¿Qué es la seguridad IT y OT?
La seguridad IT y OT protegen dos dominios distintos que los atacantes ahora explotan como una única superficie de ataque. La magnitud del problema está documentada: el Informe de Delitos en Internet 2024 del FBI recibió más de 4,800 denuncias de organizaciones de infraestructura crítica afectadas por ciberataques, con el ransomware, la amenaza más extendida para estos sectores, aumentando un 9% interanual. La seguridad IT y OT reducen ese riesgo separando los sistemas empresariales de los procesos industriales y ayudando a detener la compromisión IT antes de que se convierta en una interrupción física.
La seguridad IT protege los sistemas que utiliza para procesar, almacenar y transmitir información empresarial. Servidores, portátiles, plataformas en la nube y aplicaciones empresariales forman parte de este dominio. El modelo de prioridades sigue la clásica tríada CIA: primero Confidencialidad, luego Integridad y después Disponibilidad. Si un servidor necesita un parche de emergencia, se desconecta, se aplica la actualización y se vuelve a poner en línea.
La seguridad OT protege los sistemas que interactúan directamente con el mundo físico. Los sistemas SCADA que monitorizan una red eléctrica, los PLC que controlan un proceso químico y las HMI que operan una planta de tratamiento de agua son activos OT. La guía de seguridad OT de NIST define OT como "una amplia gama de sistemas y dispositivos programables que interactúan con el entorno físico". El modelo de prioridades se invierte a AIC: primero Disponibilidad, luego Integridad y después Confidencialidad. No se puede desconectar un reactor en funcionamiento para aplicar un parche los martes.
La distinción crítica es la consecuencia. Una brecha IT le cuesta datos y dinero. Una brecha OT puede costar vidas. Por eso, entender cómo difieren estos dominios y cómo ahora están conectados es importante para cualquier defensor que trabaje en entornos ciberfísicos modernos. El punto de partida para esa comprensión es la convergencia: el proceso que hizo inseparables estos dos dominios.
¿Qué es la convergencia IT/OT?
La convergencia IT/OT es la ruptura de la separación histórica entre los sistemas IT empresariales y los sistemas OT industriales. Durante la mayor parte del siglo XX, los entornos OT operaban en aislamiento, físicamente desconectados de las redes corporativas, ejecutando protocolos propietarios a los que ninguna herramienta empresarial podía acceder y gestionados por ingenieros de planta en lugar de equipos de seguridad IT. Ese aislamiento era intencional. También fue, durante mucho tiempo, efectivo.
Tres fuerzas colapsaron ese modelo:
- Internet Industrial de las Cosas (IIoT): Sensores, controladores y dispositivos de campo se conectaron a redes empresariales y plataformas en la nube para habilitar la monitorización remota y la eficiencia operativa, poniendo los activos OT en línea por primera vez.
- Industria 4.0: Los principios modernos de fabricación exigieron la integración de datos en tiempo real entre los sistemas de producción y las herramientas de inteligencia empresarial, creando rutas de datos directas a través de lo que antes era un límite estricto.
- Expansión del acceso remoto: La conectividad corporativa VPN y en la nube se extendió a entornos de planta que antes requerían presencia física, a menudo impulsada por requisitos de soporte de proveedores y cambios en la fuerza laboral durante la pandemia.
Cada una de estas fuerzas aumentó de forma independiente la exposición OT. Juntas, desmantelaron la suposición de aislamiento en la que la seguridad industrial había confiado durante décadas.
El resultado es que el aislamiento prácticamente ha desaparecido. Las estaciones de trabajo de ingeniería se conectan a dominios empresariales, los sistemas SCADA envían telemetría a plataformas de análisis en la nube y las rutas de acceso remoto de proveedores cruzan diariamente el límite IT/OT. El análisis de convergencia IT/OT de CISA documenta cómo esta expansión de la conectividad ha hecho que los entornos OT sean directamente accesibles desde la red corporativa y, por extensión, desde Internet.
Para los equipos de seguridad, la convergencia significa que su SOC ahora debe tener visibilidad en entornos que ejecutan Modbus, DNP3 y protocolos industriales que su SIEM nunca ha interpretado, gestionando dispositivos que llevan 20 años en servicio sin un parche de seguridad. El reto no es solo técnico. Requiere gobernanza compartida, respuesta a incidentes conjunta y una estrategia de visibilidad unificada en dos dominios con prioridades operativas diferentes. Para entender las implicaciones de seguridad de la convergencia, primero ayuda saber de qué está compuesto realmente cada dominio.
