¿Qué es la seguridad OT?
En mayo de 2021, el ataque de ransomware DarkSide obligó a Colonial Pipeline a detener sus operaciones durante cinco días, y la empresa pagó un rescate de 4,4 millones de dólares, según un comunicado del DOJ. El método de entrada no fue una explotación de día cero. Los atacantes abusaron del acceso remoto y de debilidades en las credenciales, y luego convirtieron un punto de apoyo en TI en una interrupción operativa.
La seguridad OT es la disciplina de proteger los sistemas de hardware y software que monitorean y controlan procesos físicos en infraestructuras críticas. Estos sistemas, según los define NIST SP 800-82r3, incluyen sistemas de control industrial (ICS), redes de control y adquisición de datos (SCADA), sistemas de control distribuido (DCS) y controladores lógicos programables (PLC).
Los activos OT gobiernan directamente los resultados físicos. Un PLC comprometido puede abrir una válvula, sobrecalentar una turbina o detener un proceso de tratamiento de agua. Cuando estos sistemas fallan, las consecuencias van más allá de la pérdida de datos e incluyen destrucción de equipos, daños ambientales y amenazas a la vida humana.
Cómo se relaciona la seguridad OT con la ciberseguridad
Si proviene de un entorno de seguridad TI, ya conoce la tríada CIA: Confidencialidad, Integridad, Disponibilidad. La seguridad OT invierte completamente ese orden de prioridades.
Según el SANS Institute, "el objetivo principal de la ciberseguridad OT es mantener la seguridad, confiabilidad y disponibilidad de las operaciones industriales". En la práctica, esto significa:
- La disponibilidad es la prioridad. Una planta de energía o una empresa de agua no puede desconectarse para aplicar un parche de seguridad sin poner en riesgo la seguridad pública.
- La integridad ocupa el segundo lugar. Los comandos de control deben ejecutarse con precisión para que la maquinaria realice operaciones seguras y predecibles.
- La confidencialidad es la tercera prioridad. El robo de datos importa menos que la pérdida de control operativo sobre los procesos físicos.
Esta inversión de prioridades crea una tensión fundamental. Los controles de seguridad en los que confía en entornos TI, como la inspección profunda de paquetes, ciclos agresivos de parches y análisis antivirus en tiempo real, pueden introducir latencia que interrumpe operaciones OT que requieren precisión de milisegundos. Como documenta NIST SP 800-82r3, los sistemas OT "pueden afectar el mundo físico y, como resultado, la definición de riesgo aplicada a un ICS debe incluir consideraciones sobre posibles consecuencias en el mundo real".
Ese cambio de prioridades da forma a cada decisión arquitectónica en un programa de seguridad OT, desde cómo segmenta las redes hasta cómo gestiona la gestión de vulnerabilidades. Los siguientes componentes traducen ese principio en controles concretos.
Componentes principales de la seguridad OT
Construir un programa de seguridad OT requiere cinco componentes fundamentales, cada uno adaptado a las restricciones operativas de los entornos industriales.
1. Segmentación de red basada en el modelo Purdue
La Purdue Enterprise Reference Architecture (PERA) proporciona un marco jerárquico para separar las redes OT de las redes TI. Según una publicación del DOE, este modelo define seis niveles, desde el Nivel 0 (dispositivos de campo como sensores y actuadores) hasta el Nivel 5 (conectividad externa, incluido soporte de proveedores y acceso a la nube). Una adición crítica para entornos modernos es el Nivel 3.5, una zona desmilitarizada (DMZ) que aloja servicios compartidos como historiadores de datos, evitando el tráfico directo entre TI corporativa y sistemas de control OT. La guía de segmentación de CISA requiere múltiples capas de DMZ con aplicación de firewall en cada límite.
2. Inventario y visibilidad de activos
No se puede proteger lo que no se puede ver. La guía de inventario de CISA describe un enfoque por fases: definir el alcance, asignar roles de gobernanza, luego realizar inspecciones físicas y encuestas lógicas para compilar listas de activos con atributos como criticidad y configuración de seguridad.
Un desafío particular son los dispositivos inactivos. Controladores de respaldo, sistemas de seguridad redundantes y equipos de emergencia permanecen inactivos durante operaciones normales, invisibles para el monitoreo pasivo de red y explotables por atacantes.
