Las infraestructuras críticas, incluidas las redes eléctricas, las plantas de tratamiento de agua, las redes de transporte, los oleoductos y las plantas industriales, están ahora profundamente interconectadas.
Sin embargo, a pesar de su importancia estratégica, muchos de estos sistemas esenciales siguen estando alarmantemente mal equipados en materia de ciberseguridad.
Resolver este problema requiere la implicación de todos, desde los operadores de las plantas hasta los defensores cibernéticos de las organizaciones, pasando por los directivos de nivel C y los países que deben proteger a sus comunidades.
Se producen interrupciones en las infraestructuras críticas, pero a medida que nuestros sistemas se vuelven más complejos, no siempre sabemos si el incidente se debió a un problema de mantenimiento, a un cambio de configuración, a un ciberataque u otra causa.
Los apagones de energía en España y Portugal de abril de 2025 son ejemplos recientes de una lista creciente de interrupciones que han dejado a millones de personas sin electricidad, a veces durante horas o incluso días. En estos casos, los ingenieros trabajan con urgencia para restablecer el servicio mientras los investigadores tratan de determinar la causa. ¿Fue un fallo técnico? ¿Un error humano? ¿O un ciberataque deliberado que sondea debilidades o pone a prueba las respuestas de emergencia? Estas preguntas surgen en cada ocasión, pero con demasiada frecuencia la respuesta es: 'No lo sabemos.'
La infraestructura crítica, incluidas las redes eléctricas, las plantas de tratamiento de agua, las redes de transporte, los oleoductos y las plantas industriales, está profundamente interconectada y digitalizada. Sin embargo, a pesar de su importancia estratégica, muchos de estos sistemas esenciales siguen estando alarmantemente mal equipados en materia de ciberseguridad.
Mientras que la ciberseguridad de las tecnologías de la información (TI) ha recibido atención e inversión desde hace tiempo, los sistemas de tecnología operativa (TO), los sistemas de control industrial y los dispositivos que hacen que la infraestructura crítica sea crítica suelen pasarse por alto, presumiéndose seguros simplemente porque tradicionalmente funcionaban sin conexión o en redes aisladas.
La tecnología operativa puede ser un punto débil
Pero los tiempos han cambiado. La digitalización, la automatización y la interconexión implican que estos entornos OT ya no están aislados. Y, del mismo modo que la conectividad ha aumentado la comodidad y la eficiencia, también ha ampliado de forma notable la superficie de ataque disponible para los actores malintencionados. Los piratas informáticos sofisticados patrocinados por Estados y otros actores malintencionados sondean y atacan habitualmente las redes OT, buscando vulnerabilidades que puedan explotar para causar interrupciones catastróficas. Con demasiada frecuencia, las inversiones en seguridad en OT no han seguido el ritmo de la amenaza creciente, lo que deja estas redes sin supervisión y vulnerables.
El resultado es que, cuando se produce un apagón grave sin una monitorización adecuada, los investigadores y los equipos de respuesta a incidentes se encuentran en gran medida a oscuras a la hora de determinar si la causa fue un fallo de software o de equipos, un funcionamiento incorrecto, un ciberataque u otro factor. Los datos que atraviesan las redes OT suelen ser transitorios y, si no se ha previsto registrarlos, se pierden para siempre. Quienes responden deben basarse en conjeturas, especulaciones forenses o pruebas incompletas y no concluyentes, de forma similar a un médico que intenta diagnosticar la enfermedad de un paciente sin historial médico, pruebas ni herramientas de diagnóstico. Los síntomas por sí solos no pueden revelar con precisión la causa subyacente.
