Ciberseguridad industrial (OT): por qué la planta es el punto ciego de tu fábrica

Cuando un ransomware entra en una fábrica no roba unos datos y se marcha. Para la línea. En 2019, un ataque dejó al grupo noruego Norsk Hydro operando a medias durante semanas, con un impacto estimado en unos 70 millones de dólares. En 2021, Colonial Pipeline tuvo que cortar durante casi una semana el suministro de combustible a la costa este de Estados Unidos. En los dos casos el problema no vivía en los ordenadores de oficina, sino en la parte de planta: en la tecnología operativa (OT), el terreno de la ciberseguridad industrial que casi nadie mira.

Ese es el terreno de la ciberseguridad OT, la tecnología operativa que controla máquinas, líneas y procesos. Y es donde una fábrica mediana del corredor del Ebro tiene hoy sus mayores puntos ciegos. La producción se digitalizó hace años, pero la seguridad se quedó en la parte informática. Este artículo recorre por qué la planta es distinta, qué nos encontramos al entrar en una, qué obligan ahora NIS2 y el CRA sobre ese entorno y cómo la norma IEC 62443 pone orden.

OT no es IT, y tratarla igual es el primer error

En el mundo IT la prioridad es la confidencialidad del dato. En la planta, la prioridad es que el proceso no pare y que nadie salga herido. Esa diferencia lo cambia todo. Un servidor de oficina se reinicia por la noche para aplicar un parche; un PLC que gobierna una línea de embotellado o un horno no se puede parar cuando conviene, y muchas veces ni siquiera admite el parche porque el fabricante dejó de darle soporte hace años.

A eso se suma la vida útil. En informática, un equipo de diez años es una antigüedad. En OT es lo normal encontrar autómatas, SCADA y estaciones de ingeniería de hace quince o veinte años, diseñados en una época en la que nadie pensaba que aquello fuera a estar conectado a nada. Funcionan, cumplen su cometido y por eso siguen ahí, pero arrastran vulnerabilidades que no se pueden cerrar con una actualización. La seguridad OT trabaja precisamente sobre esa realidad: proteger lo que no se puede sustituir de un día para otro.

Los agujeros que nos encontramos en una planta

Al hacer un diagnóstico en una fábrica de la zona, los puntos débiles se repiten con una regularidad que asusta.

El más común es la red plana: la ofimática y la producción comparten la misma red, sin separación, de modo que un correo con malware que abre alguien en administración puede llegar sin obstáculos hasta el autómata de una línea. El segundo es el acceso remoto sin control: los fabricantes de la maquinaria suelen conectarse en remoto para dar mantenimiento, a menudo con credenciales compartidas, sin registro de quién entra ni cuándo. Es una puerta cómoda para el proveedor y, exactamente por lo mismo, para cualquiera. El tercero es la falta de inventario, porque no se puede proteger lo que no se sabe que existe. Ninguno de estos problemas es exótico: son el punto de partida habitual, y son también lo que un atacante busca primero.

Qué obligan ahora NIS2 y el CRA sobre la planta

Durante años, la parte de planta se quedó fuera del radar regulatorio. Eso ha cambiado. NIS2 obliga a las entidades esenciales e importantes a gestionar el riesgo de sus redes y sistemas, y esos sistemas incluyen la OT que sostiene el servicio. Una planta de automoción, una conservera o una empresa de energía tienen que mirar la producción con los mismos ojos que la informática. Lo vemos en cómo NIS2 recae sobre los proveedores de automoción y en por qué una conservera o una bodega entran en su alcance: en ambos casos, el corazón del riesgo está en la planta.

El CRA aprieta desde el otro lado. Impone requisitos de ciberseguridad a los productos con elementos digitales, y muchos de esos productos son precisamente los componentes y la maquinaria que se instalan en las fábricas. Si fabricas equipo conectado, el reloj ya corre, como explicamos al hablar de la cuenta atrás del CRA para los fabricantes. El resultado combinado es que la planta que antes se ignoraba se ha convertido en objeto directo de dos normas a la vez, una sobre quien la opera y otra sobre quien la fabrica.

Cómo ordena el trabajo la IEC 62443

Aquí es donde entra el marco de referencia. La familia de normas IEC 62443, desarrollada por IEC e ISA, es el estándar internacional para la ciberseguridad de los sistemas de automatización y control industrial, y es la referencia técnica que los organismos de ciberseguridad, INCIBE incluido, reconocen para la capa OT. No compite con la ISO 27001, la complementa: la 27001 ordena la seguridad de la información corporativa, la 62443 baja a la planta.

Su virtud es que reparte el trabajo según quién eres. Un grupo de la norma se dirige al operador de la fábrica, con su programa de gestión y la gestión de parches en OT. Otro se dirige al integrador que diseña e instala los sistemas. Y otro, al fabricante del componente, con el desarrollo seguro del producto. Cada actor sabe qué le toca.

Ciberseguridad industrial OT: por dónde empezar

La buena noticia es que asegurar la OT no exige tirar la planta y empezar de cero. El trabajo va por fases y las primeras dan mucho resultado con poca inversión.

Lo primero es el inventario: saber qué dispositivos hay, con qué versiones y qué hablan entre sí. Sin ese mapa, cualquier plan es a ciegas. A partir de ahí, la segmentación de la red separa la ofimática de la producción y corta el camino más fácil de un atacante. Después viene poner orden en los accesos remotos de los proveedores, con cuentas nominales, registro y conexiones que se abren solo cuando hacen falta. Y para el equipo antiguo que no se puede parchear, la respuesta no es descartarlo, sino rodearlo de controles compensatorios que reduzcan su exposición mientras siga en servicio.

Un ejemplo de la zona. Hicimos un diagnóstico OT en un taller de maquinaria especial que fabrica componentes para automoción, y el patrón era el de manual. La red IT/OT estaba plana, sin separación entre la ofimática y las máquinas, así que un correo abierto en administración tenía vía libre hasta los autómatas de taller. A eso se sumaban componentes desactualizados, estaciones de ingeniería con Windows sin soporte y accesos remotos de los fabricantes de maquinaria con credenciales compartidas y sin registro. Aplicamos ese mismo orden por fases: inventario de lo que había conectado de verdad, segmentación para cortar el camino directo entre oficina y planta, control de los accesos remotos con cuentas nominales, y controles compensatorios para los autómatas antiguos que no admitían parche. Con las primeras fases, el taller pasó de tener la producción expuesta a un correo cualquiera a tener acotado el riesgo grave, con un plan claro para lo que quedaba.

En Meta-Data hacemos diagnósticos de ciberseguridad industrial en fábricas de Navarra, La Rioja y Aragón, mirando la parte de planta que la informática de oficina no cubre. Partimos de un inventario y una evaluación de riesgos según IEC 62443, y dejamos un plan por fases ordenado por coste e impacto, alineado con lo que te exigen NIS2 o el CRA.

Guía práctica · descarga gratuitaCiberseguridad industrial y OT: protege tu planta sin parar la producciónDescargar la guía (PDF) →