3. Acceso remoto seguro
El acceso remoto de proveedores es tanto una necesidad operativa como una vulnerabilidad persistente. Según la guía Defense-in-Depth, los contratos de proveedores suelen requerir acceso remoto a equipos, y los atacantes utilizan estas conexiones como puntos de entrada. Asegurar este canal requiere servidores intermedios en segmentos DMZ, autenticación multifactor, acceso temporal basado en roles y cifrado robusto.
4. Gestión de parches basada en riesgos
Aplicar parches a sistemas OT es fundamentalmente diferente de aplicar parches a endpoints TI. Según la hoja de ruta de CISA, "los propietarios y operadores de ICS no aplican parches por muchas razones, incluido el riesgo o costo de la interrupción de procesos operativos y la falta de parches por parte de los proveedores para equipos específicos".
Cuando no es factible aplicar parches directos, se implementan controles compensatorios: segmentación de red mejorada alrededor de activos vulnerables, listas blancas de aplicaciones, restricciones de acceso más estrictas y monitoreo incrementado de intentos de explotación.
5. Monitoreo conductual específico para OT
Los entornos industriales se benefician del monitoreo de anomalías de comportamiento porque el tráfico de red OT sigue patrones predecibles y repetibles. Según NIST IR 8219, el monitoreo conductual mejora la confiabilidad de ICS al detectar datos anómalos antes de que interrumpan las operaciones. El monitoreo efectivo requiere capacidades específicas de protocolo para comunicaciones industriales como Modbus, DNP3, EtherNet/IP y PROFINET.
Juntos, estos cinco componentes le brindan los elementos básicos de un programa de seguridad OT. El siguiente paso es implementarlos en un modelo operativo que funcione sin interrumpir la producción.
Cómo funciona la seguridad OT
La seguridad OT opera mediante defensas en capas que consideran las restricciones de los entornos industriales.
Paso 1: Mapear el entorno
Su programa de seguridad comienza con el descubrimiento de activos. Se realizan inspecciones físicas de dispositivos de campo, encuestas lógicas de comunicaciones de red y documentación de cada controlador, sensor, HMI y estación de trabajo de ingeniería. Este inventario se asigna directamente a los niveles del modelo Purdue, brindando una visión clara de lo que existe en cada capa.
Paso 2: Segmentar y aislar
Utilizando el modelo Purdue como plano, se establecen límites de aplicación entre zonas de red. Los firewalls con reglas de denegación por defecto controlan el tráfico en cada límite. La DMZ en el Nivel 3.5 aloja servicios compartidos como historiadores y servidores de informes, evitando la comunicación directa entre la red empresarial y los sistemas de control.
Paso 3: Establecer líneas base
Los PLC ejecutan la misma lógica de control repetidamente. Los intervalos de sondeo SCADA siguen horarios fijos. Se capturan estos patrones normales de comunicación como líneas base y luego se señalan desviaciones: comandos de protocolo inesperados, nuevas conexiones entre dispositivos que nunca antes se comunicaron o cambios en la lógica de los PLC.
Paso 4: Monitorear y responder
El monitoreo continuo observa el tráfico de red en los límites de aplicación y dentro de las zonas. Cuando aparecen anomalías, como un comando de escritura no autorizado a un PLC o una conexión inesperada desde la red empresarial a un controlador de Nivel 1, se activan los procedimientos de respuesta. La respuesta a incidentes OT difiere de la respuesta TI porque aislar un sistema comprometido puede detener un proceso crítico. Los planes de respuesta deben considerar la continuidad operativa y la seguridad física.
Paso 5: Mantener mediante la gestión del ciclo de vida
La seguridad OT no es una implementación única. Se actualizan continuamente los inventarios de activos, se reevalúan los riesgos a medida que surgen nuevas vulnerabilidades y se prueban controles compensatorios cuando los parches no están disponibles. Cruce las evaluaciones de vulnerabilidades con el Catálogo de Vulnerabilidades Conocidas Explotadas de CISA para priorizar la remediación.
Una vez que puede ejecutar estos pasos de manera confiable, la siguiente pregunta es por dónde es más probable que entren los atacantes: cada vez más, esa respuesta es el límite convergente TI/OT.
Por qué la convergencia TI/OT aumenta el riesgo
El mayor cambio estructural en la seguridad OT es la convergencia de las redes TI y OT. Según un informe de la cadena de suministro del DOE, esta convergencia "continúa aumentando", creando nuevos riesgos a medida que los sistemas del sector energético conectan TIC y OT para ganar eficiencia. El informe de estrategia NSTAC resume la paradoja: la conectividad aporta beneficios de eficiencia mientras expone los sistemas OT a amenazas para las que nunca fueron diseñados.
