Muchas plantas de fabricación dependen de sistemas OT que permanecen en servicio durante muchos años. Ese largo plazo puede ocultar importantes riesgos de ciberseguridad.
17 de junio de 2026
•
,
5 min. leer
En una planta de fabricación construida en torno al tiempo de actividad, una máquina que ha ejecutado el mismo proceso físico durante años sin apenas contratiempos gana algo menos discutido que un historial de rendimiento: la confianza institucional. Con el tiempo, una confiabilidad tan silenciosa logra hacer que cierto tipo de escrutinio parezca innecesario, hasta el punto de que el equipo podría convertirse en un punto ciego de seguridad.
Durante mucho tiempo, hubo una lógica en ‘dejar lo suficientemente bien como está’. Gran parte de la tecnología operativa (OT) en la fabricación se diseñó para mantener estable el proceso físico y, una vez que la línea de producción funcionó, la medida sensata fue mantener el equipo en buenas condiciones para que pudiera continuar haciendo su trabajo.
Sin embargo, con el paso de los años, el suelo debajo de la máquina se ha movido y el equipo menos susceptible de cambio ahora suele necesitar la mayor protección a su alrededor. Hoy en día, muchos entornos de fabricación se enfrentan a preguntas candentes, entre ellas: ¿quién puede tocar el equipo de la red?, ¿qué tan vulnerables son los sistemas de los que dependen las máquinas? ¿Se ha convertido el viejo pacto de no tocarlo si funciona en parte del riesgo?
¿Envejecer?
Hace dos o tres décadas, pocos en el sector manufacturero perdían el sueño por los ataques transmitidos por Internet. La amenaza no existía o se limitaba a un puñado de objetivos de estados-nación. El hecho de que los protocolos industriales no tuvieran seguridad incorporada no importaba mucho: las máquinas estaban aisladas de TI y nada que no fuera de confianza podía llegar a ellas. Simplemente funcionaban y no había ninguna razón de peso para tocarlos.
Hasta que lo hubo. La «unión» de TI y OT, un sello distintivo de la digitalización y la Industria 4.0, cambió la ecuación a medida que los sistemas de control industrial (ICS) se conectaron a redes para las que esos sistemas nunca fueron diseñados. Por supuesto, conectar sistemas de producción a redes empresariales ofrece beneficios tangibles, pero las implicaciones de seguridad (que los sistemas que alguna vez fueron seguros de repente ya no lo eran) llegaron de manera más silenciosa. Las diversas deficiencias de seguridad (incluidas una autenticación débil, un registro limitado, valores predeterminados inseguros y procesos de actualización que pueden requerir costosos tiempos de inactividad) de repente se convirtieron en responsabilidades.
Según el Instituto SANS, casi 60% de los ataques OT Se cree que los problemas en diversas industrias se deben a compromisos en los entornos de TI corporativos. Además, la reciente iniciativa del instituto encuesta encontró que el 22% de las organizaciones en industrias esenciales reportaron un incidente de ciberseguridad durante el año pasado, con el 40% de los eventos causando interrupciones operativas y casi el 20% tardando más de un mes en remediarse.
La gravedad de la amenaza finalmente se reveló con ciberataques dañinos, como el que llegará a Jaguar Land Rover en 2025 y ahora se cree que es el ciberataque más dañino en la historia británica. Además, dado que las cadenas de suministro funcionan con cronogramas ajustados y poca o ninguna tolerancia al error, detener a un proveedor con compromisos de entrega justo a tiempo genera una crisis de producción en toda regla que envuelve a una larga lista de otras empresas.
El costo de tocar una línea en ejecución.
Interrumpir una línea de producción en funcionamiento para mejorar la infraestructura sin problemas operativos obvios suele ser difícil de vender. Los activos están demasiado profundamente arraigados en el proceso físico; de hecho, a menudo quedan atrapados en lo que las principales agencias de ciberseguridad del mundo llaman acertadamente «obsolescencia autoestablecida.’
Mientras tanto, las bandas de ransomware que comenzaron a prestar seria atención a la fabricación encontraron una superficie de ataque que se había estado expandiendo durante años sin las correspondientes inversiones en seguridad. Causar daños que afecten a un entorno operativo también es diferente de una mera violación de TI. Los operadores de ransomware, algunos de los cuales están desarrollando capacidades OT dedicadas, entienden esta matemática y calibran sus demandas en consecuencia. A veces, basta con infiltrarse en la TI empresarial y dejar que las dependencias hagan el resto.