Cómo el Foro ayuda a los líderes a comprender el riesgo cibernético y a reforzar la resiliencia digital
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al permitir la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a fortalecer la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
La causa raíz es difícil de encontrar
La incapacidad de realizar a tiempo un análisis de causa raíz de una interrupción puede dar lugar a problemas en cascada. Resulta difícil determinar el mejor curso de acción y cómo recuperar los activos de forma segura. Los equipos de respuesta a incidentes se quedan sin la información necesaria para alertar a otros operadores de infraestructuras críticas sobre amenazas en curso, reforzar sus propias redes y expulsar a los intrusos cibernéticos. Pierden la capacidad de aprender de lo que salió mal y de introducir mejoras que impidan una mayor explotación o los protejan de ataques similares en el futuro.
Esta ambigüedad va más allá de un problema de ciberseguridad. Tiene implicaciones graves para la organización y su dirección en materia de transparencia y rendición de cuentas. Las partes interesadas, ya sean inversores, aseguradoras o el público en general, esperan y dependen de información fiable y precisa para evaluar riesgos, asignar recursos y tomar decisiones informadas. Los inversores necesitan comprender la verdadera postura de ciberseguridad de las empresas que gestionan infraestructuras críticas. Las aseguradoras deben atribuir con precisión la causa de las interrupciones a los procesos para liquidar las reclamaciones de forma justa y fijar adecuadamente las primas. Muchas jurisdicciones exigen ahora la divulgación de los ciberincidentes que afectan a sistemas críticos.
En ausencia de capacidades adecuadas de detección de ciberseguridad en OT, las empresas vulneran involuntariamente la letra o, como mínimo, el espíritu de estas leyes, lo que obstaculiza la eficacia y la supervisión pública. Solo es cuestión de tiempo que las partes interesadas consideren que permitir que persista un punto ciego de ciberseguridad subsanable, cuando podría haber evitado o minimizado un ataque exitoso, supone una quiebra de la confianza y una responsabilidad para la organización.
Las implicaciones para la seguridad nacional
Quizás la consecuencia más preocupante de una ciberseguridad OT inadecuada son sus implicaciones para la seguridad nacional. Un adversario que puede infiltrarse en las redes de infraestructuras críticas sin ser detectado obtiene una negación plausible, lo que complica cualquier respuesta diplomática, jurídica o militar. Considere el escenario en el que un actor hostil respaldado por un Estado penetra discretamente el sistema eléctrico o la infraestructura hídrica de un Estado. Sin ser detectado, el intruso puede llevar a cabo en silencio labores de reconocimiento, poner a prueba las defensas, mapear vulnerabilidades o incluso lanzar operaciones encubiertas disfrazadas de fallos técnicos normales. Sin una prueba clara de intención maliciosa, a los gobiernos les resulta política y estratégicamente difícil responder de forma decidida. Este retraso en la atribución y la respuesta fortalece a los adversarios e incentiva nuevas agresiones.
Sí vemos que los países están dando pasos para garantizar una mejor visibilidad de lo que realmente ocurre en las redes de infraestructuras críticas. La Comisión Federal Reguladora de Energía de Estados Unidos (FERC), por ejemplo, aprobó recientemente una Norma de Monitorización de Seguridad de Red Interna (INSM). La norma CIP-015-1 refuerza la ciberseguridad al exigir la monitorización del tráfico de red interno y la detección de actividades maliciosas que puedan haber eludido las defensas perimetrales en algunos de los entornos OT de empresas eléctricas más críticos.
Las tecnologías de monitorización OT ya existen para proporcionar la visibilidad forense necesaria para determinar si un incidente se debe a un ciberataque, a un fallo técnico o a un error humano. Estas permiten a las organizaciones responder con mayor eficacia, recuperarse más rápido y reforzar sus defensas.
En un mundo donde la infraestructura crítica está cada vez más digitalizada y es objeto de ataques, tratar la monitorización OT como una necesidad operativa básica es esencial. Requiere la implicación de todos, desde los operadores en la planta de producción hasta los defensores cibernéticos de la organización, pasando por los directivos de nivel C y los países que deben proteger a sus comunidades frente a las consecuencias económicas, de seguridad pública y de seguridad nacional.