Componentes principales de la seguridad IT y OT
Los dos dominios protegen activos fundamentalmente diferentes, funcionan con protocolos distintos y se construyen en torno a supuestos operativos diferentes. Comprender esos activos, qué son y por qué se diseñaron de esa manera, es lo que hace que las diferencias de seguridad entre IT y OT sean comprensibles y no arbitrarias.
Componentes de la seguridad IT
Su pila de seguridad IT protege los sistemas de información empresariales en varias capas:
- Endpoints: Servidores, estaciones de trabajo, portátiles y dispositivos móviles
- Redes empresariales: LAN corporativas, WAN y la infraestructura de red que soporta las operaciones empresariales
- Plataformas en la nube: IaaS, SaaS y controles a nivel de aplicación
- Identidad y acceso: Autenticación, autorización y gestión de privilegios
Estas capas transportan la mayor parte de los datos empresariales y la actividad de los usuarios. Las plataformas de operaciones de seguridad las integran mediante SIEM, EDR/XDR y flujos de trabajo de respuesta a incidentes.
Componentes de la seguridad OT
La seguridad OT protege los sistemas de control industrial y su infraestructura de soporte. La guía de seguridad OT de NIST categoriza los componentes clave:
- Sistemas SCADA: Monitorización y control supervisores en infraestructuras distribuidas como redes eléctricas, oleoductos y sistemas de agua
- Sistemas de control distribuido: Elementos de control distribuidos en instalaciones de producción, comunes en la fabricación de procesos continuos
- Controladores lógicos programables: Controladores diseñados para procesos discretos como líneas de ensamblaje
- Interfaces hombre-máquina: Interfaces de operador para monitorizar y controlar procesos industriales
Los sistemas instrumentados de seguridad añaden una capa dedicada para paradas protectoras cuando las variables del proceso superan los límites seguros. Los protocolos industriales como Modbus, DNP3, PROFINET, EtherNet/IP y OPC UA están diseñados para la fiabilidad y el rendimiento en tiempo real, no para la seguridad.
Estos componentes operan dentro de la Purdue Enterprise Reference Architecture, el modelo estándar de la industria que organiza los entornos OT en niveles jerárquicos desde dispositivos de campo hasta sistemas externos. El Nivel 3.5, la DMZ en el límite IT/OT, es donde se concentran la mayoría de los controles de seguridad. La guía de segmentación de red de NIST recomienda evitar la comunicación directa de dispositivos de Nivel 4 con niveles operativos inferiores. Estas diferencias arquitectónicas no son solo estructurales; determinan cómo los equipos de seguridad pueden responder de manera realista a las amenazas en cada entorno.
Operaciones de seguridad IT vs. OT
La misma amenaza, una credencial comprometida, un dispositivo no autorizado o una conexión de red inusual, exige una respuesta muy diferente según aparezca en un entorno IT o en un entorno OT. Las limitaciones operativas de cada dominio condicionan cada decisión que puede tomar un equipo de seguridad.
Operaciones de seguridad IT
La seguridad IT opera en un ciclo de respuesta rápida. Su SOC recopila telemetría de endpoints, dispositivos de red, cargas de trabajo en la nube y sistemas de identidad en una plataforma centralizada. La IA de comportamiento y los motores de correlación analizan estos datos en tiempo real, señalando anomalías frente a patrones de ataque conocidos y líneas base de comportamiento. Cuando se detecta una amenaza, puede aislar el endpoint, finalizar el proceso, forzar un restablecimiento de contraseña o aplicar un parche de emergencia en segundos porque el impacto en el negocio está acotado.
Operaciones de seguridad OT
La seguridad OT opera bajo restricciones diferentes. No se pueden instalar agentes en la mayoría de los PLC o RTU porque carecen de recursos de cómputo. No se pueden ejecutar escaneos activos de vulnerabilidades porque, como advierte la guía de seguridad OT de NIST, "El uso indiscriminado de prácticas de seguridad IT en OT puede causar interrupciones de disponibilidad y temporización". Un escaneo de red que sería rutinario en su LAN corporativa puede bloquear un PLC con recursos limitados o forzarlo a un apagado seguro.