La convergencia crea rutas de ataque específicas que su programa de seguridad debe abordar:
- Arquitecturas de red planas donde los atacantes se mueven lateralmente hacia entornos SCADA porque los límites de red son débiles o inexistentes, según el informe de CISA.
- Explotación de protocolos heredados mediante protocolos industriales no cifrados como Modbus, DNP3 e ICCP que transmiten datos sin cifrado ni autenticación.
- Vulnerabilidades de acceso remoto a través de VPN y canales de soporte de proveedores que omiten la autenticación o el monitoreo adecuados.
Para los responsables de seguridad que gestionan entornos convergentes, el lado TI de la red es el principal punto de entrada por el que los adversarios acceden a los activos OT. Si ya piensa en términos de un enfoque XDR, aplique esa misma mentalidad de visibilidad a las rutas que conectan los endpoints empresariales con su red de control. Comprender estas rutas también revela por qué construir un programa de seguridad OT es difícil en la práctica.
Desafíos en la seguridad OT
Construir un programa de seguridad OT presenta obstáculos distintivos, incluso con marcos establecidos y orientación gubernamental.
- Sistemas heredados que no pueden actualizarse: El informe del DOE enfatiza que los dispositivos SCADA heredados no fueron diseñados con la ciberseguridad en mente y que intentar actualizarlos podría romper dependencias con otros sistemas conectados. Puede estar protegiendo PLC que ejecutan sistemas operativos no soportados con contraseñas codificadas, protocolos sin cifrar y sin capacidad de aplicar parches sin pruebas extensas o paradas de sistema.
- Restricciones de tiempo de inactividad operativo: Aplicar parches a sistemas OT requiere tiempo de inactividad. Para una planta de generación eléctrica 24/7 o una planta de tratamiento de agua, cualquier interrupción conlleva riesgos. Esta restricción obliga a depender más de controles compensatorios que de la remediación directa.
- Actores de amenazas diversos: Tanto actores estatales sofisticados como hacktivistas de bajo nivel ahora atacan OT. Según un aviso conjunto de diciembre de 2025, grupos hacktivistas pro-Rusia han atacado con éxito redes SCADA utilizando métodos básicos, en algunos casos realizando ataques DDoS simultáneos para facilitar intrusiones SCADA. Mientras tanto, un alerta de CISA describe cómo los atacantes interrumpieron Prykarpattyaoblenergo en Ucrania en 2015, dejando a unos 225.000 clientes sin electricidad durante varias horas.
- Coordinación interfuncional: La seguridad OT exige colaboración entre seguridad TI, ingenieros de control, operadores de planta y personal de seguridad física. Ninguna disciplina tiene la visión completa. El informe SANS 2025 encontró que las organizaciones que incluyen técnicos de campo en ejercicios de simulación tienen casi el doble de probabilidades de demostrar preparación real.
- Brechas de visibilidad en el entorno OT: Dispositivos inactivos, activos no documentados y conexiones cifradas de proveedores crean puntos ciegos. Según el informe SANS 2025, el 49% de los incidentes ahora se identifican en 24 horas, pero casi 1 de cada 5 aún requiere más de un mes para su remediación.
Estas limitaciones no cambian el objetivo, pero sí modifican su estrategia. Los marcos reconocidos proporcionan la estructura para abordarlas de manera sistemática.
Marcos y cumplimiento en seguridad OT
Varios marcos guían cómo las organizaciones construyen y miden los programas de seguridad OT. Los tres más adoptados son NIST SP 800-82, IEC 62443 y NERC CIP. Cada uno cumple una función diferente, y la mayoría de los programas maduros se basan en más de uno.
NIST SP 800-82 Revisión 3, publicada en septiembre de 2023, es la guía federal principal de EE. UU. para asegurar sistemas de control industrial. Proporciona un enfoque basado en riesgos para la seguridad OT y se alinea con el NIST Cybersecurity Framework 2.0, incluyendo la nueva función Govern que eleva la gobernanza de ciberseguridad OT al nivel organizacional. NIST SP 800-82 es descriptivo más que prescriptivo: le indica qué considerar y cómo evaluar riesgos, pero deja las decisiones de implementación específicas a cada organización. Considérelo como el esqueleto de la gestión de su programa.