Sin duda, la ecuación empresarial está cambiando, aunque a menudo de afuera hacia adentro. Los contratos de proveedores contienen cada vez más disposiciones relacionadas con la seguridad, mientras que las ciberaseguradoras exigen pruebas de controles de seguridad, hasta el punto de que las organizaciones que no pueden proporcionarlos tienen que aceptar primas elevadas o quedan sin cobertura. Requisitos reglamentarios también se están endureciendo en varias jurisdicciones; por ejemplo, NIS2 impone requisitos de ciberseguridad más estrictos para las industrias críticas de Europa, mientras que el amplio entorno regulatorio en los EE. UU. también exige acciones específicas que impulsan la madurez de la seguridad en las industrias críticas.
Las principales ciberamenazas de cerca
Pocos proveedores de seguridad han estado tan cerca de las amenazas que enfrenta la infraestructura crítica como ESET. A lo largo de los años, su equipo de investigación de amenazas ha analizado algunos de los incidentes más importantes registrados, incluido BlackEnergy, que provocó un corte de energía de 4 a 6 horas para 230.000 personas en Ucrania en 2015, su sucesor, GreyEnergy, e Industroyer, el malware altamente personalizable que utiliza varios protocolos de comunicación industrial utilizados en sistemas de infraestructura crítica en todo el mundo y provocó un apagón en Kiev en 2016. En 2022, los investigadores de ESET también identificaron Industroyer2, que volvió a apuntar a la infraestructura energética de Ucrania. Además, el análisis de NotPetya realizado por ESET documentó cómo un ataque sin un objetivo OT específico aún puede devastar a las organizaciones que ejecutan tecnología operativa a escala, incluidos los fabricantes.
(Re)construir la seguridad alrededor de sus equipos críticos
Naturalmente, no se puede proteger lo que no se puede ver, y la visibilidad adecuada de los activos sigue siendo la base de cualquier estrategia de mitigación de riesgos que se precie. Comience por mapear qué sistemas en un entorno están conectados y no tienen cobertura de seguridad, dónde se cruzan las redes de TI y OT, qué segmentos no están monitoreados y qué sistemas de producción han quedado fuera de cualquier acuerdo de soporte del proveedor. Dada la complejidad de los sistemas ciberfísicos, claramente no existe un enfoque único para el inventario de activos y otras tareas.
La arquitectura de implementación real también debe resolverse tempranamente. Ya sea por diseño o debido a contratos con clientes, obligaciones regulatorias u otras razones, algunos entornos de fabricación operan bajo requisitos de espacio de aire. Por lo tanto, es posible que las plataformas de seguridad construidas principalmente en torno a la conectividad en la nube no se ajusten a los requisitos o al presupuesto.
Mientras tanto, las herramientas de seguridad listas para usar a menudo no cumplen de manera eficiente los requisitos empresariales en los sistemas OT heredados que se ejecutan en hardware antiguo y versiones de sistemas operativos obsoletas. Las herramientas deben ser lo suficientemente estables y discretas para funcionar en sistemas restringidos sin afectar la producción. La protección de la red, por su parte, se mantiene en equipos que no pueden ejecutar ningún agente de seguridad, lo que en la mayoría de los entornos de fabricación no es de ninguna manera un caso extremo.
El soporte a largo plazo aborda lo que las otras capas no pueden cerrar por completo. Cuando un proveedor de ICS finaliza el desarrollo de una versión de plataforma, las actualizaciones eventualmente se detienen. Los sistemas de producción que ejecutan esa versión continúan funcionando durante años, acumulando exposición a más amenazas. Los compromisos de soporte que duran más que la ventana de soporte del proveedor original son el equivalente en ciberseguridad a firmar un acuerdo de repuestos a largo plazo para un automóvil descontinuado hace años. La máquina sigue estando en condiciones de circular.
Construido para funcionar durante años
La industria manufacturera tiene una larga historia de ingeniería para salir de las crisis. También ha aprendido una serie de duras lecciones, entre ellas que ignorar un problema conocido tiende a desplazar (y a menudo multiplicar) el costo que conlleva. La ciberamenaza a la infraestructura OT ahora está bien documentada y la Existen herramientas para abordarlo.. En esta industria, esto debería ser suficiente para poner las cosas en marcha y, en última instancia, generar ciberresiliencia en las operaciones de la industria.
Acerca del autor