La monitorización OT se basa en el análisis pasivo de red, inspección profunda de paquetes de protocolos industriales e identificación de anomalías de comportamiento a nivel de red. Se establece una línea base de los patrones normales de comunicación entre controladores, sensores y HMI, y luego se señalan las desviaciones. El modelo de respuesta prioriza la estabilidad del proceso: no se aísla un reactor químico en funcionamiento como se pone en cuarentena un portátil. Las decisiones de respuesta requieren procedimientos y derechos de decisión diferentes, y deben tener en cuenta la seguridad del proceso junto con el riesgo cibernético. Estas diferencias operativas son la expresión práctica de un conjunto más profundo de divergencias arquitectónicas, de ciclo de vida y de modelo de prioridades que separan ambos dominios.
Diferencias clave entre la seguridad IT y OT
Siete dimensiones críticas separan estos dominios:
| Dimensión | Seguridad IT | Seguridad OT |
| Modelo de prioridades | CIA (Confidencialidad primero) | AIC (Disponibilidad primero) |
| Ciclos de vida del sistema | Ciclos de renovación cortos | Sistemas longevos, a menudo sin parches |
| Aplicación de parches | Continua, a menudo automatizada | Solo en ventanas de mantenimiento programadas |
| Protocolos | Estándar (HTTP, SMB, TLS) | Industriales (Modbus, DNP3, PROFINET) |
| Soporte de agentes | Despliegue completo de agentes en endpoints | Monitorización sin agentes para la mayoría de dispositivos |
| Respuesta a incidentes | Aislamiento y contención agresivos | Primero estabilidad y seguridad del proceso |
| Consecuencia del fallo | Pérdida de datos, interrupción del negocio | Daño físico, daño ambiental, pérdida de vidas |
Dos de estas dimensiones, el modelo de prioridades y la brecha de ciclo de vida, tienen el mayor peso operativo. Son la causa raíz de la mayor parte de la fricción que encuentran los equipos de seguridad al intentar aplicar herramientas y procesos empresariales en entornos industriales.
La inversión de prioridades
Para los entornos OT, el informe de convergencia IT/OT de CISA enfatiza la disponibilidad, junto con el control de procesos seguro y fiable. La autenticación multifactor que retrasa el acceso de emergencia, el cifrado que añade latencia de procesamiento o los controles de seguridad que requieren reinicios entran en conflicto directo con el requisito OT de disponibilidad inmediata.
La brecha de ciclo de vida
Los sistemas OT suelen permanecer en servicio mucho más tiempo que los activos IT empresariales y, a menudo, no pueden ser parcheados en los plazos normales de IT. Esto crea una exposición persistente que se gestiona mediante segmentación, monitorización, controles compensatorios y revisión de ingeniería en lugar de solo aplicar parches rutinarios.
Estas diferencias explican por qué aplicar controles IT directamente en entornos OT genera riesgos y por qué los marcos de cumplimiento que rigen cada dominio también son fundamentalmente diferentes.
Cumplimiento y requisitos regulatorios de la seguridad OT
La seguridad OT no es solo una decisión de buenas prácticas; para muchas industrias, es un requisito legal. El panorama regulatorio se ha ampliado significativamente desde que incidentes de alto perfil demostraron las implicaciones de seguridad nacional de los ciberataques industriales.
- NERC CIP (North American Electric Reliability Corporation Critical Infrastructure Protection): Obligatorio para los operadores del sistema eléctrico a gran escala en Norteamérica. Los estándares NERC CIP exigen a las empresas de servicios públicos implementar controles específicos para el acceso electrónico, la seguridad física, la notificación de incidentes y la gestión de riesgos de la cadena de suministro. El incumplimiento conlleva sanciones de hasta 1 millón de dólares por infracción y por día.
- Directivas de seguridad de oleoductos y ferrocarriles de la TSA: Tras el ataque a Colonial Pipeline, la TSA emitió directivas de ciberseguridad que ya van por su tercera versión. Estas exigen la notificación de incidentes a CISA, un coordinador de ciberseguridad designado y requisitos específicos de control de acceso y segmentación de red para operadores de oleoductos y ferrocarriles.