IEC 62443, mantenido conjuntamente por ISA e IEC, llena el detalle técnico que NIST SP 800-82 deja abierto. Donde NIST describe qué lograr, IEC 62443 define cómo estructurar su programa para alcanzarlo. Es normativo, cubriendo conceptos generales, políticas y procedimientos, seguridad a nivel de sistema y seguridad a nivel de componente en cuatro series de normas. Su contribución definitoria es el modelo de Nivel de Seguridad (SL), que asigna controles a la capacidad del actor de amenazas que sus defensas deben resistir:
- SL-1: Protección contra exposición accidental o no intencionada.
- SL-2: Protección contra ataques intencionados utilizando métodos básicos y recursos limitados.
- SL-3: Protección contra ataques sofisticados con recursos moderados y conocimiento específico de automatización.
- SL-4: Protección contra adversarios estatales o bien financiados con experiencia profunda en OT.
El modelo de zonas y conductos dentro de IEC 62443 informa directamente cómo las organizaciones implementan la segmentación del modelo Purdue descrita anteriormente en este artículo.
NERC CIP (Critical Infrastructure Protection) adopta un enfoque completamente diferente. Es obligatorio para los operadores del sistema eléctrico mayorista en Norteamérica y prescribe controles de seguridad específicos para identificación de activos, gestión de accesos, reporte de incidentes y planificación de recuperación. Las organizaciones sujetas a NERC CIP enfrentan requisitos auditables con sanciones por incumplimiento. Si opera en el sector energético, NERC CIP no es opcional.
El informe SANS 2025 confirma que las organizaciones reguladas no experimentan menos incidentes que sus pares, pero sí ven aproximadamente un 50% menos de pérdidas financieras e impactos en la seguridad cuando ocurren incidentes. El cumplimiento obliga a invertir en capacidades fundamentales, incluyendo visibilidad de activos, registro de eventos y detección de cambios, que también son los elementos básicos de una detección y respuesta a amenazas efectiva.
En la práctica, estos marcos funcionan mejor en combinación. Utilice NIST SP 800-82 como estructura de gestión de su programa e IEC 62443 como especificación técnica de implementación. Incluso las organizaciones sin mandatos regulatorios se benefician de adoptar estos estándares como rutas estructuradas de madurez. Con esa base, puede traducir los requisitos del marco en prácticas operativas diarias.
Mejores prácticas de seguridad OT
Basándose en NIST SP 800-82r3, los estándares IEC 62443 y la guía publicada de CISA, las siguientes prácticas forman la base de un programa de seguridad OT maduro.
- Implemente segmentación de red defense-in-depth. Siga el modelo Purdue para establecer zonas jerárquicas con firewalls que apliquen reglas de denegación por defecto en cada límite. Nunca permita tráfico directo entre redes TI empresariales y redes de control OT.
- Mantenga un inventario de activos actualizado de forma continua. Siga el enfoque por fases de CISA: defina el alcance y la gobernanza, realice encuestas físicas y lógicas, y capture atributos de alta prioridad, incluyendo criticidad, versiones de firmware y configuraciones de seguridad. Considere los dispositivos inactivos.
- Habilite autenticación multifactor para todo acceso remoto. Utilice servidores intermedios en segmentos DMZ, otorgue acceso basado en roles temporal para proveedores y registre todas las sesiones remotas. Elimine la conectividad directa a la red OT desde partes externas.
- Adopte una gestión de parches basada en riesgos. Programe los parches durante ventanas de mantenimiento planificadas. Cuando no sea factible aplicar parches, implemente controles compensatorios: listas blancas de aplicaciones, segmentación mejorada y monitoreo incrementado. Cruce las vulnerabilidades con el Catálogo de Vulnerabilidades Conocidas Explotadas de CISA.
- Implemente monitoreo conductual específico para OT. Establezca líneas base de patrones normales de comunicación y señale desviaciones. Monitoree protocolos industriales (Modbus, DNP3, OPC-UA) para detectar comandos no autorizados. Integre el monitoreo con sus operaciones de seguridad para una visibilidad unificada.
- Desarrolle planes de respuesta a incidentes interfuncionales. Incluya ingenieros de control y operadores de planta junto con el personal de seguridad TI. Realice ejercicios de simulación liderados por ingeniería que simulen escenarios donde aislar un dispositivo comprometido podría interrumpir procesos críticos.
Extender estas mejores prácticas a las operaciones diarias comienza por fortalecer los controles del lado TI que los adversarios suelen utilizar para llegar a OT.
Ciberseguridad impulsada por la IA
Mejore su postura de seguridad con detección en tiempo real, respuesta a velocidad de máquina y visibilidad total de todo su entorno digital.
