¿Qué es la seguridad OT? Protección para plantas industriales
¿Qué es la seguridad de la tecnología operativa? La seguridad de la tecnología operativa (OT) es la protección de la tecnología operativa, es decir, el hardware y software que controla procesos físicos en sectores como la producción, la energía y las infraestructuras. Incluye sistemas de control industrial, entornos SCADA y controladores lógicos programables. La seguridad de la tecnología operativa prioriza objetivos distintos a los de la ciberseguridad tradicional, ya que en este ámbito la disponibilidad de las instalaciones es la máxima prioridad.
Lo más importante en resumen
- ¿Qué protege? Los sistemas que controlan máquinas, instalaciones y procesos físicos, desde líneas de producción hasta subestaciones eléctricas.
- La diferencia clave: En el ámbito OT, la disponibilidad prevalece sobre la confidencialidad. Un parche que paralice una instalación puede resultar más costoso que el riesgo que mitiga.
- El desafío: Ciclos de vida de veinte años o más, protocolos legacy sin autenticación y una creciente interconexión con los sistemas de TI.
Por qué la OT funciona de forma distinta a la TI
En la ciberseguridad tradicional de la TI, la prioridad sigue el orden confidencialidad, integridad y disponibilidad. En la OT (tecnología operativa) esa lógica se invierte. Primero se prioriza la disponibilidad, ya que una línea de producción detenida o una subestación eléctrica fuera de servicio conlleva consecuencias físicas y económicas inmediatas. La noción de safety -es decir, la protección de personas y del entorno- se incorpora como una dimensión propia.
El horizonte temporal también contrasta. Mientras los sistemas de TI se renuevan cada pocos años, las instalaciones industriales permanecen en operación durante veinte años o más. Muchos sistemas de control clásicos emplean protocolos como Modbus o Profinet, creados originalmente sin mecanismos de autenticación. Los perfiles más recientes y las soluciones basadas en gateways pueden mitigar el riesgo, pero en entornos legacy la seguridad suele depender de la arquitectura de la red. Actualizar estos sistemas implica programar períodos de mantenimiento, no parches improvisados.
Es el tiempo que suelen permanecer en funcionamiento las instalaciones de producción, superando con creces el ciclo de vida de los sistemas clásicos de TI
Fuente: BSI
Dónde surgen los riesgos
Durante años, las redes OT (Tecnología Operacional) permanecieron aisladas físicamente del mundo exterior. Esa separación está cediendo paso, ya que el mantenimiento remoto, el análisis de datos y la conexión con los sistemas empresariales aportan ventajas. No obstante, con la interconexión, la superficie de ataque se amplía. Una red de TI (Tecnología de la Información) comprometida puede convertirse en la puerta de entrada a la producción.
A ello se suma que numerosas instalaciones carecen de funciones de seguridad integradas y resultan difíciles de modernizar. Herramientas clásicas de TI, como los escaneos agresivos de vulnerabilidades, pueden incluso entorpecer los controles sensibles. Por eso, la ciberseguridad OT exige métodos específicos, no una simple transferencia de prácticas de TI.
Primeros pasos en la protección de OT
- ✓Elaborar un inventario completo de todas las instalaciones y protocolos OT
- ✓Segmentar las redes OT de la TI y controlar los puntos de transición
- ✓Proteger y registrar los accesos de mantenimiento remoto
- ✓Ajustar los planes de respuesta a las particularidades de OT, como las ventanas de mantenimiento
El marco para la seguridad tecnología operativa (OT)
Como norma central, se ha adoptado la serie de normas IEC 62443 (Comisión Electrotécnica Internacional). Esta aborda a operadores, integradores y fabricantes, describiendo los requisitos de seguridad a lo largo de todo el ciclo de vida de una instalación. Entre ellas se incluye la evaluación de riesgos por zonas y conduits (Parte 62443-3-2), así como los requisitos del sistema y los niveles de seguridad (Parte 62443-3-3). En Alemania, la Oficina Federal de Seguridad de la Información (BSI) clasifica la tecnología operativa (OT), entre otros, en los componentes IND del compendio de protección básica de TI, como el IND.1 Tecnología de automatización y control de procesos. Como referencia en EE.UU., el NIST (Instituto Nacional de Estándares y Tecnología) SP 800-82 complementa la protección de los sistemas de control industrial. Como modelo estructural, se suele emplear el modelo de Purdue, que separa los niveles desde el control de campo hasta la TI empresarial.
