ciberseguridad, particularmente expertos en entornos OT (Operational Technology), precisamente los sistemas que controlan procesos industriales y operaciones críticas.
Una estrategia paso a paso
En este contexto, la pregunta clave es: ¿por dónde debe comenzar una estrategia de ciberseguridad para OT e infraestructura crítica? La respuesta no está en implementar controles aislados, sino en construir un proceso evolutivo que permita alcanzar niveles cada vez más robustos de ciberresiliencia.
Desde Minsait consideramos que una estrategia de ciberseguridad para infraestructura crítica y OT debe construirse sobre cuatro niveles evolutivos fundamentales. Estos pueden tener variantes dependiendo de la industria y el contexto de cada negocio pero las bases deben de considerar al menos lo siguiente:
1.Descubrimiento y observabilidad
Todo parte de la premisa básica de que “no se puede proteger lo que no se conoce”. Esto implica tener visibilidad completa sobre todo lo que existe dentro del entorno OT y sobre aquello que se conecta o tiene alguna interrelación con él. Antes de proteger, es necesario entender qué activos son realmente críticos para la operación y cuáles representan habilitadores esenciales del negocio.
Esta etapa contempla la generación automatizada o semi-automatizada de inventarios de activos, sistemas SCADA, PLC, HMI y demás componentes industriales. Asimismo, permite establecer patrones de comportamiento considerados normales dentro de la infraestructura.
En otras palabras, se trata de identificar las verdaderas “joyas de la corona”: aquellos sistemas que sostienen los procesos críticos del negocio y cuya indisponibilidad tendría impactos severos en servicios críticos.
Además, esta visibilidad ayuda a justificar estratégicamente las inversiones necesarias en ciberseguridad frente a los consejos directivos y comités financieros.
2. Control del perímetro
El segundo nivel se centra en el control del perímetro y la reducción de la superficie de ataque. Aquí entran conceptos como segmentación, control de acceso, Zero Trust y mínimo privilegio. La lógica cambia por completo ya que se parte de asumir que la organización ya pudo haber sido comprometida y, desde ahí, se implementan controles para contener cualquier posible movimiento lateral o acceso desde el exterior.
Entre las acciones más relevantes destacan el aislamiento entre los entornos TI y OT, así como la microsegmentación de líneas de producción para aplicar controles mucho más precisos.
Lo que se busca es que, si el entorno de TI sufre un incidente, las operaciones industriales deben poder continuar funcionando.
En un escenario con la segmentación adecuada, la planta puede mantenerse operando mientras los equipos trabajan en la recuperación de TI. Y este mismo principio debe aplicarse también cuando un proveedor o un tercero de la cadena de suministro enfrenta un incidente de seguridad.
3.Monitoreo avanzado, detección y respuesta
Como un siguiente nivel evolutivo se incorpora telemetría industrial y capacidades avanzadas de monitoreo. Esto implica evolucionar hacia equipos especializados NxMDR capaces de interpretar protocolos industriales, detectar anomalías en tiempo real y responder automáticamente ante comportamientos sospechosos dentro de OT.
En este sentido, la meta es evitar escenarios donde un atacante pueda tomar control de maquinaria, alterar configuraciones críticas o modificar parámetros operativos.
Hay que estar conscientes hoy de que los impactos potenciales no se limitan a aspectos económicos, pues un incidente en la infraestructura crítica puede generar consecuencias regulatorias, legales e incluso afectar vidas humanas.
Por ello, contar con capacidades sólidas de detección y respuesta ya no es opcional; es un requisito estratégico.
4.Construir ciberresiliencia real
En caso de un ciberataque, una organización de infraestructura crítica debe ser capaz de recuperar rápidamente sus sistemas y operaciones. Hablamos de alcanzar una ciberresiliencia real. Y aquí existe una diferencia importante entre TI y OT pues mientras TI puede tolerar cierto tiempo de indisponibilidad en un proceso de recuperación, OT requiere prácticamente continuidad inmediata, más cuando hablamos de infraestructuras críticas.
Por ello, muchas organizaciones ya avanzan hacia modelos redundantes con activos y dispositivos de respaldo y recuperación que entren en operación en segundos ante cualquier falla, esto incluye sistemas y estrategias de recuperación casi inmediata los cuales permitan un funcionamiento en modo degradado dejando que las funciones esenciales continuen operativas mientras se recuperan las funciones secundarias.
En esta etapa cobran especial relevancia los playbooks específicos para OT, diseñados para aislar segmentos afectados, mantener operaciones seguras y acelerar la recuperación de procesos críticos.
Mucho más que un gasto técnico
Uno de los mayores retos para los CISO es convencer a los comités directivos y accionistas de que la ciberseguridad no debe verse únicamente como un gasto tecnológico. Se trata en realidad de una inversión directamente vinculada con la continuidad operativa, la resiliencia empresarial y la estabilidad de la infraestructura crítica.
Las organizaciones deben comenzar a hacerse preguntas mucho más estratégicas como ¿cuánto tiempo pueden tolerar una degradación operativa?, ¿qué nivel de riesgo están dispuestas a aceptar?, ¿qué tan rápido pueden recuperarse de una interrupción crítica?
Las respuestas permitirán definir el nivel de madurez que se busca alcanzar, las inversiones necesarias y el apetito real de riesgo de la organización. Porque en infraestructura crítica, la discusión ya no gira únicamente en torno a prevenir ataques, sino en asegurar que, incluso bajo ataque, la operación nunca se detenga.