DemostraciónPuntos clave
La seguridad OT protege los sistemas industriales que controlan procesos físicos en infraestructuras críticas, priorizando la disponibilidad y la seguridad sobre la confidencialidad de los datos. La convergencia TI/OT ha ampliado la exposición, poniendo en riesgo los sistemas heredados. Un programa efectivo requiere segmentación defense-in-depth basada en el modelo Purdue, inventario riguroso de activos, gestión de parches basada en riesgos y monitoreo conductual específico para OT.
Marcos como NIST SP 800-82 e IEC 62443 proporcionan rutas estructuradas de madurez, y asegurar el límite TI con protección autónoma reduce directamente el riesgo para los entornos operativos conectados.
Preguntas frecuentes
La seguridad OT es la práctica de proteger los sistemas de hardware y software que supervisan y controlan procesos físicos en entornos industriales. Estos sistemas incluyen ICS, redes SCADA, DCS y PLCs presentes en sectores como energía, manufactura, tratamiento de agua y transporte.
La seguridad OT prioriza la disponibilidad y la seguridad por encima de la confidencialidad de los datos, ya que las fallas en estos sistemas pueden causar daños a equipos, perjuicios ambientales o amenazas a la vida humana.
El nivel 3.5 actúa como un punto de intercambio controlado donde residen servicios compartidos como historiadores de datos y servidores de informes. El tráfico de TI corporativo termina en la DMZ en lugar de continuar directamente hacia los sistemas de control. Los firewalls aplican reglas estrictas y específicas de protocolo en ambos límites: uno orientado a las redes empresariales y otro orientado a las zonas OT.
Las conexiones son unidireccionales siempre que sea posible, utilizando diodos de datos o pasarelas unidireccionales que permiten que los datos OT fluyan hacia afuera para análisis empresariales mientras bloquean los comandos entrantes.
Los atacantes explotan principalmente la gestión deficiente de credenciales, puertas de enlace VPN sin parches y dispositivos OT expuestos a internet. El spear-phishing dirigido a estaciones de trabajo de ingeniería que conectan redes IT y OT sigue siendo altamente efectivo.
Las compromisos en la cadena de suministro a través de actualizaciones de firmware maliciosas o software de proveedores comprometido introducen puertas traseras persistentes. Las organizaciones se defienden aplicando políticas de rotación de credenciales en todos los dispositivos OT, desplegando monitoreo pasivo de red, implementando control de acceso a la red en los límites de zona y exigiendo a los proveedores el uso de jump hosts dedicados con grabación de sesiones.
Aísle los sistemas heredados utilizando puertas de enlace unidireccionales que permitan el flujo de datos salientes para la monitorización mientras bloquean los comandos entrantes, evitando la explotación remota. Implemente taps de red pasivos para obtener visibilidad sin introducir latencia.
Restrinja el acceso físico mediante cerraduras, credenciales y precintos de seguridad en los paneles de control. Utilice cortafuegos con reconocimiento de protocolos que permitan únicamente secuencias específicas de comandos industriales mientras bloquean códigos de función no autorizados. Implemente políticas de acceso basadas en el tiempo que deshabiliten la conectividad remota fuera de las ventanas de mantenimiento.
Su plan de respuesta a incidentes de OT debe predefinir umbrales específicos de proceso que activen rutas de respuesta alternativas. Clasifique los activos según su criticidad y preautorice acciones: aísle los sistemas no críticos de inmediato; para los controladores críticos para la misión, ejecute operaciones en modo degradado utilizando controles manuales o respaldos redundantes mientras contiene a los atacantes aguas arriba.
Establezca árboles de decisión que permitan a los operadores de la sala de control ejecutar protocolos de seguridad predeterminados sin esperar la aprobación del área de seguridad. Documente los estados a prueba de fallos para cada proceso controlado, de modo que los respondedores sepan qué sistemas pueden apagarse de forma segura y cuáles requieren operación continua.
La mayoría de los ataques dirigidos a sistemas OT se originan en la red de TI y se desplazan lateralmente hacia las zonas operativas. Proteger los endpoints de TI, las identidades y las cargas de trabajo en la nube con capacidades de respuesta autónoma detiene a los atacantes antes de que alcancen el límite entre TI y OT.
La IA basada en el comportamiento en los endpoints de TI puede detectar y contener el movimiento lateral en tiempo real, reduciendo la ventana de exposición para los activos OT conectados. Esto convierte la protección del lado de TI en una capa fundamental de cualquier programa de seguridad en entornos convergentes.