- NIST SP 800-82: La principal referencia técnica del gobierno federal para ICS y seguridad OT. No es legalmente obligatoria para todas las organizaciones privadas, pero es el estándar que CISA cita en su propia guía y es efectivamente obligatoria para organizaciones que buscan contratos federales o que operan en sectores de infraestructura crítica regulada.
- Directiva NIS2 (UE): La Directiva de Seguridad de Redes e Información 2 amplió los requisitos obligatorios de ciberseguridad a operadores de toda la UE en octubre de 2024, cubriendo energía, agua, manufactura y transporte. Las organizaciones deben implementar medidas de gestión de riesgos, notificar incidentes significativos en 24 horas y garantizar la seguridad de la cadena de suministro.
La mayoría de las organizaciones reguladas utilizan IEC 62443 como su estándar OT fundamental y mapean sus controles a los requisitos de NERC CIP, NIST 800-82 o NIS2 según su sector y geografía. Los marcos de cumplimiento indican qué lograr; entender por qué sus herramientas IT existentes no pueden lograrlo en OT es igualmente importante.
Por qué los controles IT tradicionales fallan en entornos OT
Las herramientas estándar de seguridad IT fueron diseñadas para entornos empresariales. En OT, cada categoría de herramienta falla de una manera específica y documentada.
- Agentes en endpoints: Los agentes IT pueden interferir con los sistemas de ingeniería, identificar erróneamente comportamientos legítimos de control como actividad maliciosa y crear inestabilidad en sistemas que nunca fueron diseñados para alojar software de seguridad moderno.
- Ceguera de protocolos: Las herramientas de seguridad IT inspeccionan protocolos estándar como HTTP, HTTPS y SMB. No pueden decodificar Modbus, DNP3, PROFINET ni protocolos industriales propietarios. Esto significa que no pueden identificar cambios de ingeniería no autorizados, encontrar comandos maliciosos específicos de OT ni distinguir entre un cambio legítimo de consigna y un atacante manipulando un proceso químico.
- Riesgos de cuarentena: Los procedimientos empresariales exigen aislar sistemas comprometidos de inmediato. En OT, aislar un controlador que gestiona una turbina, una válvula de oleoducto o un lote químico puede desencadenar fallos físicos en cascada. La decisión de respuesta debe tener en cuenta la seguridad del proceso.
- Incompatibilidad de parches: La guía de parches OT de CISA explica que el parcheo OT no sigue los procesos, calendarios o metodologías tradicionales de IT. Requiere un análisis informado por ingeniería y una estrecha coordinación con los equipos de operaciones para priorizar la seguridad y la continuidad.
Comprender dónde fallan las herramientas IT es la base para construir un modelo de seguridad que funcione en ambos dominios. Pero las limitaciones de las herramientas son solo una parte del panorama. Los entornos convergentes también introducen desafíos estructurales que ningún producto por sí solo resuelve.
Desafíos de visibilidad y superficie de ataque
Dos problemas estructurales hacen que los entornos IT/OT convergentes sean sistemáticamente más difíciles de defender que cualquiera de los dominios por separado: a menudo no se puede ver lo que se intenta proteger y el perímetro que se defiende sigue expandiéndose.
La brecha de visibilidad
Muchas organizaciones aún carecen de visibilidad completa en su entorno OT, especialmente en las capas de controladores y dispositivos de campo donde el riesgo operativo es mayor. Esto dificulta detectar cambios no autorizados, desviaciones de activos o movimientos de atacantes antes de que surjan consecuencias físicas.
La superficie de ataque en expansión
A medida que las organizaciones industriales conectan plantas a servicios en la nube, plataformas de acceso remoto, proveedores y sistemas empresariales, la superficie de ataque se expande mucho más allá del perímetro tradicional de la planta. La suposición de aislamiento OT ya no es válida en entornos modernos. Cada nuevo punto de conectividad es una posible vía de entrada de IT a OT, y los incidentes que han dado forma al panorama regulatorio y de seguridad actual demuestran que los atacantes han aprendido a explotar precisamente eso.
Ejemplos reales de ataques IT/OT
Los riesgos teóricos de la convergencia IT/OT se han materializado en incidentes documentados en energía, manufactura e infraestructura de agua. Cada caso comenzó con un vector de ataque IT conocido y escaló a una interrupción operativa o peligro físico, demostrando que el límite IT/OT no es un control de seguridad; es un objetivo.
