Cuando un ciberataque deja de ser digital

Cómo proteger los sistemas industriales conectados

Ciberseguridad industrial | Babel

El reciente incidente que afectó a sistemas de refrigeración comercial en supermercados franceses vuelve a poner sobre la mesa una realidad que muchas organizaciones todavía tienden a asociar exclusivamente con entornos industriales: un ciberataque ya no tiene por qué buscar datos para generar un impacto crítico en el negocio.

Cuando la tecnología controla procesos físicos, comprometer un sistema puede significar detener una línea de producción, alterar la climatización de un edificio, interrumpir una operación logística o, como en este caso, afectar a sistemas de refrigeración y provocar la retirada de productos.

La frontera entre el riesgo tecnológico y el riesgo operativo es cada vez más difícil de establecer. Y esto obliga a replantear cómo protegemos los entornos conectados.

Del incidente tecnológico al problema de negocio

Durante los últimos años, numerosos sistemas concebidos originalmente para funcionar de manera aislada se han ido conectando para facilitar su supervisión, mantenimiento y gestión remota. Refrigeración, climatización, producción industrial, logística, gestión energética o sistemas de control de edificios son algunos ejemplos. Esta conectividad aporta importantes eficiencias operativas, pero también amplía la superficie de exposición.

Juan Francisco Cornago, director de Ciberseguridad de Babel, señala que cuando un sistema industrial conectado controla un proceso físico, un ciberincidente puede convertirse rápidamente en un problema de continuidad de negocio. Ya no hablamos únicamente de datos de clientes o de la caída de una web: puede verse afectada la operación de una tienda, una fábrica, un almacén o un edificio.

El reto aparece especialmente cuando hablamos de tecnologías con ciclos de vida muy largos. Equipos que pueden llevar años funcionando correctamente desde el punto de vista operativo no necesariamente fueron diseñados teniendo en cuenta las amenazas actuales.

Por eso, proteger estos entornos no consiste simplemente en aplicar las mismas medidas de ciberseguridad utilizadas en los sistemas IT tradicionales. Hay que entender qué activos existen, cómo están conectados, quién accede a ellos y, sobre todo, qué impacto tendría para el negocio que dejaran de funcionar correctamente.

No puedes proteger lo que no sabes que tienes

Uno de los primeros retos es aparentemente sencillo: tener visibilidad sobre los activos conectados.

En instalaciones complejas, los sistemas pueden depender de diferentes áreas -tecnología, operaciones, mantenimiento o incluso proveedores externos- y no siempre existe una responsabilidad claramente definida sobre su ciberseguridad.

Por eso, disponer de un inventario fiable es un punto de partida fundamental. No se trata únicamente de saber qué dispositivos existen, sino de conocer qué versiones utilizan, si continúan teniendo soporte, qué vulnerabilidades pueden afectarles, cómo están conectados y quién es responsable de ellos.

Esta visibilidad es también la que permite reaccionar ante nuevas amenazas. Una alerta de un fabricante o de un organismo especializado tiene un valor limitado si la organización no puede determinar rápidamente si la vulnerabilidad afecta a alguno de sus activos. La capacidad de responder empieza, por tanto, mucho antes de que se produzca un incidente.

El acceso remoto: eficiencia sin perder el control

La conectividad remota es otro de los elementos que requieren especial atención. Poder diagnosticar una avería, actualizar un sistema o gestionar varias instalaciones desde un único punto aporta claras ventajas. El problema aparece cuando esa facilidad de acceso no está acompañada de controles equivalentes.

La cuestión no debería limitarse a preguntarnos si un determinado equipo puede conectarse de forma remota. También necesitamos saber quién puede hacerlo, con qué permisos, durante cuánto tiempo y si esa actividad queda registrada.

Limitar privilegios, proteger las conexiones, registrar los accesos y revocarlos cuando dejan de ser necesarios reduce significativamente la exposición. Esto resulta especialmente relevante cuando intervienen proveedores y servicios de mantenimiento externos, porque la seguridad del entorno deja de depender exclusivamente de los controles internos de la organización.

Detectar una anomalía antes de que afecte a la operación

La prevención, sin embargo, no elimina completamente el riesgo. Las organizaciones también necesitan capacidad para detectar comportamientos anómalos antes de que tengan consecuencias operativas.

En un sistema industrial conectado existe además una dificultad adicional: si el propio controlador está comprometido, la información que proporciona puede dejar de ser fiable. Por eso es necesario observar otras señales: cambios inesperados de configuración, accesos en horarios poco habituales, actividad simultánea en diferentes instalaciones o información procedente de sensores independientes.

Pero para detectar una anomalía primero hay que conocer qué significa la normalidad. Antes de incorporar nuevas herramientas o automatizaciones, es necesario comprender cómo se comporta habitualmente cada sistema, establecer qué desviaciones representan un riesgo y decidir cuáles deben generar una alerta.

Centralizar la gestión también puede centralizar el riesgo

La digitalización permite administrar múltiples instalaciones desde plataformas centralizadas. Operativamente resulta muy eficiente, pero desde el punto de vista de la ciberseguridad introduce una pregunta importante: ¿qué ocurre si esa plataforma central es comprometida?

Una única consola, credencial o cuenta con capacidad para actuar sobre múltiples instalaciones puede convertir un incidente localizado en un problema de mayor escala.

"No se trata de desconectar la industria, sino de conectar con criterio: separar redes, limitar privilegios, mantener capacidades locales de operación y prever qué procesos deben seguir funcionando, aunque falle la supervisión central". - Juan Francisco Cornago, director de Ciberseguridad de Babel

La respuesta no pasa por renunciar a la conectividad, sino por diseñarla con criterios de resiliencia. Segmentar redes, limitar privilegios, evitar dependencias innecesarias y conservar capacidades locales de operación permite reducir el impacto potencial de un incidente.

La pregunta que debería hacerse una organización no es únicamente "¿cómo evitamos que este sistema falle?", sino también "si falla o es comprometido, ¿podemos seguir operando?".

De la ciberseguridad industrial a la resiliencia del negocio

Este tipo de incidentes demuestra por qué la ciberseguridad debe abordarse cada vez más desde una perspectiva integral. No basta con proteger tecnología. Hay que entender qué procesos de negocio dependen de ella, qué riesgos pueden comprometerlos y qué capacidades necesita la organización para anticiparse, protegerse, responder y recuperarse.

En Babel abordamos la ciberseguridad conectando precisamente estas dimensiones: negocio, cumplimiento y operación. Integramos capacidades de consultoría, tecnologías de protección y seguridad gestionada para construir estrategias alineadas con los riesgos reales de cada organización.

Porque la protección de un entorno industrial conectado empieza mucho antes de desplegar una herramienta de seguridad: empieza por conocer los activos, entender sus dependencias, gobernar sus accesos, identificar las amenazas relevantes y preparar la organización para responder cuando algo ocurra.

Como resume Juan Francisco Cornago, la ciberseguridad industrial ya no puede tratarse como una especialidad apartada de la actividad empresarial, sino como una parte directa de la continuidad de negocio. Cuanto antes se aborde de esta forma, menor será la probabilidad de que una alerta técnica termine convirtiéndose en una crisis operativa.

La principal lección es clara: la ciberseguridad de los sistemas conectados ya no es un problema exclusivamente técnico. Es una cuestión de resiliencia y continuidad de negocio.