Desde el punto de vista normativo, la tecnología operativa (OT) está captando una atención creciente. La Directiva NIS2 y el marco KRITIS (infraestructuras críticas) incluyen a numerosos operadores de instalaciones industriales. En la región DACH (Alemania, Austria y Suiza), con su sólido sector manufacturero, la seguridad OT se ha convertido en un pilar esencial de la obligación de resiliencia cibernética.
Cómo convergen TI y TO
Durante mucho tiempo, los equipos de TI (Tecnologías de la Información) y TO (Tecnologías Operativas) trabajaron de forma separada, con objetivos y lenguajes propios. La TI pensaba en ciclos de parches y confidencialidad, mientras que la TO priorizaba la disponibilidad y la seguridad de las instalaciones. Con el aumento de la interconexión, esta separación ya no es sostenible. Un ciberataque que comienza en la red corporativa puede terminar afectando a la producción.
La solución pasa por establecer una gobernanza conjunta, en lugar de que una disciplina absorba a la otra. Es clave asignar una responsabilidad global -normalmente al CISO (Chief Information Security Officer)- que gestione la seguridad de TI y TO bajo un mismo paraguas, sin ignorar las particularidades de la TO. Evaluaciones de riesgos compartidas, planes de respuesta coordinados y una visión unificada de la situación acercan progresivamente ambos mundos.
La visión de la cadena de suministro
Un riesgo a menudo subestimado en la tecnología operativa (OT, por sus siglas en inglés) es el acceso externo. Las instalaciones suelen ser mantenidas de forma remota por fabricantes o integradores, con amplios derechos y accesos propios. Cada uno de estos accesos representa una posible puerta de entrada que debe tratarse con el mismo cuidado que las cuentas internas.
Resultan útiles los accesos de mantenimiento remoto controlados y registrados, en lugar de conexiones permanentemente abiertas. El acceso solo se activa cuando es necesario, está vinculado a una persona concreta y queda documentado. Además, es fundamental incluir requisitos de seguridad en los contratos con proveedores para garantizar que la cadena, desde el fabricante hasta la instalación, quede protegida de forma trazable.
Preguntas frecuentes
Cada pregunta está bloqueada. Un toque desbloquea la respuesta.
¿Cuál es la diferencia entre TI (Tecnología de la Información) y TO (Tecnología Operacional)?
La TI se encarga de procesar la información, mientras que la TO controla los procesos físicos. En el ámbito de la TI, la confidencialidad suele ser la prioridad, mientras que en la TO lo son la disponibilidad y la seguridad de las personas y los equipos.
¿Qué significan ICS, SCADA y PLC?
ICS es el término genérico para los sistemas de control industrial. SCADA se refiere a los sistemas de supervisión y control de procesos distribuidos. PLC (las siglas en inglés de Programmable Logic Controller) designa los controladores lógicos programables que regulan máquinas individuales.
¿Por qué no se puede simplemente parchear OT?
Las instalaciones suelen operar de manera continua las 24 horas. Una actualización puede interrumpir el funcionamiento o poner en riesgo la certificación. Los parches requieren ventanas de mantenimiento planificadas y pruebas exhaustivas, en lugar de aplicarse de forma espontánea.
¿Qué estándar rige la seguridad OT?
La serie de normas IEC 62443 sirve como referencia central. Define los requisitos para operadores, integradores y fabricantes a lo largo de todo el ciclo de vida.
¿La ciberseguridad operacional (OT Security) está afectada por la Directiva NIS2?
En muchos casos, sí. La Directiva NIS2 y el marco regulatorio KRITIS (Sistemas Críticos de Infraestructuras) abarcan a numerosos operadores de instalaciones industriales e infraestructuras críticas, lo que implica que sus sistemas OT quedan sujetos a las obligaciones de seguridad establecidas.
Selección de la redacción
RecomendadoEl proveedor más débil abre la instalación crítica
Más de la red MBF Media
cloudmagazinUn modelo para todo será un error de arquitectura en 2026MyBusinessFuturePasaporte digital de producto: qué deben hacer los fabricantesDigital ChiefsCinco lugares donde se rompe el software de la cadena de suministro