- Colonial Pipeline, 2021: Colonial Pipeline reveló que un ataque de ransomware llevó a la empresa a cerrar proactivamente las operaciones del oleoducto. La interrupción afectó la distribución de combustible en la costa este de EE. UU. durante varios días, y la empresa informó posteriormente el pago de aproximadamente 4,4 millones de dólares en rescate.
- Triton en planta petroquímica saudí, 2017: El Departamento de Justicia de EE. UU. acusó a un investigador del gobierno ruso en relación con el malware Triton, que apuntó al sistema instrumentado de seguridad de una planta petroquímica. El DOJ indicó que el malware fue diseñado para provocar paradas de emergencia y creó riesgo de daño físico al interferir con la lógica SIS.
- Planta de agua de Oldsmar, 2021: En Florida, un intruso accedió a la planta de tratamiento de agua de la ciudad de Oldsmar e intentó aumentar los niveles de hidróxido de sodio de 100 partes por millón a 11,100 partes por millón, según detalles oficiales del incidente compartidos por autoridades locales y agencias federales.
Estos incidentes comparten un patrón consistente: la compromisión comienza con acceso IT convencional, pero el impacto se vuelve operativo, físico o relacionado con la seguridad. También comparten un hilo común en las brechas que explotaron: poca visibilidad, segmentación inadecuada, ausencia de respuesta a incidentes específica de OT y equipos IT y OT desconectados. Las siguientes prácticas abordan directamente cada una de esas brechas.
Mejores prácticas de seguridad IT y OT
Proteger entornos IT y OT juntos requiere más que desplegar mejores herramientas. Exige una estrategia deliberada que respete las limitaciones operativas de OT y aplique el rigor de monitorización y respuesta de la seguridad empresarial. Estas seis prácticas forman la base de esa estrategia.
1. Adopte marcos de gobernanza integrados
Utilice IEC 62443 como su estándar OT fundamental y crúcelo con NIST CSF 2.0 e ISO 27001, utilizando el informe de convergencia IT/OT de CISA para alinear la gobernanza en entornos empresariales e industriales.
2. Haga cumplir la segmentación de red en el límite IT/OT
Implemente el modelo de zonas y conductos ISA/IEC 62443 para reducir el movimiento lateral de IT a entornos de producción. Siga la guía de segmentación de red de NIST para aplicar reglas de firewall que impidan la comunicación directa de dispositivos de Nivel 4 con dispositivos operativos. Aplique principios de zero trust en la DMZ de Nivel 3.5 de Purdue, tratando la red IT como una zona no confiable respecto a OT.
3. Construya visibilidad completa de activos OT
No se puede proteger lo que no se puede ver. Inventaríe cada PLC, servidor SCADA, HMI, gateway y dispositivo IoT. Utilice descubrimiento sin agentes para dispositivos OT con recursos limitados, complementado con cobertura basada en agentes en estaciones de trabajo de ingeniería y servidores OT que lo permitan. Un mejor contexto de activos fortalece la seguridad ICS y mejora las decisiones de segmentación de red.
4. Implemente análisis de anomalías de comportamiento para protocolos industriales
Vaya más allá de las herramientas basadas en firmas. La monitorización OT efectiva requiere análisis profundo de protocolos industriales como Modbus, DNP3 y OPC UA para detectar patrones de comandos inusuales, interacciones no autorizadas entre dispositivos e intentos de manipulación de protocolos. Integre los datos de monitorización OT en el flujo de trabajo de su SOC en lugar de ejecutarlos de forma aislada.
5. Cree manuales de respuesta a incidentes específicos de OT
Su manual de respuesta a incidentes IT causará daños si se aplica directamente en OT. Elabore manuales separados que prioricen la seguridad y continuidad de la producción, e incluya ejercicios de simulación con proveedores y suministradores OT como recomienda NIST IR 8576. Una sólida planificación de respuesta a incidentes es parte fundamental de la seguridad ICS.
6. Unifique los equipos de seguridad IT y OT
Deje de gestionar la seguridad IT y OT como islas separadas. Los equipos cibernéticos integrados que combinan análisis de amenazas IT con conocimiento de procesos OT, con flujos de trabajo compartidos y respuesta a incidentes coordinada, son significativamente más resilientes bajo presión.
Ejecutar estas mejores prácticas a escala requiere una plataforma diseñada para entornos convergentes.
Ciberseguridad impulsada por la IA
Mejore su postura de seguridad con detección en tiempo real, respuesta a velocidad de máquina y visibilidad total de todo su entorno digital.
DemostraciónPuntos clave
La seguridad IT y OT atienden prioridades diferentes: la confidencialidad de los datos frente a la seguridad operativa. La convergencia IT/OT ha eliminado el aislamiento que antes protegía los entornos industriales, creando superficies de ataque compartidas que exigen una gobernanza unificada. Los controles IT estándar fallan en entornos OT porque no pueden interpretar protocolos industriales, soportar largos ciclos de vida de dispositivos ni respetar la necesidad de mantener los procesos físicos en funcionamiento.
Proteger entornos convergentes requiere cumplir mandatos sectoriales como NERC CIP y NIS2, gobernanza integrada bajo ISA/IEC 62443, segmentación estricta en el límite IT/OT, visibilidad OT sin agentes, análisis de anomalías de comportamiento y manuales de respuesta a incidentes específicos de OT.
Preguntas frecuentes
La seguridad de TI protege los sistemas de información: servidores, estaciones de trabajo, plataformas en la nube y redes empresariales donde reside la información empresarial. La seguridad de OT protege los sistemas de control industrial que interactúan con procesos físicos, incluidos los sistemas SCADA, PLC y HMI en entornos como redes eléctricas, plantas de tratamiento de agua e instalaciones de manufactura.
Los dos dominios siguen modelos de prioridad diferentes: TI prioriza la confidencialidad, mientras que OT prioriza la disponibilidad. Proteger ambos de manera conjunta es cada vez más necesario a medida que estos entornos convergen.
La mayoría de los dispositivos OT, como los PLC y los RTU, ejecutan sistemas operativos en tiempo real con CPU, memoria y almacenamiento limitados. A menudo no pueden soportar agentes de seguridad modernos sin arriesgar latencia o inestabilidad. Por eso, los equipos de OT dependen de la monitorización pasiva, la identificación de red y la cobertura selectiva en sistemas de soporte.
Este enfoque preserva la estabilidad de los procesos y, al mismo tiempo, mejora la seguridad de los ICS y la visibilidad general.
El Modelo Purdue organiza los entornos industriales en capas, desde los dispositivos de campo hasta los sistemas empresariales y externos. Su valor práctico es la segmentación. Se utiliza para definir límites de confianza, especialmente en la DMZ de Nivel 3.5 entre IT y OT.
Esa estructura facilita la segmentación de la red, reduce el riesgo de movimiento lateral y proporciona un marco más claro para proteger la seguridad SCADA en entornos conectados.
ISO 27001 proporciona un marco general para la gestión de la seguridad de la información, pero no se centra en la seguridad de planta ni en la fiabilidad de los sistemas de control. ISA/IEC 62443 está diseñado específicamente para la ciberseguridad industrial, abarcando la arquitectura del sistema, la seguridad de los componentes y las prácticas de ciclo de vida específicas de los entornos OT.
Se pueden mapear ambos estándares, pero 62443 aborda requisitos de seguridad ICS que ISO 27001 nunca fue diseñado para cubrir.
Los mayores riesgos son la conectividad ampliada, la visibilidad limitada de los controladores y dispositivos de campo, y la escasa coordinación entre los equipos de TI y TO. Un incidente que parece menor en las herramientas empresariales puede tener consecuencias operativas importantes en los entornos de TO.
Abordar estos riesgos requiere un contexto compartido entre ambos equipos, una sólida segmentación de red en el límite entre TI y TO, y manuales de respuesta ante incidentes específicos para TO para evitar que una intrusión rutinaria se convierta en una interrupción física.
Sí, pero debe aplicarse con cuidado. Zero trust funciona mejor en puntos de frontera como rutas de acceso remoto y la DMZ de IT/OT, donde se puede aplicar autenticación y autorización sin interrumpir el tráfico de control.
Dentro de las redes OT, normalmente se adapta el modelo mediante segmentación, controles de políticas y monitoreo. Esto permite mejorar la seguridad SCADA sin añadir latencia insegura a los procesos críticos.
